Podczas badania zdarzeń na komputerze, przeglądarka internetowa często jest wielkim, cichym świadkiem. Firefox, ze swoim systemem profili i intensywnym wykorzystaniem baz danych SQLite , jest szczególnie interesujący w informatyce śledczej: pozwala na rekonstrukcję sesji, śledzenie aktywności w sieci, odzyskiwanie pozornie utraconych historii, a nawet przywracanie profili, które sama przeglądarka „zapomniała” po resecie lub awarii.
Daleko od samej analizy historii, analiza kryminalistyczna Firefoksa wymaga zrozumienia, jak przechowuje, usuwa i rekonstruuje informacje , jak organizuje profile użytkowników oraz jakie artefakty można wyodrębnić po incydencie. W tym artykule szczegółowo omówimy techniki i najlepsze praktyki odzyskiwania sesji i profili, zarówno z perspektywy kryminalistycznej, jak i z perspektywy zaawansowanego użytkownika, który chce odzyskać swoje dane.
Dlaczego przeglądarka (a w szczególności Firefox) jest kluczowa w kryminalistyce
W przypadku niemal każdej analizy cyfrowej znaczna część aktywności użytkownika odbywa się za pośrednictwem przeglądarki : wyszukiwania, media społecznościowe, bankowość internetowa, poczta internetowa, zakupy, pobieranie plików, dostęp do paneli administracyjnych itd. Każda z tych czynności pozostawia ślad w postaci artefaktów: historii, pamięci podręcznej, plików cookie, lokalnych baz danych, plików tymczasowych lub dzienników pobierania.
W przeglądarce Firefox artefakty te pomagają odpowiedzieć nie tylko na pytania „co zostało zrobione”, ale także „kiedy”, „z którego profilu” i „za pomocą którego aktywnego konta lub sesji ”. W tym miejscu do głosu dochodzą znaczniki czasu i korelacja między różnymi źródłami dowodów: plikami profili, bazami danych SQLite, dziennikami pobierania, a nawet kopiami zapasowymi profili.
Wielu użytkowników często zaskakuje fakt, że nawet podczas przeglądania w trybie prywatnym, w trakcie sesji nadal generowane są dane z pamięci podręcznej, tymczasowe pliki cookie i pliki na dysku . Chociaż zamknięcie okna prywatnego logicznie usuwa te informacje, ich zawartość może pozostać w niezapisanych sektorach dysku lub w plikach pamięci/stronnicowania, co można odzyskać za pomocą zaawansowanych technik kryminalistycznych.
Dlatego w praktyce informatyki śledczej priorytetem jest prawidłowe zachowanie folderu profilu Firefoksa : zawsze należy pracować z kopiami kryminalistycznymi (obrazami lub duplikatami) i unikać otwierania przeglądarki w trybie normalnym na oryginalnym dowodzie, aby nie zmienić artefaktów.
Struktura profilu Firefox i kluczowe artefakty do analizy kryminalistycznej
Firefox porządkuje wszystkie dane użytkownika w ramach jednego lub kilku profili. Profil to po prostu folder systemowy, w którym przechowywane są ustawienia, historia, hasła, sesje i rozszerzenia . Z punktu widzenia kryminalistyki, ten folder jest nieoceniony, ponieważ pozwala na bardzo dokładną rekonstrukcję aktywności użytkownika.
W systemach Windows typowa ścieżka profilu to %APPDATA%\Mozilla\Firefox\Profiles\ , natomiast w systemie Linux znajduje się ona w katalogu Home/<nazwa_użytkownika>/.config/mozilla/firefox . W tych ścieżkach znajdziesz kilka folderów o nazwach takich jak abcd1234.default lub xyz7890.default-release , które reprezentują różne profile powiązane z danym użytkownikiem.
W każdym folderze profilu znajdziemy między innymi szereg plików i baz danych, które są szczególnie interesujące z punktu widzenia analizy kryminalistycznej:
- place.sqliteGromadzi historię przeglądania i zakładki. Jest jednym z głównych komponentów, ponieważ łączy adresy URL, tytuły, znaczniki czasu i relacje między wizytami.
- pliki cookie.sqlite:przechowuje pliki cookie, klucze do śledzenia aktywnych sesji, uwierzytelniania stron internetowych i preferencji użytkownika.
- historiaformy.sqlite: zawiera wpisy i formularze autouzupełniania, przydatne do pobierania terminów wyszukiwania lub danych wprowadzonych do pól internetowych.
- uprawnienia.sqlite: rejestruje uprawnienia udzielone witrynom (na przykład dostęp do kamery lub powiadomienia), co pomaga kontekstualizować korzystanie z niektórych usług.
- webappsstore.sqlite: przechowuje lokalne dane aplikacji internetowej (localStorage), które mogą obejmować identyfikatory sesji lub ustawienia usług online.
Oprócz baz danych SQLite folder profilu zawiera pliki takie jak prefs.js (preferencje użytkownika i parametry wewnętrzne) , zainstalowane rozszerzenia, motywy, pliki sesji i różne podkatalogi ( storage , cache , bookmarkbackups itp.), które mogą uzupełniać oś czasu aktywności.
Z punktu widzenia kryminalistyki istotne jest opanowanie umiejętności korzystania z narzędzi do odczytu i wykonywania zapytań w bazach danych SQLite bez ich uszkadzania (na przykład SQLiteStudio lub inne przeglądarki). Umożliwiają one wykonywanie zaawansowanych zapytań w historiach, plikach cookie i formularzach w celu szczegółowej rekonstrukcji nawigacji.
Techniki odzyskiwania danych z sesji i kart przeglądarki
Wiele przeglądarek implementuje mechanizmy „odzyskiwania kart” w przypadku nagłego zamknięcia kart, np. z powodu awarii, zaniku zasilania lub restartu systemu. Systemy te zazwyczaj tymczasowo przechowują informacje o otwartych kartach, oknach i aktywnych sesjach , co stanowi doskonałe źródło kontekstu dla analityków kryminalistycznych.
Klasycznym przykładem historycznym jest Internet Explorer z plikami index.dat i dedykowanymi katalogami do odzyskiwania kart, ale Firefox również przechowuje struktury sesji w swoim folderze profilu. Pliki te mogą ujawnić, które karty były otwarte tuż przed awarią , które strony były w użyciu i które konta mogły zostać uwierzytelnione.
Analizując struktury sesji wraz z historią przeglądania i pamięcią podręczną , można wykazać fakty, takie jak to, że dana strona została faktycznie wyświetlona na danym urządzeniu, że istniała aktywna sesja w określonej usłudze lub że użytkownik próbował odzyskać konto lub wykonać określoną operację tuż przed zdarzeniem.
Z punktu widzenia metodologii, odzyskiwalnych sesji nie należy rozpatrywać w oderwaniu od kontekstu: ważne jest, aby skorelować je ze znacznikami czasu pobierania, logami systemowymi, wiadomościami e-mail i innymi artefaktami . Tylko w ten sposób można zbudować solidną i obronić narrację na potrzeby procesu lub audytu.
Zarządzanie profilami Firefoksa, tworzenie kopii zapasowych i przywracanie ich
Poza czystą analizą kryminalistyczną, bardzo często zachodzi potrzeba tworzenia kopii zapasowych i przywracania profili Firefoksa, aby zapobiec utracie danych po awarii, ponownej instalacji lub zresetowaniu przeglądarki. Ta procedura, którą może wykonać każdy zaawansowany użytkownik, służy również jako technika zabezpieczania dowodów w kontekście analizy kryminalistycznej.
Prostym sposobem na znalezienie folderu profilu z poziomu interfejsu jest otwarcie przeglądarki Firefox, przejście do menu głównego, kliknięcie „Pomoc”, a następnie „Więcej informacji o rozwiązywaniu problemów” (odpowiednik wewnętrznej strony about:support ). Na tej stronie znajdziesz wiersz „Folder profilu” z przyciskiem „Otwórz folder”, który przeniesie Cię bezpośrednio do katalogu profilu.
Po znalezieniu się we właściwym folderze, utworzenie ręcznej kopii zapasowej jest tak proste, jak zaznaczenie całej zawartości i skopiowanie jej do innej lokalizacji : na zewnętrzny dysk twardy, pendrive lub wewnętrzny folder kopii zapasowych. Zaleca się jednak całkowite zamknięcie przeglądarki Firefox przed kopiowaniem, aby uniknąć zablokowania plików lub niespójności.
Aby przywrócić kopię zapasową na tym samym komputerze, wystarczy zamknąć przeglądarkę Firefox, wrócić do oryginalnego folderu profilu i wkleić skopiowane elementy, nadpisując istniejące . System wyświetli ostrzeżenie o konieczności zastąpienia pliku, które należy zaakceptować. Po ponownym otwarciu przeglądarki Firefox zostanie załadowany przywrócony profil wraz z historią, sesjami (jeśli to możliwe), hasłami, rozszerzeniami i preferencjami w dokładnie takiej samej postaci, w jakiej były.
Gdy chcesz przenieść profil na inny komputer lub przeprowadzić nową instalację Firefoksa, sytuacja ulega niewielkim zmianom: jeśli nazwa folderu profilu nie jest już taka sama , najlepiej skorzystać z menedżera profili. Z otwartego okna Firefoksa możesz uzyskać do niego dostęp, wpisując about:profiles w pasku adresu; jeśli Firefox jest zamknięty, możesz go również uruchomić poleceniem firefox.exe -p w systemie Windows.
W tym menedżerze profili tworzony jest nowy profil, a po wygenerowaniu kopia zapasowa jest kopiowana do folderu tego nowego profilu . Po uruchomieniu przeglądarki Firefox z tym profilem użytkownik odzyska wszystkie swoje dane, tak jakby nigdy nie zmienił komputera. Aby uzyskać jeszcze większą kontrolę, profil można edytować, aby wskazywał bezpośrednio na folder o określonej nazwie, dostosowując go do struktury danych lub wewnętrznej polityki organizacji.
Odzyskiwanie utraconych profili po zresetowaniu przeglądarki Firefox
Czasami po awarii, problematycznej aktualizacji, z powodu porywacza przeglądarki lub po przełączeniu się między wersjami (np. stabilną i beta) Firefox może uruchomić się z nowym profilem i sprawiać wrażenie, że wszystko zostało utracone : zakładki znikają, historia jest pusta, brakuje rozszerzeń... W rzeczywistości w większości przypadków stare profile nadal znajdują się na dysku, ale przeglądarka przestała się do nich odwoływać.
Podstawowa strategia ich odzyskiwania obejmuje dwa działania: identyfikację profili aktualnie używanych przez Firefoksa oraz lokalizację starych folderów profili w systemie plików . Pierwszy krok zazwyczaj wykonuje się w katalogu about:profiles , gdzie wymienione są aktywne profile i ich ścieżki. Warto zanotować nazwy bieżących profili, na przykład 4jwpkg44.default-release lub bjk4rx6v.default.
Następnie przejdź do ogólnej ścieżki profili w systemie operacyjnym (takiej jak \AppData\Roaming\Mozilla\Firefox\Profiles w systemie Windows) i przejrzyj wszystkie istniejące foldery. Będą one zawierać zarówno nowe, jak i stare profile . Aby odróżnić stare profile od tych, których używałeś przed resetowaniem, możesz spojrzeć na rozmiar każdego folderu (największe są zazwyczaj najczęściej używane) lub przejrzeć podfoldery, takie jak storage\default, aby rozpoznać znajome lokalizacje w historii.
Należy również zwrócić uwagę na „drugą część” nazwy folderu: zazwyczaj występują rozszerzenia „.default” lub „.default-release” . Aby uniknąć pomyłek, należy dopasować stary profil „.default” do aktualnego profilu „.default” i tak samo zrobić z profilem „.default-release”. Po zidentyfikowaniu folderu odpowiadającego żądanemu staremu profilowi, skopiuj wszystkie jego pliki i wklej je do folderu bieżącego profilu, który zanotowałeś, zastępując istniejącą zawartość.
Jeśli użytkownik miał kilka starych profili, proces można powtórzyć dla każdego z nich. Jednym z efektów ubocznych tej metody jest to, że selektor profilu w interfejsie (przycisk obok paska adresu) może się „niewyrównać ”, wyświetlając pustą nazwę lub przestając odpowiadać, ponieważ Firefox wewnętrznie nadal wskazuje na poprzednie ścieżki.
Nawet w tym nieidealnym scenariuszu Twoje dane zostaną odzyskane: Firefox przywróci historię, sesje, zakładki i ustawienia do stanu sprzed resetowania. Aby ręcznie przełączyć się między profilami, zawsze możesz ponownie skorzystać ze strony about:profiles , która umożliwia uruchomienie dowolnego z wymienionych profili, nawet jeśli wizualny selektor nie działa poprawnie.
Zaawansowane dostrajanie profilu przy użyciu plików SQLite i plików konfiguracyjnych
Gdy potrzebna jest bardziej „precyzyjna” naprawa systemu profili lub gdy wewnętrzny selektor musi być w pełni sprawny, może być konieczna edycja bazy danych SQLite, która przechowuje relacje między profilami a ścieżkami . Informacje te są zapisywane w plikach .sqlite w folderze Profile Groups.
W systemie Windows typowa ścieżka to \AppData\Roaming\Mozilla\Firefox\Profile Groups , natomiast w systemie Linux znajduje się ona w katalogu Home/<nazwa_użytkownika>/.config/mozilla/firefox/Profile Groups . Ten katalog zazwyczaj zawiera jeden lub więcej plików .sqlite, często o nazwach takich jak ca96babb.sqlite lub podobnych. Pliki te zawierają tabelę o nazwie „profiles” z kolumną „path” wskazującą folder powiązany z każdym profilem.
Aby zidentyfikować odpowiedni plik grupy profili, możesz przesłać go do przeglądarki SQLite online lub otworzyć w edytorze, takim jak SQLiteStudio, i przejrzeć zawartość tabeli „profile”. Wyszukując ścieżki odpowiadające starym lub bieżącym folderom profili, możesz określić, która baza danych wymaga modyfikacji.
Po utworzeniu kopii zapasowej pliku .sqlite (konieczne przed wprowadzeniem jakichkolwiek zmian), edytuj kolumnę „ścieżka” niezbędnych rekordów, zmieniając odniesienia, takie jak Profiles\ na Profiles\ . Zapisz plik, a następnie zastąp oryginał zmodyfikowaną wersją w folderze Profile Groups . W ten sposób Firefox ponownie poprawnie powiąże profile z nowymi ścieżkami , a selektor profili odzyska swoją normalną funkcjonalność.
Zaawansowani użytkownicy proponują alternatywne metody, aby uniknąć bezpośredniej edycji bazy danych. Jedna z nich polega na użyciu opcji synchronizacji Firefoksa po zamianie plików profilu , dzięki czemu sam mechanizm synchronizacji „resetuje” informacje i selektor działa ponownie, bez konieczności ręcznej modyfikacji SQLite.
Innym sposobem jest edycja pliku prefs.js w każdym folderze profilu. Otwierając go w edytorze tekstu i wyszukując wpis „toolkit.profiles.storeID” , można dostosować wartość do nazwy pliku .sqlite grupy profili (na przykład zmieniając ją na coś w rodzaju ("toolkit.profiles.storeID", "7d97d1ff") ). Dzięki temu profil będzie zgodny z odpowiadającym mu magazynem i Firefox będzie mógł poprawnie rozpoznać strukturę.
Wreszcie, w społeczności opisano również alternatywne metody, które można stosować w przypadkach, gdy powyższe metody nie działają, takie jak edycja ścieżek, tworzenie nowych profili z about:profiles i ręczne przypisywanie folderów. Z punktu widzenia kryminalistyki, kluczowe jest, aby zawsze pracować nad kopiami zapasowymi , dokumentować każdą zmianę i zachować oryginalne dowody w nienaruszonym stanie.
Automatyczne tworzenie kopii zapasowych profili Firefox przy użyciu narzędzi zewnętrznych
Ręczne tworzenie kopii zapasowej folderu profilu jest w porządku w sytuacjach awaryjnych, ale w wielu środowiskach zalecane jest regularne, automatyczne tworzenie kopii zapasowych . W takich sytuacjach z pomocą przychodzą narzędzia innych firm, zaprojektowane specjalnie do zarządzania profilami przeglądarek lub wykonywania zaplanowanych synchronizacji.
Jednym z klasycznych narzędzi jest MozBackup , samodzielna aplikacja pierwotnie zaprojektowana do tworzenia kopii zapasowych i przywracania profili produktów Mozilla, w tym Firefoksa. Jej główną zaletą jest prosty kreator: wybierasz profil, wskazujesz komponenty do utworzenia kopii zapasowej (zakładki, historię, hasła, rozszerzenia itp.), a program generuje plik kopii zapasowej, który można następnie przywrócić na tym samym lub innym komputerze.
Należy jednak pamiętać, że MozBackup nie jest już w fazie aktywnego rozwoju . Istnieją znane problemy, a zespół techniczny stwierdził wówczas, że brakuje zasobów, aby kontynuować ich rozwiązywanie i dodawanie funkcji. Dlatego korzystanie z niego powinno odbywać się na własne ryzyko użytkownika lub analityka, zawsze weryfikując, czy kopia zapasowa została utworzona i przywrócona poprawnie.
Inną popularną opcją jest Firefox Environment Backup Extension (FEBE) , dodatek do przeglądarki zaprojektowany w celu tworzenia kompletnych kopii zapasowych środowiska: zapisanych haseł, preferencji, plików cookie, historii, motywów, zainstalowanych rozszerzeń, a nawet plików niezwiązanych z przeglądarką Firefox, jeśli użytkownik sobie tego życzy.
FEBE umożliwia planowanie automatycznych kopii zapasowych (codziennie, co tydzień lub co miesiąc) , a w bardziej zaawansowanych wersjach – przesyłanie plików kopii zapasowych do serwisów takich jak Box.net. Jak w przypadku każdego rozszerzenia, istnieje ryzyko braku kompatybilności z przyszłymi wersjami Firefoksa lub zaprzestania prac nad dodatkiem, dlatego zawsze warto sprawdzić, której wersji używasz i czy jest ona nadal aktywna.
Oprócz specjalistycznych narzędzi Mozilli, można również korzystać z uniwersalnych programów do synchronizacji, takich jak SyncBackFree . To rozwiązanie pozwala definiować profile tworzenia kopii zapasowych i przywracania dla określonych katalogów, w tym folderu profilu Firefoksa, oraz automatyzować ten proces. Nie zawiera reklam ani złośliwego oprogramowania, a jego darmowa wersja jest wystarczająca dla wielu użytkowników domowych i małych organizacji.
SyncBackFree nie jest jednak kompatybilny z wersjami systemu Windows Server; w takich środowiskach wymagane byłyby wyższe edycje, takie jak SyncBackSE lub SyncBackPro. W zastosowaniach kryminalistycznych jego zaletą jest to, że ułatwia tworzenie częstych kopii zapasowych bez konieczności pamiętania o tym ręcznie , minimalizując ryzyko utraty krytycznych informacji między incydentem a kolejną kopią zapasową.
Rola przeglądarek i poczty e-mail w badaniach cyfrowych
Chociaż skupiamy się tutaj na Firefoksie, warto potraktować go jako część szerszego ekosystemu dowodów. Inne przeglądarki, takie jak Chrome i przeglądarki oparte na Chromium, również korzystają z baz danych SQLite i podobnych artefaktów do analizy historii i plików cookie, co pozwala na zastosowanie analogicznych metodologii w ich analizie.
Na przykład Chrome przechowuje historię przeglądania i pliki cookie w bazach danych kompatybilnych z przeglądarkami SQLite, a analiza pamięci podręcznej może udowodnić, że treść rzeczywiście została załadowana na urządzeniu. Łączna interpretacja plików cookie i historii pozwala na powiązanie działań z konkretnym użytkownikiem i czasem , podobnie jak w Firefoksie, rozszerzając kontekst śledztwa poza jedną przeglądarkę.
Jednocześnie wiadomości e-mail są często ściśle powiązane z incydentami bezpieczeństwa : phishingiem, kradzieżą tożsamości, oszustwami, wewnętrznymi wyciekami danych itp. Ich metadane (pełne nagłówki, trasy tranzytowe, serwery pośredniczące, daty i strefy czasowe) umożliwiają weryfikację przybliżonego pochodzenia wiadomości, autentyczności nadawcy oraz technologii klienta poczty e-mail.
Korelując te dane z aktywnością przeglądarki (na przykład kliknięcie linku phishingowego z określonego konta lub sesja bankowości internetowej zainicjowana po otrzymaniu podejrzanego e-maila), można zrekonstruować bardzo dokładne ciągi zdarzeń . Kluczem jest holistyczne podejście do analizy, integrujące artefakty przeglądania, wiadomości e-mail, logi systemu operacyjnego i wszelkie inne dostępne źródła.
Krótko mówiąc, analiza kryminalistyczna przeglądarek takich jak Firefox nie polega jedynie na przeglądaniu listy adresów URL . Wymaga ona dogłębnego zrozumienia sposobu przechowywania, modyfikowania i usuwania danych; sposobu zarządzania profilami, sesjami, bazami danych SQLite i kopiami zapasowymi; a także sposobu integracji tych elementów w ramach rygorystycznej metodologii przechowywania, wyodrębniania, analizowania, korelowania i prezentowania wyników.
Wszystko, co robimy online, pozostawia ślad, a Firefox przechowuje znaczną część tych informacji. Wiedza o tym, jak zlokalizować, zabezpieczyć i, w razie potrzeby, odzyskać sesje i profile przeglądarki, stanowi kluczową różnicę między wadliwym śledztwem a solidną, powtarzalną i możliwą do obrony analizą – co jest ważne zarówno dla specjalistów ds. cyberbezpieczeństwa, jak i zaawansowanych użytkowników, którzy chcą zawsze dbać o bezpieczeństwo swoich danych.
