Xin chào quản trị viên hệ thống hư hỏng... Tôi đã theo dõi lịch sử tìm kiếm của bạn trong mùa hè này O_o
Làm sao để phát hiện khi người dùng xóa lịch sử Chrome của họ và có cách nào để phục hồi dữ liệu đó không? Câu trả lời là… tùy thuộc. 😈
Một chỉ báo tốt để khôi phục những gì người dùng đã làm khi họ xóa lịch sử trình duyệt Chrome của mình là bằng cách kiểm tra bên trong thư mục C:\Users\<name>\AppData\Local\Google\Chrome\User Data\Default\Sessions. Hai tệp bạn cần xem có tên là:
- Session_<Webkit/Chrome date>
- Tabs_<Webkit/Chrome date>
Tệp Session lưu trữ thông tin phiên làm việc và tệp Tabs lưu trữ những tab nào họ đã mở. Trong một tình huống nhất định khi người dùng XÓA lịch sử Chrome của họ, những gì họ đang duyệt có thể vẫn tồn tại trong các tệp này.
Có một số trường hợp tiềm ẩn có thể xảy ra và chúng ta sẽ xem xét tất cả các trường hợp đó:
- Một người dùng đã xóa lịch sử của họ và không sử dụng Chrome kể từ đó
- Người dùng xóa lịch sử của họ và mở lại MỘT phiên mới
- Người dùng xóa lịch sử của họ và mở lại một số phiên kể từ đó
Tình huống 1: Người dùng đã xóa lịch sử của họ và không sử dụng Chrome kể từ đó
Khi người dùng xóa lịch sử Chrome của họ (tất cả thời gian hoặc thậm chí là giờ cuối cùng) và không mở Chrome kể từ đó, mọi thứ họ đã xem trong phiên làm việc vẫn được LƯU TRỮ bên trong các tệp phiên. Đây là tin tuyệt vời vì tệp phiên được ghi ngày với dấu thời gian Webkit/Chrome chính xác trong tên tệp. Tại sao lại như vậy? Tôi không làm việc cho Google nên tôi có nfi.
Trong trường hợp này, các tập tin tôi đang xem có tên là:
- Session_13311227045752079
- Tabs_13311227047407569
Sử dụng bộ chuyển đổi thời gian này ( https://www.epochconverter.com/webkit ), bạn có thể xem thời gian người dùng “exited” phiên làm việc là 2022-10-26T03:04:05Z. Bạn có thể xem toàn bộ dòng thời gian về những gì người dùng đã làm bằng cách xem nội dung của tệp. Xin lưu ý rằng không có “dấu thời gian - timestamps” tương ứng nào được ghi lại trong tệp này. Đây là giao diện của tệp:
Có vẻ như đây là một mớ hỗn độn lộn xộn? Vâng. Tôi biết, nhưng thực ra nó được cấu trúc tốt và tôi sẽ cho bạn thấy nó trông như thế nào trong đầu ra dòng thời gian. Đây là dòng thời gian đầy đủ về những gì quản trị viên hệ thống kỳ lạ của chúng ta đang xem:
Trong trường hợp của người dùng này, họ đang tìm kiếm “Naruto Feet Pics” UwU và đây là những gì họ đang xem. Họ đã mở một tìm kiếm Google cho “Naruto feet pics” và sau đó hình ảnh này là những gì họ đã tiến hành “click”. Nguồn hình ảnh là https://www.deviantart.com/tag/temaritoes.
Tình huống 2: Người dùng xóa lịch sử của họ và mở lại MỘT phiên mới
Đầu tiên, làm sao bạn biết họ đã làm điều này? Hãy để cô gái của bạn giúp bạn. Trong trường hợp này, sẽ có hai tệp phiên và tệp tab trong thư mục!
Bây giờ một trong những phiên làm việc này sẽ tương ứng với các tập tin đã "deleted" trước đó.
Đây là những ngày buồn T_T, vì nội dung thực tế của phiên "cleared" sẽ bị xóa ngoại trừ bằng chứng cho thấy lịch sử đã được xóa. Dữ liệu duy nhất bạn có thể dựa vào là:
Ngày xóa phiên làm việc bạn lấy từ tên kỷ nguyên Webkit/Chrome của phiên.
Bạn có một số tùy chọn khác như cân nhắc kéo từ Volume Shadow Copies hoặc xem bản dump sự cố Chrome (nếu có). Nhưng bản thân dữ liệu có vẻ như bị vô hiệu hóa trong các tệp này.
Tình huống 3: Người dùng xóa lịch sử của họ và mở lại một số phiên kể từ đó
Đây là GG đối với chúng tôi về mặt pháp y. Trước đây, tệp Favicons sẽ lưu trữ các trang web có khả năng "cleared" mà người dùng đã truy cập. Nhưng tôi thấy điều này rất không nhất quán và không phù hợp với kết quả tôi nhận được trong quá trình thử nghiệm:
C:\Users\<user>\AppData\Local\Google\Chrome\UserData\Default\Favicons
Vị trí duy nhất tôi tìm thấy liên tục tham chiếu đến các thuật ngữ tìm kiếm “deleted” là bên trong tệp này:
C:\Users\<tên>\AppData\Local\Google\Chrome\UserData\Default optimization_guide_prediction_model_downloads/b0b608bd-983f-4cf9-aee4-99fc96c39371/global-entities_metadata
Có vẻ như khi bạn "search" một số thuật ngữ nhất định, Google cố gắng tối ưu hóa tìm kiếm của bạn và lưu trữ một số dữ liệu này bên trong đây. Thật không may, nó cũng lưu trữ rất nhiều thứ vô nghĩa không thú vị khác, vì vậy tôi không chắc đây có phải là hiện vật pháp y tốt hay không.
Tạm biệt và cảm ơn vì đã dành thời gian! <3
Nguồn: inversecos.com