windows缩略图缓存文件的分析和取证.pdfVIP

2012年第叭期 doi：103969j／issn1671-1122201201020 Windows 缩略图缓存文件的分析和取证 刘浩 阳 (大连市公安局 。辽宁大连 116012) 摘 要 ：尽管缩略图文件在Windows系统中一直存在，但是它的数据结构一直少有人关注。缩略图文件 作为保存图形文件的重要数据的数据库，在计算机取证中具有重要作用。文章通过对不同Windows系统下的 缩略图文件的结构进行解析，阐述如何利用缩略图文件来恢复数据和获取关键证据。 关键词：Thumbs．db；Thumbcache；计算机取证；复合文件 中图分类号：TP393．08 文献标识码：A 文章编号：1671—1122(2012)01—0074—03 TheAnalysisandForensicofThumbs．db LIU Hao—yang (DalianMunicipalPublicSecurityBureau,DalianLiaoning116012，China) Abstract：Windowsoperatingsystemhaveacharacte~ItisThumbs．db(Windows7changeittoThumbcache)． Thumbs．db isadatabase．Ithavemanyinformationliketimestamp，picture，etc．ThestructureofThumbs．dbis unkown．IdecodedtheThumbs．dbtoshowhow toanalyseitincomputerforensicarea． Keywords：Thmu bs．db；Thumbcache；computerforensic；compoundfile 从Windows98开始，为了加速显示图片，Windows定义了缩略图文件 (Thumbs．db)，这样不必为了查看图片内容而一个个的打 开原始图片。当以缩略图查看时 (图片或视频)，将会生成一个Thumbs．db文件。Thumbs．db文件是一个数据库，Thumbs．db里面 保存了这个目录下所有图像文件的缩略图，Thumbs．db文件可缓存图像文件的格式包括 ：ipeg，bmp，gif，tif，pdf和htm。不管原 始图片是哪种格式，缩略图的格式都是 ipeg。 Windows98／me／2000／XP／2003的缩略图文件Thumbs．db以隐藏文件形式保存在每一个包含图片或照片的目录中。在Windows vista7／／2008中，＼Users＼用户名＼AppData＼Loeal＼MicmsofiW＼indows＼Explorer目录下的 “thumbcache一像素值 ．db”文件代替了Thumbs．db 文件成为新的缩略图文件，它的大小可以达到256x256像素。需要注 表1Windows系统的缩略图存放路径 意的是，Windows2000使用NTFS3．1格式时不会使用Thumbs．db文件， 操作系统 缩略图缓存文件保存位置 windows98，me／20OO，XP／2003 图片 目录 内 而是使用AlternateDataStream(ADS)来代替它。而当Windows2000 Wi ＼Users＼用 户 名 ＼AppData＼L0cal＼