浏览器取证——Chrome与Firefox痕迹分析

浏览器是现代人使用频率最高的软件之一，浏览历史、书签、下载记录、保存的密码、Cookie等信息，在取证中具有极高的价值。Chrome和Firefox是市场占有率最高的两款浏览器，它们的痕迹存储方式有相似之处，也有明显差异。

Chrome浏览器取证
Chrome的数据存储在用户目录下的AppData\Local\Google\Chrome\User Data\Default\（Windows）或~/Library/Application Support/Google/Chrome/Default/（macOS）中。核心数据文件都是SQLite数据库：

History：存储浏览历史记录。关键表是urls，包含url（访问的完整网址）、title（网页标题）、visit_count（访问次数）、last_visit_time（最后访问时间）。Chrome的时间戳是从1601年1月1日开始的微秒数，换算时需要减去11644473600000000再除以1000000才能转成Unix时间戳。

Downloads：存储下载记录。downloads表记录下载开始时间、结束时间、保存路径、文件大小。downloads_url_chains表记录下载来源URL。即使下载的文件后来被删了，下载记录仍然存在。

Cookies：存储网站Cookie。cookies表包含host_key（域名）、name（Cookie名）、value（Cookie值）、expires_utc（过期时间）。

Login Data：存储保存的密码。logins表包含signon_realm（网站域名）、username_value（用户名）、password_value（加密后的密码）。Chrome用操作系统的加密API（Windows的DPAPI、macOS的钥匙串）加密密码，但在同一台机器上用取证工具可以解密。

Web Data：存储自动填充表单数据，包括搜索关键词、地址、信用卡号等。

Cache：缓存文件夹，存储网页的静态资源（图片、CSS、JS）。即使浏览器历史被清空，缓存文件可能还保留着用户访问过的网页内容。

Last Session / Last Tabs：记录上一次关闭时的会话状态，可以还原用户最后打开的标签页。

Current Session / Current Tabs：记录当前会话状态。

Favicons：收藏夹图标，可以交叉验证用户是否访问过某个网站。

Extensions：扩展目录，记录安装了哪些浏览器插件。恶意插件是常见的攻击向量。

Firefox浏览器取证
Firefox的数据存储位置在%APPDATA%\Mozilla\Firefox\Profiles[随机字符].default\（Windows）或~/Library/Application Support/Firefox/Profiles/[随机字符].default/（macOS）。核心数据文件：

places.sqlite：存储书签和历史的综合数据库。moz_places表类似Chrome的urls，包含url、title、visit_count、last_visit_date。Firefox的时间戳是微秒级的Unix时间戳（从1970年开始），需要除以1000000转成秒。

moz_historyvisits：记录每一次访问的详细信息，包括访问时间、来源URL、是否在隐私模式下访问。

cookies.sqlite：存储Cookie，结构类似Chrome。

logins.json：存储保存的用户名和密码。Firefox使用主密码（如果设置了）加密，没有主密码时用系统密钥库。

formhistory.sqlite：存储表单自动填充数据。

sessionstore.jsonlz4：存储会话恢复数据，包括打开的标签页、窗口位置等。

extensions.json：已安装的扩展列表。

隐私模式/无痕模式的取证
Chrome的隐私模式和Firefox的隐私浏览不会在History、Cookies等文件中留下记录，但不意味着完全没有痕迹：

隐私模式下仍然有网络流量，可以在网络取证中看到DNS请求和HTTP通信

操作系统层面可能留下页面文件的痕迹

如果用户在隐私模式下登录了某个账户，服务器端日志仍然有记录

浏览器缓存、会话文件在内存中可能残留

浏览器痕迹分析的常用工具
Autopsy：内置浏览器历史分析模块。

BrowserHistoryView：NirSoft出品的轻量工具。

hindsight：专门针对Chrome的取证工具，支持解析History、Cache、Bookmarks等。

BrowsingHistoryView：支持多种浏览器的历史记录解析。