Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

Ie cache data

3,171 views

Published on

まっちゃ445 勉強会 めざましの会の LT 資料

Published in: Technology
  • Be the first to comment

Ie cache data

  1. 1. IE のキャッシュのオフライン調査について 村地 彰 aka hebikuzure
  2. 2. Internet Explorer のキャッシュ ここ
  3. 3. ファイルを表示させると
  4. 4. 実体は…Windows Vista 以降の場合• 保護モード無効のキャッシュ %userprofile%¥AppData¥Local ¥Microsoft¥Windows ¥Temporary Internet FilesContent.IE5• 保護モード有効のキャッシュ %userprofile%¥AppData¥Local ¥Microsoft¥Windows ¥Temporary Internet FilesLow Content.IE5
  5. 5. なぜ Content.IE5 ??• Internet Explorer のキャッシュ データ構 造は IE5 から変わっていないため•IE5 ???•13年間不変の テクノロジー(^_^.)
  6. 6. Content.IE5 の中身• index.dat – インデックスファイル• キャッシュ フォルダ – ランダムな英数8文字の名前のフォルダ – フォルダ内の一時ファイルの実データ ファイ ルを格納
  7. 7. こんな感じ
  8. 8. さらにフォルダ内を見る
  9. 9. キャッシュの情報はどこに?• 実データ ファイル – ダウンロードされたコンテンツ そのも のがファイルとして保存されている• Temporary Internet Files には「インター ネット アドレス」「有効期限日時」「最 終変更日時」「最終アクセス日時」「最 終チェック日時」などが表示される – これらの情報はどこに??
  10. 10. 情報は index.dat にある• index.dat – バイナリ ファイル – データ構造は非公開 – データにアクセスする API (WinInet API) が公開されている 中身が見たい
  11. 11. 注意事項• ログオンしているユーザーの index.dat は システム プロセスがロックしているので 普通には開けない• 不用意に書き換えるとキャッシュが壊れ て不具合が生じる• 別のユーザーでログオンするか、別のシ ステムでブートして、index.dat をコピー してから開く
  12. 12. バイナリ エディタで開く 何か 見える
  13. 13. 中身を確認 シグネチャ フォルダ名
  14. 14. さらに確認 何か出た アドレス? ヘッダー?
  15. 15. 分かる事• index.dat はバイナリ情報が含まれている が、テキストがそのまま記録されている 部分もある• 基本的な情報はテキストを抽出するだけ でも取得できる (strings とか)
  16. 16. 詳しい人いた~\(◎o◎)/!• この人• The INDEX.DAT File Format http://www.geoffchappell.com/studies/ windows/ie/wininet/api/urlcache/index dat.htm
  17. 17. The INDEX.DAT File Format• index.dat のファイル構造を解析して公開 しています• 某中の人によれば、ここに書いてある内 容は「正しいと考えられる」だそうです• 実際に採取した index.dat は、この解析結 果の通りの構造でした• と言う事で、キャッシュの静的解析をす るなら必読
  18. 18. 同じような解析情報• Internet Explorer History File Format http://www.forensicswiki.org/wiki/Inte rnet_Explorer_History_File_Format• MSIE Cache File (index.dat) format.pdf http://sourceforge.net/projects/libmsiecf /files/Documentation/MSIE%20Cache%2 0File%20format/
  19. 19. その他の参考情報• A bit about WinInets Index.dat http://blogs.msdn.com/b/wndp/archive /2006/08/04/wininet-index-dat.aspx• A bit about WinInets Index.dat – Q&A http://blogs.msdn.com/b/wndp/archive /2006/08/07/wininet-index-dat-q-and- a.aspx
  20. 20. つづき• Internet Explorer 一時ファイルが肥大化する http://blogs.technet.com/b/jpieblog/arc hive/2011/09/09/3452071.aspx
  21. 21. さらにこんなツールも…• Index Dat Spy http://www.stevengould.org/index.php? option=com_content&task=view&id=47&I temid=88• Index.dat Viewer http://www.acesoft.net/index.dat%20vie wer/index.dat_viewer.htm• libmsiecf http://sourceforge.net/projects/libmsiecf/
  22. 22. ありがとうございました• ブラウザー勉強会 – 開催準備中• ネットワーク パケットを読む会(仮) – 7/30 に第10回を開催します – 「パケット解析を通じたマルウェア追跡」ほか – http://atnd.org/event/pakeana10

×