Windows缩略图缓存文件的分析和取证.docVIP

Windows缩略图缓存文件的分析和取证刘浩阳（大连市公安局，辽宁大连 116012）摘 要 ：尽管缩略图文件在 Windows 系统中一直存在，但是它的数据结构一直少有人关注。缩略图文件 作为保存图形文件的重要数据的数据库，在计算机取证中具有重要作用。文章通过对不同 Windows 系统下的 缩略图文件的结构进行解析，阐述如何利用缩略图文件来恢复数据和获取关键证据。关键词 ：Thumbs.db;Thumbcache ；计算机取证 ；复合文件中图分类号 ：TP393.08 Windows 缩略图缓存文件的分析和取证 刘浩阳 （大连市公安局，辽宁大连 116012） 摘 要 ：尽管缩略图文件在 Windows 系统中一直存在，但是它的数据结构一直少有人关注。缩略图文件 作为保存图形文件的重要数据的数据库，在计算机取证中具有重要作用。文章通过对不同 Windows 系统下的 缩略图文件的结构进行解析，阐述如何利用缩略图文件来恢复数据和获取关键证据。 关键词 ：Thumbs.db;Thumbcache ；计算机取证 ；复合文件 中图分类号 ：TP393.08 文献标识码 ：A 文章编号 ：1671-1122（2012）01-0074-03 The Analysis and Forensic of Thumbs.db LIU Hao-yang ( Dalian Municipal Public Security Bureau, Dalian Liaoning 116012, China ) Abstract: Windows operating system have a character.It is Thumbs.db(Windows7 change it to Thumbcache). Thumbs.db is a database.It have many information like timestamp,picture,etc.The structure of Thumbs.db is unkown. I decoded the Thumbs.db to show how to analyse it in computer forensic area. Key words: Thumbs.db;Thumbcache;computer forensic;compound file 从 Windows98 开始，为了加速显示图片，Windows 定义了缩略图文件（Thumbs.db），这样不必为了查看图片内容而一个个的打 开原始图片。当以缩略图查看时（图片或视频），将会生成一个 Thumbs.db 文件。Thumbs.db 文件是一个数据库，Thumbs.db 里面 保存了这个目录下所有图像文件的缩略图，Thumbs.db 文件可缓存图像文件的格式包括 ：jpeg，bmp，gif，tif，pdf 和 htm。不管原 始图片是哪种格式，缩略图的格式都是 jpeg。 Windows 98/me/2000/XP/2003 的缩略图文件 Thumbs.db 以隐藏文件形式保存在每一个包含图片或照片的目录中。在 Windows vista/7/2008 中，\Users\ 用户名 \AppData\Local\Microsoft\Windows\Explorer 目录下的“thumbcache_ 像素值 .db”文件代替了 Thumbs.db 文件成为新的缩略图文件，它的大小可以达到 256×256 像素。需要注 意的是，Windows2000 使用 NTFS 3.1 格式时不会使用 Thumbs.db文件， 而是使用 Alternate Data Stream（ADS）来代替它。而当 Windows2000 使用 FAT 时，使用 Thumbs.db。 表1 Windows系统的缩略图存放路径 1 缩略图文件的数据结构 表2 Windows系统下的缩略图信息 Windows98/me/2000 的缩略图缓存文件与 Windows XP/2003 的结 构有所不同。Windows98/me/2000 的 Thumbs.db 文件不但保存了缩略 图，还包含了文件名、驱动器、路径等信息 ；Windows XP/2003 除了 缩略图之外，只保存文件名 ；Windows Vista/7/2008 连文件名也不保存， 只保存文件名的哈希。因此在计算机取证中，Windows Vista/7/2008 的缩略图文件的调查获得的信息较少。 下面就分别以 Windows 98/me/2000/XP/2003 和 Windows Vista/7/2008 为例说明二者的缩略图缓存文件的格式。 收稿时间 ：2011-12-15 作者简介 ：刘浩阳（