Internet Explorer: Surfspuren in der Index.DAT
Die Datei Index.DAT liegt in verschiedenen Benutzerverzeichnissen. Es wird oft berichtet, dass sie versteckte Surfspuren enthält. Ein Blick in diese Datei mit einem Editor offenbart allerdings wenig Interessantes. Wie kommt man an die tatsächliche Information einer Index.DAT heran? Wir beantworten Ihnen diese Frage.
| Anforderung: | Fortgeschrittener |
|---|---|
| Zeitaufwand: | Mittel |
Frage:
Die Datei Index.DAT liegt in verschiedenen Benutzerverzeichnissen. Es wird oft berichtet, dass sie versteckte Surfspuren enthält. Ein Blick in diese Datei mit einem Editor offenbart allerdings wenig Interessantes. Wie kommt man an die tatsächliche Information einer Index.DAT heran?
Lösung:
In einer Index.DAT befinden sich temporäre Objekte des Internet Explorers in einem undokumentierten, binären Format. Der Cache, der Verlauf und der Cookie-Speicher verwenden solche Index-Dateien.
Der Browser konsultiert die Einträge darin, um zuvor gespeicherte Informationen wiederzufinden. Das Format der Dateien ist inzwischen analysiert, und anhand der Einträge einer Index.DAT lassen sich die zuletzt besuchten Web-Seiten rekonstruieren – auch wenn ein Windows-Anwender zuvor über die Internet-Optionen den Cache gelöscht hat.
Das kostenlose Tool :Pasco von Daten-Forensiker Keith Jones lässt sich auf diese Dateien anwenden. Wenn Sie beispielsweise die Index.DAT aus dem Verzeichnis der „Temporären Internetdateien“ analysieren, bekommen Sie so eine Liste aller besuchten Web-Seiten, zu denen der Internet Explorer Dateien gespeichert hat. Windows lässt sich damit sozusagen ins Gedächtnis schauen. Das als Tabelle formatierte Ergebnis gibt Pasco auf der Kommandozeile aus. Deshalb empfiehlt es sich, die Ausgabe in eine neue Textdatei umzuleiten:
pasco index.dat index.txt
Die entstandene Datei Index.TXT können Sie in einem Text-Editor öffnen. Eine bessere Übersicht in den Zeilen und Spalten erhalten Sie mit einer Tabellenkalkulation wie Open Office Calc oder Microsoft Excel.
