@port139 Blog

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

ActivitiesCache.dbとアクティビティ削除(2)

先週の続きです。

テスト環境は先週からずっとシャットダウンしていましたので、先ほど起動しました。

アクティビティの状態を確認します、アクティビティには何も表示されません。

f:id:hideakii:20180602080838p:plain

ActivitiesCache.dbファイルをエクスポートします。
ActivitiesCache.dbファイルの最終更新日時は5月26日のままです。(-walファイルは現在の日付)

f:id:hideakii:20180602081157p:plain

ジャーナルを含めてActivitiesCache.dbファイルを参照します。

最初に、Activityテーブルを参照します。38番レコードが、先週削除したサンプルですが、レコード内容を確認できます。 

f:id:hideakii:20180602082148p:plain

 ActivityOperationテーブルも同様に確認すると、レコードを確認できます。

f:id:hideakii:20180602082613p:plain

 日付を変更してから、OS[を再起動します。(ExpirationTime⇒1529875249⇒Mon, 25 June 2018 06:20:49 +0900)

f:id:hideakii:20180602083022p:plain

ActivitiesCache.dbファイルをエクスポートし、ジャーナルを含めて参照します。

この日時では、レコードが削除されている事を確認できます。

f:id:hideakii:20180602084834p:plain

テストファイルのタイムスタンプを確認します、ジャーナルだけが新しい日付です。

f:id:hideakii:20180602085334p:plain

 ジャーナルファイルを削除し、ActivitiesCache.dbファイルだけを参照してみます。

削除前のレコードを確認できます。 

f:id:hideakii:20180602085525p:plain

ジャーナルが反映されていない状況では、ジャーナル無しでファイルを参照する必要がありますね。

削除レコードの復元が可能かは確認していません。

参考URL:

 Write-Ahead Logging

 

f:id:hideakii:20180602080608j:plain