Når man undersøker hva som har skjedd på en datamaskin, er nettleseren ofte det store stille vitnet. Firefox, med sitt profilsystem og sin intensive bruk av SQLite-databaser , er spesielt interessant innen dataetterforskning: den lar deg rekonstruere økter, spore nettaktivitet, gjenopprette tilsynelatende tapte historikker og til og med hente profiler som nettleseren selv har "glemt" etter en tilbakestilling eller krasj.
Firefox-etterforskning krever i stedet for å bare se på historikken, at man forstår hvordan den lagrer, sletter og rekonstruerer informasjon , hvordan den organiserer brukerprofiler og hvilke artefakter som kan hentes ut etter en hendelse. I denne artikkelen skal vi i detalj undersøke teknikkene og beste praksisene for å gjenopprette økter og profiler, både fra et etterforskningsperspektiv og fra perspektivet til en avansert bruker som ønsker å gjenopprette dataene sine.
Hvorfor nettleseren (og spesielt Firefox) er nøkkelen i rettsmedisinske undersøkelser
I nesten alle tilfeller av digital analyse skjer en stor del av brukeraktiviteten via nettleseren : søk, sosiale medier, nettbank, webpost, kjøp, nedlastinger, tilgang til administrasjonspaneler osv. Hver av disse handlingene etterlater spor i form av artefakter: historikk, hurtigbuffer, informasjonskapsler, lokale databaser, midlertidige filer eller nedlastingslogger.
I Firefox bidrar disse artefaktene ikke bare til å svare på «hva som ble gjort», men også på «når», «fra hvilken profil» og «med hvilken aktiv konto eller økt ». Det er her tidsstempler og korrelasjonen mellom ulike beviskilder kommer inn i bildet: profilfiler, SQLite-databaser, nedlastingslogger eller til og med sikkerhetskopier av profiler.
Et poeng som ofte overrasker mange brukere er at selv når man bruker privat nettlesing, fortsetter hurtigbufrede data, midlertidige informasjonskapsler og diskfiler å bli generert under økten . Selv om lukking av det private vinduet logisk sletter denne informasjonen, kan innholdet forbli i uskrevne sektorer på disken eller i minne-/sidefiler, som kan gjenopprettes med avanserte rettsmedisinske teknikker.
Derfor er korrekt bevaring av Firefox-profilmappen en prioritet i den profesjonelle praksisen med dataetterforskning : du bør alltid jobbe med etterforskningskopier (bilder eller duplikater) og unngå å åpne nettleseren normalt på originalbeviset, for ikke å endre artefaktene.
Firefox-profilens rettsmedisinske struktur og viktige artefakter
Firefox organiserer alle brukerdata i én eller flere profiler. En profil er rett og slett en systemmappe der innstillinger, historikk, passord, økter og utvidelser lagres . Fra et rettsmedisinsk perspektiv er denne mappen uvurderlig fordi den muliggjør svært nøyaktig rekonstruksjon av brukeraktivitet.
På Windows-systemer er den typiske profilstien %APPDATA%\Mozilla\Firefox\Profiles\ , mens den på Linux ligger på Home/<brukernavn>/.config/mozilla/firefox . Innenfor disse stiene vil du se flere mapper med navn som abcd1234.default eller xyz7890.default-release , som representerer forskjellige profiler tilknyttet den brukeren.
I hver profilmappe finner vi blant annet en rekke filer og databaser som er av spesiell interesse for rettsmedisinsk analyse:
- steder.sqliteDen samler inn nettleserhistorikk og bokmerker. Det er en av de sentrale komponentene, ettersom den kombinerer URL-er, titler, tidsstempler og forhold mellom besøk.
- informasjonskapsler.sqlitelagrer informasjonskapsler, nøkler for å spore aktive økter, nettgodkjenninger og brukerpreferanser.
- formhistory.sqlite: inneholder autofullføringsoppføringer og skjemaer, nyttig for å hente søkeord eller data som er skrevet inn i nettfelt.
- tillatelser.sqlite: registrerer tillatelser gitt til nettsteder (for eksempel kameratilgang eller varsler), noe som bidrar til å sette bruken av bestemte tjenester i kontekst.
- webappsstore.sqlitelagrer lokale lagringsdata for webapplikasjoner (localStorage), som kan inkludere øktidentifikatorer eller innstillinger for online tjenester.
I tillegg til SQLite-databasene inneholder profilmappen filer som prefs.js (brukerpreferanser og interne parametere) , installerte utvidelser, temaer, øktfiler og diverse underkataloger ( lagring , cache , bookmarkbackups osv.) som kan utfylle aktivitetstidslinjen.
Fra et rettsmedisinsk perspektiv blir det viktig å mestre bruken av verktøy for å lese og spørre SQLite-databaser uten å ødelegge dem (for eksempel SQLiteStudio eller andre visningsprogrammer): de lar deg kjøre avanserte spørringer på historikk, informasjonskapsler og skjemaer for å rekonstruere navigasjon i detalj.
Rettsmedisinske gjenopprettingsteknikker for nettleserøkter og faner
Mange nettlesere implementerer mekanismer for «gjenoppretting av faner» når faner lukkes brått, enten det skyldes et krasj, strømbrudd eller omstart av systemet. Disse systemene lagrer vanligvis informasjon om åpne faner, vinduer og aktive økter midlertidig , noe som er en utmerket kilde til kontekst for rettsmedisinske analytikere.
Mens det klassiske historiske eksemplet er Internet Explorer, med sine index.dat -filer og dedikerte mapper for gjenoppretting av faner, opprettholder Firefox også øktstrukturer i profilmappen sin. Disse filene kan avsløre hvilke faner som var åpne rett før et krasj , hvilke nettsteder som var i bruk, og hvilke kontoer som kan ha blitt autentisert.
Ved å analysere disse øktstrukturene sammen med nettleserlogg og hurtigbuffer , er det mulig å demonstrere fakta som at en side faktisk ble vist på enheten, at det var en aktiv økt på en bestemt tjeneste, eller at brukeren prøvde å gjenopprette en konto eller utføre en bestemt operasjon rett før hendelsen.
Metodisk sett bør ikke gjenopprettelige økter sees isolert: det er viktig å korrelere dem med nedlastingstidsstempler, systemlogger, e-poster og andre artefakter . Bare på denne måten kan en solid og forsvarlig fortelling bygges for en prøveperiode eller revisjon.
Administrere, sikkerhetskopiere og gjenopprette Firefox-profiler
Utover ren rettsmedisinsk analyse er det svært vanlig å måtte sikkerhetskopiere og gjenopprette Firefox-profiler for å forhindre datatap etter et krasj, en ny installasjon eller en tilbakestilling av nettleseren. Denne prosedyren, som enhver avansert bruker kan utføre, fungerer også som en bevisbevaringsteknikk i rettsmedisinske settinger.
En enkel måte å finne profilmappen din fra grensesnittet er å åpne Firefox, gå til hovedmenyen, klikke på «Hjelp» og deretter på «Mer feilsøkingsinformasjon» (tilsvarende den interne about:support- siden ). På den siden finner du en linje kalt «Profilmappe» med en «Åpne mappe»-knapp som tar deg direkte til profilmappen din.
Når du er i riktig mappe, er det like enkelt å lage en manuell sikkerhetskopi som å velge alt innholdet og kopiere det til et annet sted : en ekstern harddisk, en USB-minnepinne eller en intern sikkerhetskopimappe. Det anbefales imidlertid å lukke Firefox helt før du kopierer for å unngå låste filer eller inkonsekvenser.
For å gjenopprette sikkerhetskopien på samme datamaskin, lukker du ganske enkelt Firefox, navigerer tilbake til den opprinnelige profilmappen og limer inn de sikkerhetskopierte elementene, og overskriver de eksisterende . Systemet vil vise en advarsel om filutskifting som du må godta. Når du åpner Firefox på nytt, vil nettleseren laste inn den gjenopprettede profilen, med historikk, økter (der det er mulig), passord, utvidelser og preferanser nøyaktig slik de var.
Når du vil flytte en profil til en annen maskin eller en ny Firefox-installasjon, endrer ting seg litt: hvis navnet på profilmappen ikke lenger samsvarer , er det best å bruke profilbehandleren. Fra et åpent Firefox-vindu kan du få tilgang til den ved å skrive about:profiles i adressefeltet. Hvis Firefox er lukket, kan du også starte den med kommandoen firefox.exe -p i Windows.
I denne profilbehandleren opprettes en ny profil, og når den er generert, kopieres sikkerhetskopien til mappen for den nye profilen . Når Firefox startes med denne profilen, vil brukeren gjenopprette all informasjonen sin som om de aldri hadde byttet maskin. For enda mer presis kontroll kan profilen redigeres slik at den peker direkte til en mappe med et bestemt navn, og tilpasses en bevisstruktur eller en intern organisasjonspolicy.
Rettsmedisinsk gjenoppretting av "tapte" profiler etter en Firefox-tilbakestilling
Av og til, etter et krasj, en problematisk oppdatering, eller på grunn av en nettleserkaprer , eller etter å ha byttet mellom versjoner (f.eks. stabil og beta), kan Firefox starte med en ny profil og gi inntrykk av at alt er tapt : bokmerker forsvinner, historikken er tom, utvidelser mangler ... I virkeligheten er de gamle profilene i de fleste tilfeller fortsatt på disken, men nettleseren har sluttet å referere til dem.
Den grunnleggende strategien for å gjenopprette dem kombinerer to handlinger: identifisere profilene Firefox bruker for øyeblikket og finne de gamle profilmappene i filsystemet . Det første trinnet gjøres vanligvis fra about:profiles , der aktive profiler og stiene deres er listet opp. Det er nyttig å notere navnene på de gjeldende profilene, for eksempel 4jwpkg44.default-release eller bjk4rx6v.default.
Deretter navigerer du til den generelle profilbanen i operativsystemet ditt (for eksempel \AppData\Roaming\Mozilla\Firefox\Profiles i Windows) og ser gjennom alle eksisterende mapper. Disse vil inneholde både nye og gamle profiler . For å skille mellom de gamle profilene og de du brukte før tilbakestillingen, kan du se på størrelsen på hver mappe (de største er vanligvis de mest brukte) eller inspisere undermapper som storage\default for å gjenkjenne kjente steder i historikken din.
Det er også viktig å være oppmerksom på den «andre delen» av mappenavnet: endelsene er vanligvis «.default» eller «.default-release» . For å unngå forvirring bør du matche en gammel «.default»-profil med en gjeldende «.default»-profil, og det samme gjelder «.default-release». Når du har identifisert hvilken mappe som tilsvarer den ønskede gamle profilen, kopierer du alle filene og limer dem inn i mappen til den gjeldende profilen du noterte, og erstatter det eksisterende innholdet.
Hvis personen hadde flere gamle profiler, kan prosessen gjentas for hver enkelt. En av bivirkningene av denne metoden er at profilvelgeren i grensesnittet (knappen ved siden av adressefeltet) kan bli "feiljustert ", vise et tomt navn eller slutte å reagere, fordi Firefox internt fortsetter å peke til tidligere stier.
Selv i dette mindre ideelle scenariet vil dataene dine bli gjenopprettet: Firefox vil laste inn historikken, øktene, bokmerkene og innstillingene dine på nytt slik de var før tilbakestillingen. For å bytte profiler manuelt kan du alltid bruke siden about:profiles på nytt , som lar deg åpne en hvilken som helst oppført profil selv om den visuelle velgeren ikke fungerer som den skal.
Avansert profiljustering ved hjelp av SQLite og konfigurasjonsfiler
Når en mer "finjustert" reparasjon av profilsystemet er nødvendig, eller den interne velgeren må være fullt operativ, kan det være nødvendig å redigere SQLite-databasen som lagrer forholdet mellom profiler og stier . Denne informasjonen lagres i .sqlite-filer i Profile Groups -mappen.
På Windows er den typiske stien \AppData\Roaming\Mozilla\Firefox\Profile Groups , mens den på Linux ligger i Home/<brukernavn>/.config/mozilla/firefox/Profile Groups . Denne katalogen inneholder vanligvis én eller flere .sqlite-filer, ofte med navn som ca96babb.sqlite eller lignende. Disse filene inneholder en tabell kalt «profiler» med en «sti»-kolonne som angir mappen som er knyttet til hver profil.
For å identifisere den relevante profilgruppefilen kan du laste den opp til et SQLite-visningsprogram på nett eller åpne den med et redigeringsprogram som SQLiteStudio og se gjennom innholdet i tabellen «profiler». Ved å søke etter stier som samsvarer med de gamle eller nåværende profilmappene, kan du finne ut hvilken database som må endres.
Etter at du har sikkerhetskopiert .sqlite-filen (viktig før du gjør noen endringer), rediger "path"-kolonnen for de nødvendige postene, og endre referanser som Profiles\ til Profiles\ . Lagre filen, og erstatt deretter originalen med denne modifiserte versjonen i Profile Groups -mappen . På denne måten knytter Firefox profilene riktig til de nye stiene igjen , og profilvelgeren gjenvinner sin normale funksjonalitet.
Det finnes alternative metoder foreslått av avanserte brukere for å unngå direkte redigering av databasen. En av dem innebærer å bruke Firefox sitt synkroniseringsalternativ etter å ha byttet profilfiler , slik at selve synkroniseringsmekanismen "tilbakestiller" informasjonen og velgeren fungerer igjen, uten å måtte endre SQLite manuelt.
En annen metode er å redigere prefs.js -filen i hver profilmappe. Ved å åpne den med en tekstredigerer og søke etter oppføringen «toolkit.profiles.storeID» , kan du justere verdien slik at den samsvarer med navnet på profilgruppens .sqlite-fil (for eksempel endre den til noe sånt som («toolkit.profiles.storeID», «7d97d1ff» ). Dette justerer profilen med den tilsvarende butikken og hjelper Firefox med å gjenkjenne strukturen riktig.
Til slutt har alternative metoder også blitt beskrevet i fellesskapet for tilfeller der metodene ovenfor ikke fungerer, som kombinerer redigering av stier, oppretting av nye profiler fra about:profiles og manuell tildeling av mapper på nytt. Fra et rettsmedisinsk perspektiv er det viktigste å alltid jobbe med sikkerhetskopier , dokumentere alle endringer og beholde de originale bevisene intakte.
Automatisk sikkerhetskopiering av Firefox-profiler ved hjelp av eksterne verktøy
Det går fint å sikkerhetskopiere profilmappen manuelt i nødstilfeller, men i mange miljøer anbefales regelmessige, automatiserte sikkerhetskopier . Det er her tredjepartsverktøy som er spesielt utviklet for å administrere nettleserprofiler eller utføre planlagte synkroniseringer kommer inn i bildet.
Et av de klassiske verktøyene er MozBackup , et frittstående program som opprinnelig ble utviklet for å sikkerhetskopiere og gjenopprette profiler for Mozilla-produkter, inkludert Firefox. Hovedfordelen er den enkle veiviseren: du velger profilen, velger hvilke komponenter som skal sikkerhetskopieres (bokmerker, historikk, passord, utvidelser osv.), og den genererer en sikkerhetskopifil som deretter kan gjenopprettes på samme maskin eller en annen.
Det er imidlertid viktig å merke seg at MozBackup ikke lenger er under aktiv utvikling . Det finnes kjente problemer, og det tekniske teamet uttalte den gang at de manglet ressurser til å fortsette å fikse dem og legge til funksjoner. Bruken av dette programmet bør derfor skje på brukerens eller analytikerens egen risiko, og det må alltid bekreftes at sikkerhetskopien ble opprettet og gjenopprettet riktig.
Et annet populært alternativ var Firefox Environment Backup Extension (FEBE) , et nettlesertillegg designet for å lage komplette sikkerhetskopier av miljøet: lagrede passord, preferanser, informasjonskapsler, historikk, temaer, installerte utvidelser og til og med filer som ikke er relatert til Firefox hvis brukeren ønsker det.
FEBE lar deg planlegge automatiske sikkerhetskopier (daglig, ukentlig eller månedlig) og, i de mer avanserte versjonene, laste opp sikkerhetskopier til tjenester som Box.net. Som med alle utvidelser er det en risiko for inkompatibilitet med fremtidige versjoner av Firefox eller at vedlikeholdet av tillegget kan avta, så det er alltid lurt å sjekke hvilken versjon du bruker og om den fortsatt er aktiv.
Utover Mozillas spesifikke verktøy kan generiske synkroniseringsprogrammer som SyncBackFree også brukes . Denne løsningen lar deg definere sikkerhetskopierings- og gjenopprettingsprofiler for spesifikke mapper, inkludert Firefox-profilmappen, og automatisere prosessen. Den inneholder ingen annonser eller skadelig programvare, og gratisversjonen er tilstrekkelig for mange hjemmebrukere eller små organisasjoner.
SyncBackFree er imidlertid ikke kompatibel med Windows Server-versjoner. I slike miljøer kreves det høyere utgaver som SyncBackSE eller SyncBackPro. For rettsmedisinsk bruk er fordelen at det muliggjør hyppige sikkerhetskopier uten at brukeren må huske å gjøre det manuelt , noe som minimerer risikoen for å miste kritisk informasjon mellom en hendelse og neste sikkerhetskopiering.
Nettlesernes og e-postens rolle i digital forskning
Selv om fokuset her er på Firefox, er det nyttig å forstå det som en del av et bredere økosystem av bevis. Andre nettlesere, som Chrome og Chromium-baserte nettlesere, bruker også SQLite-databaser og lignende artefakter for historikk og informasjonskapsler, noe som muliggjør bruk av analoge metoder i analysen.
Chrome lagrer for eksempel nettleserlogg og informasjonskapsler i databaser som er kompatible med SQLite-visningsprogrammer, og hurtigbufferanalysen kan bevise at innhold faktisk ble lastet inn på enheten. Å tolke informasjonskapsler og historikk sammen gjør det mulig å koble handlinger til en bestemt bruker og tidspunkt , akkurat som i Firefox, og utvider dermed undersøkelsens kontekst utover én enkelt nettleser.
Parallelt er e-poster ofte nært knyttet til sikkerhetshendelser : phishing, identitetstyveri, svindel, interne datalekkasjer osv. Metadataene deres (fullstendige overskrifter, transittruter, mellomliggende servere, datoer og tidssoner) tillater verifisering av en meldings omtrentlige opprinnelse, avsenderens autentisitet og e-postklientens teknologi.
Ved å korrelere disse dataene med nettleseraktivitet (for eksempel en phishing-lenke klikket fra en bestemt konto, eller en nettbankøkt startet etter å ha mottatt en mistenkelig e-post), kan svært nøyaktige hendelseskjeder rekonstrueres . Nøkkelen er å nærme seg analysen helhetlig, integrere nettleserartefakter, e-poster, operativsystemlogger og andre tilgjengelige kilder.
Kort sagt, rettsmedisinsk analyse av nettlesere som Firefox handler ikke bare om å gjennomgå en liste med URL-er . Det innebærer en grundig forståelse av hvordan data lagres, endres og slettes; hvordan profiler, økter, SQLite-databaser og sikkerhetskopier administreres; og hvordan disse elementene er integrert i en streng metode for å bevare, utvinne, analysere, korrelere og presentere resultater.
Alt vi gjør på nettet etterlater spor, og Firefox lagrer en betydelig del av denne informasjonen. Å vite hvordan man finner, beskytter og om nødvendig gjenoppretter nettleserøkter og profiler rettsmedisinsk utgjør hele forskjellen mellom en feilaktig etterforskning og en robust, replikerbar og forsvarbar analyse – viktig for både cybersikkerhetseksperter og avanserte brukere som ønsker å holde dataene sine trygge til enhver tid.
