Що таке index.dat: невидимий щоденник Internet Explorer і його спадкоємці

Чим був index.dat

Internet Explorer зберігав історію, cookies і набрані адреси не в окремих файлах, а у структурованих базах index.dat, розкиданих профілем користувача — усередині тек Temporary Internet Files, History і Cookies. Кожному відвіданому сайту діставався запис, записи переживали «видалення історії» з меню браузера, а файли трималися відкритими операційною системою, тож спроба видалити вручну повертала помилку «файл зайнятий». Зростання теж було без стелі: на машині з малим диском сотні мегабайт невидимого журналу — звичайна справа. Для форензики й будь-кого з фізичним доступом index.dat був ідеальним свідком: історія переглядів, впевнена, що її видалили.

Що Windows веде нині

Internet Explorer остаточно вимкнули в лютому 2023-го, і старі index.dat на Windows 10 та 11 — здебільшого історія. Але сама звичка записувати переїхала на нові місця:

• WebCache (WebCacheV01.dat): база ESE у %LOCALAPPDATA%\Microsoft\Windows\WebCache, де досі архівується історія IE і класичного Edge
• Jump lists і Recent items: меню правого кліку на панелі задач пам'ятають, які файли відкривала кожна програма, у файлах, до яких чистильники звичайно не дотягуються
• Thumbs.db і кеш мініатюр: візуальний покажчик вмісту тек із фото, включно з уже видаленими знімками
• База SRU: власний журнал Windows — запуски програм, мережеві підключення і навіть тривалість роботи
• AmCache: перелік усіх програм, що виконувалися, з часовими мітками, створений для діагностики й охоче читаний форензикою

Що насправді видаляє очищення історії браузера

Кнопка «видалити історію» в Chrome, Edge чи Firefox вичищає бази самого браузера — і тільки: перелічені артефакти рівня ОС зберігають свої записи, а читатимуть при розгляді диска саме їх. Приватний режим робить ці сліди тоншими, але не нульовими: система так само журналює запуск exe-файла, а jump list може запам'ятати звантажений файл. Якщо загроза — сторонній, який отримує машину у спадок, видалення історії — найменший із жестів; справжня відповідь — повне затирання диска при зміні власника. Якщо загроза побутова, практичний крок — знати, яких артефактів торкається ваш чистильник: чимало досі рекламують index.dat, файла якого вже нема, і не чіпають баз, що зайняли його місце.

Питання та відповіді

Читайте також