Что такое index.dat: невидимый дневник Internet Explorer и его наследники

Чем был index.dat

Internet Explorer хранил историю, куки и набранные адреса не в отдельных файлах, а в структурированных базах index.dat, раскиданных по профилю пользователя — внутри папок Temporary Internet Files, History и Cookies. Каждому посещённому сайту доставалась запись, записи переживали «удаление истории» из меню браузера, а файлы держались открытыми операционной системой, так что попытка удалить вручную возвращала ошибку «файл занят». Рост у них тоже был без потолка: на машине с маленьким диском сотни мегабайт невидимого лога — обычное дело. Для форензики и любого, у кого был физический доступ, index.dat был идеальным свидетелем: история просмотров, уверенная, что её удалили.

Что Windows ведёт сегодня

Internet Explorer окончательно выключили в феврале 2023-го, и старые index.dat на Windows 10 и 11 — по большей части история. Сама привычка записывать переехала на новые места:

• WebCache (WebCacheV01.dat): база ESE в %LOCALAPPDATA%\Microsoft\Windows\WebCache, где до сих пор архивируется история IE и классического Edge
• Jump lists и Recent items: меню по правому клику на панели задач запоминают, какие файлы открывала каждая программа, в файлах, до которых чистильщики обычно не дотягиваются
• Thumbs.db и кэш миниатюр: визуальный индекс содержимого папок с фото, включая уже удалённые снимки
• База SRU: собственный журнал Windows — запуски приложений, сетевые подключения и даже длительность работы
• AmCache: инвентарь всех выполнявшихся программ с метками времени, созданный для диагностики и с удовольствием читаемый форензикой

Что на самом деле удаляет очистка истории браузера

Кнопка «удалить историю» в Chrome, Edge или Firefox вычищает базы самого браузера — и только: перечисленные артефакты уровня ОС сохраняют свои записи, а читать при разборе диска будут именно их. Приватный режим делает эти следы тоньше, но не нулевыми: система всё равно журналирует запуск exe-файла, а jump list может запомнить скачанный файл. Если угроза — посторонний, получающий машину в наследство, удаление истории — самый маленький из жестов; настоящий ответ — полное затирание диска при смене хозяина. Если угроза бытовая, практичный шаг — знать, какие артефакты трогает ваш чистильщик: многие до сих пор рекламируют index.dat, файла которого больше нет, и не трогают базы, занявшие его место.

Вопросы и ответы

Читайте также