查找Safari相关迹证

日前有取证的同好提及Safari，想了解详细步骤，因而在此再补充说明相关。

除了Winodws外，Mac OS X也有为数不少的使用者，以下便以OS X自带的Safari浏览器为例，来查看有哪些重要迹证。

那Safari浏览器的相关文件会存放在哪个路径下呢？首先检视如下图红色框住部份所示的路径，意即"/Users/[用户名]/Library /Safari"。也许有人会问，在家目录中为何看不到Library这个文件夹呢？那是因为Library默认为隐藏文件夹之故，只要在家目录中调整检 视方式即可顺利看到Library文件夹。

 

当顺利来到Library\Safari路径下，便可看到其中有History.db的数据库文件及History.db-wal暂存文件，此即网页访问纪 录所存放的数据库文件。以SQLite Browser开启后便可检视table-"history_items"，可得知使用者所访问过的网址等相关信息。