[3] ~ 브라우저 아티팩트 실습

MUICache

: windows에서 다중 언어를 지원하기 위해 존재하는 캐시.

windows에서 돌아가는 다양한 응용 프로그램들이 다양한 언어가 적용됨 -> 지원하기 위해 MUI 파일 만들어 배포 -> MUI 파일들에서 MUICache가 생성됨.

(MUI: Multilingual User Interface)

- 경로 :

HKCU\Software\Classes\Local Settings\MuiCache

HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache

 

AmCache & ShimCache

: 응용 프로그램 & 운영체제의 호환성을 위해 존재하는 캐시.

운영체제가 업데이터 되었을 때, DLL 파일 수정 삭제 일어남 -> 응용 프로그램에서는 API를 통해 DLL 함수들을 호출하는데 여기에서 호환성 문제 발생 -> windows에서는 프로그램 호환성 관리자를 통해 이 문제 해결함.

AmCache : 모든 실행 파일의 이름, 경로, 크기, 해시값 확인

ShimCache (AppCompatCache) : 실행파일의 이름, 경로, 크기 정보 확인 / 마지막 실행 시간 확인

- 경로 :

%SystemDrive%\Windows\AppCompat\Programs\Amcache.hve

HKLM\SYSTEM\ControlSet001\Control\Session Manager\AppCompatCache

HKLM\SYSTEM\CurrentControlSet\Control\SessionManager\AppCompatCache

 

Web Browser Artifacts

Web Browser : 인터넷을 이용하기 위해 실행하는 응용프로그램(whale, chrome 등). 웹 검색, 로그인 정보, 파일 다운로드, 영상 시청

(경로 :

Chrome : %UserProfile%\AppData\Local\Google\Chrome\User Data\Default\

Edge : %UserProfile%\AppData\Local\Microsoft\Windows\WebCache\

Whale : %UserProfile%\AppData\Local\Naver\Naver Whale\User Data\Default\)

(분석도구:

Chrome : ChromeCacheView, Hindsight

Edge : IE10Analyzer, ESEDatabaseView

Whale : Carpe Forensics)

 

브라우저 아티팩트 : 웹브라우저가 행하는 수많은 행동들을 포렌식적으로 분석하는 것

 

History : 방문한 URL, 방문 횟수, 방문 시각 등

Cache : 캐시로 저장되는 이미지, 텍스트, 스크립트, 아이콘, 시간, 크기 등

Cookie : 사용자 데이터, 자동 로그인 등

Download list : 저장 경로, URL, 크기, 시간, 성공 여부 등