IE のキャッシュのオフライン調査について 村地 彰 aka hebikuzure
Internet Explorer のキャッシュ                   ここ
ファイルを表示させると
実体は…Windows Vista 以降の場合• 保護モード無効のキャッシュ  %userprofile%¥AppData¥Local   ¥Microsoft¥Windows    ¥Temporary Internet FilesConte...
なぜ Content.IE5 ??• Internet Explorer のキャッシュ データ構  造は IE5 から変わっていないため•IE5 ???•13年間不変の テクノロジー(^_^.)
Content.IE5 の中身• index.dat  – インデックスファイル• キャッシュ フォルダ  – ランダムな英数8文字の名前のフォルダ  – フォルダ内の一時ファイルの実データ ファイ    ルを格納
こんな感じ
さらにフォルダ内を見る
キャッシュの情報はどこに?• 実データ ファイル  – ダウンロードされたコンテンツ そのも    のがファイルとして保存されている• Temporary Internet Files には「インター  ネット アドレス」「有効期限日時」「最 ...
情報は index.dat にある• index.dat   – バイナリ ファイル   – データ構造は非公開   – データにアクセスする API (WinInet     API) が公開されている    中身が見たい
注意事項• ログオンしているユーザーの index.dat は  システム プロセスがロックしているので  普通には開けない• 不用意に書き換えるとキャッシュが壊れ  て不具合が生じる• 別のユーザーでログオンするか、別のシ  ステムでブートし...
バイナリ エディタで開く           何か          見える
中身を確認        シグネチャ        フォルダ名
さらに確認        何か出た        アドレス?        ヘッダー?
分かる事• index.dat はバイナリ情報が含まれている  が、テキストがそのまま記録されている  部分もある• 基本的な情報はテキストを抽出するだけ  でも取得できる (strings とか)
詳しい人いた~\(◎o◎)/!• この人• The INDEX.DAT File Format  http://www.geoffchappell.com/studies/  windows/ie/wininet/api/urlcache/in...
The INDEX.DAT File Format• index.dat のファイル構造を解析して公開  しています• 某中の人によれば、ここに書いてある内  容は「正しいと考えられる」だそうです• 実際に採取した index.dat は、この...
同じような解析情報• Internet Explorer History File Format  http://www.forensicswiki.org/wiki/Inte  rnet_Explorer_History_File_Forma...
その他の参考情報• A bit about WinInets Index.dat  http://blogs.msdn.com/b/wndp/archive  /2006/08/04/wininet-index-dat.aspx• A bit ...
つづき• Internet Explorer 一時ファイルが肥大化する  http://blogs.technet.com/b/jpieblog/arc  hive/2011/09/09/3452071.aspx
さらにこんなツールも…• Index Dat Spy  http://www.stevengould.org/index.php?  option=com_content&task=view&id=47&I  temid=88• Index.d...
ありがとうございました• ブラウザー勉強会 – 開催準備中• ネットワーク パケットを読む会(仮) – 7/30 に第10回を開催します – 「パケット解析を通じたマルウェア追跡」ほか – http://atnd.org/event/pakea...
Upcoming SlideShare
Loading in …5
×

Ie cache data

2,630 views

Published on

まっちゃ445 勉強会 めざましの会の LT 資料

Published in: Technology
0 Comments
2 Likes
Statistics
Notes
  • Be the first to comment

No Downloads
Views
Total views
2,630
On SlideShare
0
From Embeds
0
Number of Embeds
39
Actions
Shares
0
Downloads
13
Comments
0
Likes
2
Embeds 0
No embeds

No notes for slide

Ie cache data

  1. 1. IE のキャッシュのオフライン調査について 村地 彰 aka hebikuzure
  2. 2. Internet Explorer のキャッシュ ここ
  3. 3. ファイルを表示させると
  4. 4. 実体は…Windows Vista 以降の場合• 保護モード無効のキャッシュ %userprofile%¥AppData¥Local ¥Microsoft¥Windows ¥Temporary Internet FilesContent.IE5• 保護モード有効のキャッシュ %userprofile%¥AppData¥Local ¥Microsoft¥Windows ¥Temporary Internet FilesLow Content.IE5
  5. 5. なぜ Content.IE5 ??• Internet Explorer のキャッシュ データ構 造は IE5 から変わっていないため•IE5 ???•13年間不変の テクノロジー(^_^.)
  6. 6. Content.IE5 の中身• index.dat – インデックスファイル• キャッシュ フォルダ – ランダムな英数8文字の名前のフォルダ – フォルダ内の一時ファイルの実データ ファイ ルを格納
  7. 7. こんな感じ
  8. 8. さらにフォルダ内を見る
  9. 9. キャッシュの情報はどこに?• 実データ ファイル – ダウンロードされたコンテンツ そのも のがファイルとして保存されている• Temporary Internet Files には「インター ネット アドレス」「有効期限日時」「最 終変更日時」「最終アクセス日時」「最 終チェック日時」などが表示される – これらの情報はどこに??
  10. 10. 情報は index.dat にある• index.dat – バイナリ ファイル – データ構造は非公開 – データにアクセスする API (WinInet API) が公開されている 中身が見たい
  11. 11. 注意事項• ログオンしているユーザーの index.dat は システム プロセスがロックしているので 普通には開けない• 不用意に書き換えるとキャッシュが壊れ て不具合が生じる• 別のユーザーでログオンするか、別のシ ステムでブートして、index.dat をコピー してから開く
  12. 12. バイナリ エディタで開く 何か 見える
  13. 13. 中身を確認 シグネチャ フォルダ名
  14. 14. さらに確認 何か出た アドレス? ヘッダー?
  15. 15. 分かる事• index.dat はバイナリ情報が含まれている が、テキストがそのまま記録されている 部分もある• 基本的な情報はテキストを抽出するだけ でも取得できる (strings とか)
  16. 16. 詳しい人いた~\(◎o◎)/!• この人• The INDEX.DAT File Format http://www.geoffchappell.com/studies/ windows/ie/wininet/api/urlcache/index dat.htm
  17. 17. The INDEX.DAT File Format• index.dat のファイル構造を解析して公開 しています• 某中の人によれば、ここに書いてある内 容は「正しいと考えられる」だそうです• 実際に採取した index.dat は、この解析結 果の通りの構造でした• と言う事で、キャッシュの静的解析をす るなら必読
  18. 18. 同じような解析情報• Internet Explorer History File Format http://www.forensicswiki.org/wiki/Inte rnet_Explorer_History_File_Format• MSIE Cache File (index.dat) format.pdf http://sourceforge.net/projects/libmsiecf /files/Documentation/MSIE%20Cache%2 0File%20format/
  19. 19. その他の参考情報• A bit about WinInets Index.dat http://blogs.msdn.com/b/wndp/archive /2006/08/04/wininet-index-dat.aspx• A bit about WinInets Index.dat – Q&A http://blogs.msdn.com/b/wndp/archive /2006/08/07/wininet-index-dat-q-and- a.aspx
  20. 20. つづき• Internet Explorer 一時ファイルが肥大化する http://blogs.technet.com/b/jpieblog/arc hive/2011/09/09/3452071.aspx
  21. 21. さらにこんなツールも…• Index Dat Spy http://www.stevengould.org/index.php? option=com_content&task=view&id=47&I temid=88• Index.dat Viewer http://www.acesoft.net/index.dat%20vie wer/index.dat_viewer.htm• libmsiecf http://sourceforge.net/projects/libmsiecf/
  22. 22. ありがとうございました• ブラウザー勉強会 – 開催準備中• ネットワーク パケットを読む会(仮) – 7/30 に第10回を開催します – 「パケット解析を通じたマルウェア追跡」ほか – http://atnd.org/event/pakeana10

×