Здравы будьте!
tia - это версия инструмента для командной строки, предназначенная для анализа артефактов корзины Windows. Инструмент был разработан для работы с различными версиями форматов корзины от WinXP до Win10. Сгенерированные отчеты представляют собой различные варианты вывода CSV, чтобы обеспечить максимальную гибкость при экспорте результатов в электронную таблицу или другую базу данных.
В Windows, когда пользователь удаляет файл, операционная система переименовывает файл, а затем помещает его во временный каталог. Он остается во временном каталоге, пока мусор не будет очищен. В процессе удаления Windows создает другой сопутствующий файл, который содержит метаданные, связанные с удаленным файлом. Эти метаданные содержат время удаления вместе с путем / именем файла или папки, которые были удалены.
Временная папка, в которой хранится удаленная запись и связанные с ней метаданные, находится в каталоге корзины. Для Windows XP этот корневой каталог является папкой Recycler, а целевой файл, содержащий метаданные, является файлом info2. Каждая учетная запись на машине имеет свою собственную подпапку. Имя этой подпапки определяется SID (или идентификатором безопасности) для учетной записи пользователя. Например, если посмотреть на диск C: это будет C: \ Recycler \ {account SID} \ info2.
В Windows Vista и более поздних версиях корневым каталогом является папка $ Recycle.Bin, а файлы метаданных - это файлы с префиксом $I, за которым следуют некоторые случайные символы. (которые также находятся в каждом соответствующем аккаунте).
С точки зрения криминалистики, анализ метаданных в этих файлах позволяет увидеть, какие и когда файлы и / или папки были удалены, а также из подкаталога корзины, учетная запись которого была ответственна за удаление.
tia - это версия инструмента для командной строки, предназначенная для анализа артефактов корзины Windows. Инструмент был разработан для работы с различными версиями форматов корзины от WinXP до Win10. Сгенерированные отчеты представляют собой различные варианты вывода CSV, чтобы обеспечить максимальную гибкость при экспорте результатов в электронную таблицу или другую базу данных.
В Windows, когда пользователь удаляет файл, операционная система переименовывает файл, а затем помещает его во временный каталог. Он остается во временном каталоге, пока мусор не будет очищен. В процессе удаления Windows создает другой сопутствующий файл, который содержит метаданные, связанные с удаленным файлом. Эти метаданные содержат время удаления вместе с путем / именем файла или папки, которые были удалены.
Временная папка, в которой хранится удаленная запись и связанные с ней метаданные, находится в каталоге корзины. Для Windows XP этот корневой каталог является папкой Recycler, а целевой файл, содержащий метаданные, является файлом info2. Каждая учетная запись на машине имеет свою собственную подпапку. Имя этой подпапки определяется SID (или идентификатором безопасности) для учетной записи пользователя. Например, если посмотреть на диск C: это будет C: \ Recycler \ {account SID} \ info2.
В Windows Vista и более поздних версиях корневым каталогом является папка $ Recycle.Bin, а файлы метаданных - это файлы с префиксом $I, за которым следуют некоторые случайные символы. (которые также находятся в каждом соответствующем аккаунте).
С точки зрения криминалистики, анализ метаданных в этих файлах позволяет увидеть, какие и когда файлы и / или папки были удалены, а также из подкаталога корзины, учетная запись которого была ответственна за удаление.
Последнее редактирование модератором:
Комментарии
1