Forensique de Navigateur - Analyseur Gratuit d'Historique, Cookies et Enregistrements Supprimés
Forensique de Navigateur
Reconstituez une chronologie de navigation à partir d'une base de données de profil Chrome ou Firefox, inventoriez ses cookies, trouvez des preuves d'un effacement d'historique, et récupérez des enregistrements supprimés - sans rien téléverser.
Déposez ici une base de données de profil de navigateur
History, Cookies ou Login Data de Chrome, ou places.sqlite / cookies.sqlite de Firefox
Choisir une base de donnéesAperçu
De quelle base de données de navigateur il s'agit, comment elle est organisée sur le disque, et si quelque chose suggère qu'un historique a été effacé ou que le fichier a été modifié.
Chronologie d'historique
Chaque adresse du profil avec son nombre de visites et l'heure de la dernière visite, plus les enregistrements de visite individuels montrant comment chaque page a été atteinte.
Cookies
Chaque cookie du magasin avec son hôte, son expiration et ses drapeaux de sécurité. Les valeurs restent masquées jusqu'à ce que vous choisissiez d'en révéler une.
Téléchargements
Ce qui a été téléchargé, où cela a été enregistré, de quelle page cela provient, et si le transfert s'est réellement terminé.
Identifiants enregistrés
Quels sites ont un identifiant enregistré, sous quel nom d'utilisateur, et quand il a été utilisé pour la dernière fois. Les mots de passe ne sont jamais déchiffrés ni affichés.
Favoris et icônes de site
Les favoris révèlent une intention, pas seulement du trafic - et une icône de site mise en cache sans entrée d'historique correspondante est une preuve directe qu'un historique a été effacé alors que le cache d'icônes ne l'a pas été.
Auto-remplissage de formulaires
Les valeurs avec lesquelles un formulaire a été rempli, combien de fois, et quand - la valeur elle-même est affichée, jamais une carte enregistrée ou la table annexe chiffrée d'un profil.
Restauration de session
Ce qui était ouvert lors de la dernière fermeture du navigateur - souvent une question à laquelle rien d'autre dans le profil ne peut répondre.
Enregistrements supprimés
Enregistrements récupérés à partir de pages que la base de données a libérées mais pas encore réutilisées - une extraction au mieux, pas une récupération garantie.
Toutes les tables
Parcourez directement n'importe quelle table de la base de données, y compris celles pour lesquelles cet outil n'a pas de vue dédiée.
Chaînes de caractères
Chaque séquence de texte lisible n'importe où dans le fichier, y compris les zones vers lesquelles aucune table ne pointe plus.
Comprendre la forensique des artefacts de navigateur
Pourquoi les navigateurs stockent l'historique en SQLite
Chrome et Firefox conservent tous deux les données de leur profil dans de simples fichiers de base de données SQLite - History, Cookies et Login Data pour Chrome, places.sqlite et cookies.sqlite pour Firefox - généralement sans aucune extension de fichier. Comme le format sur disque de SQLite est entièrement documenté et stable, ces fichiers peuvent être lus directement sans le navigateur qui les a créés, ce qui fait d'un profil de navigateur l'un des artefacts les plus riches et les plus fréquemment examinés dans une enquête numérique.
Pourquoi effacer l'historique laisse une trace
L'historique de navigation est stocké en double : une ligne par adresse distincte portant un compteur de visites cumulatif, et une ligne par visite individuelle. Effacer une plage de dates supprime les lignes de visite individuelles mais ne réinitialise pas les compteurs par adresse, si bien qu'un profil peut se retrouver à revendiquer des centaines de visites tout en ne conservant presque aucun enregistrement de visite. Cette incohérence, ainsi que des lacunes dans les identifiants de ligne jamais réutilisés et des enregistrements de visite pointant vers des adresses qui n'existent plus, transforme un « historique qui semble vide » en preuve positive qu'il a été supprimé plutôt que jamais créé.
Ce qui arrive à une ligne supprimée
Supprimer une ligne ne l'efface pas. SQLite délie la page sur laquelle elle se trouvait et l'ajoute à une « liste libre » d'espace disponible pour réutilisation, mais à moins que le paramètre de suppression sécurisée ne soit activé, les octets restent exactement tels quels - souvent y compris la structure interne propre de la page. Une page libérée peut donc fréquemment être décodée comme une page normale, récupérant des lignes supprimées avec leurs identifiants de ligne d'origine et les bonnes limites de colonnes. Ce qui est véritablement perdu, c'est tout ce dont la page a depuis été redistribuée et réécrite.
Pourquoi les horodatages de Chrome commencent en 1601
Chrome hérite de la convention Windows consistant à compter le temps depuis le 1er janvier 1601, en microsecondes, tandis que Firefox compte les microsecondes depuis l'epoch Unix de 1970 et stocke l'expiration des cookies en secondes brutes - trois unités différentes au sein de deux bases de données qui, par ailleurs, se ressemblent. Lire un horodatage avec la mauvaise hypothèse ne produit pas d'erreur, mais une date fausse et parfaitement crédible, c'est pourquoi chaque horodatage affiché ici est converti selon la base de données spécifique dont il provient plutôt que selon une règle globale unique.