للاستزادة والتوسع الأكاديمي: إذا كنت ترغب في إثراء حصيلتك التقنية وقراءة مقالات وتحليلات تفصيلية حول أدوات ومفاهيم هذا الدرس، يمكنك زيارة قسم التحقيق الجنائي الرقمي في مدونة Digital Shield Lab للحصول على شرح معمّق وتطبيقات عمل إضافية.

ماذا ستتعلم في هذه الغرفة؟

• فهم الأهمية الجنائية لمتصفحات الويب في كشف الهجمات الإلكترونية، تحفيز التنزيلات الخبيثة (Drive-by Downloads)، وتسريب البيانات.

• تحديد واستخراج ملفات قاعدة بيانات SQLite الخاصة بالمتصفحات الحديثة (Chromium Architecture).

• تحليل سجل التصفح (History) واستعادة الروابط المزارة والطوابع الزمنية.

• فحص سجل التنزيلات (Downloads) لربط الملفات الخبيثة بالمصدر الذي تُم تحميلها منه.

• تحليل ملفات الكوكيز (Cookies) والـ Cache والملفات المخزنة مؤقتاً والجلسات النشطة (Session Data).

محتوى الدرس:

تُعتبر متصفحات الويب النافذة الرئيسية للمستخدم نحو شبكة الإنترنت، ولذلك تُعد المصدر الأول للبحث عن أدلة في قضايا الاختراق والتجسس والتصفح غير المصرح به. تتشارك المتصفحات القائمة على محرك Chromium (مثل Google Chrome و Microsoft Edge) في بنية تخزين البيانات وتعتمد بشكل أساسي على قواعد بيانات SQLite.

1. المسارات الرئيسية لبيانات المتصفح (Chromium Paths):

• Google Chrome: C:\Users\<Username>\AppData\Local\Google\Chrome\User Data\Default\

• Microsoft Edge: C:\Users\<Username>\AppData\Local\Microsoft\Edge\User Data\Default\

2. قواعد البيانات والملفات الجنائية الهامة:

• History: قاعدة بيانات SQLite تحتوي على جدولين أساسيين:

  • urls: يُسجل عناوين ULRs المزارة، عدد الزيارات، وعنوان الصفحة.

  • visits: يُسجل الطوابع الزمنية للزيارات وطريقة الانتقال (رابط مباشر، بحث، إلخ).

• History (Downloads Table): يحتوي على جدول downloads المخصص لتسجيل كافة الملفات التي تم تحميلها، مسار حفظها على القرص الصلب، رابط التحميل المباشر، وحجم الملف.

• Cookies: قاعدة بيانات تُخزن الجلسات وملفات تعريف الارتباط الخاصة بالدورات النشطة للمستخدم على المواقع.

• Web Data: تحتوي على بيانات الإكمال التلقائي (Autofill) والنماذج المحفوظة.

• Cache Folder: يحتوي على النسخ المخبأة من الصور والتصميمات والصفحات التي تمت زيارتها، مما يتيح استرجاع أجزاء من المواقع حتى لو تم حذفها من الإنترنت.

3. الطوابع الزمنية الخاصة بـ Chromium (Chrome Time / WebKit Epoch):

• تستخدم متصفحات Chromium نظام توقيت يُعرف بـ Microseconds since January 1, 1601 (UTC)، وهو يتطلب تحويلاً رياضياً أو استخدام أدوات تحليل جنائي مخصصة (مثل DB Browser for SQLite أو الأدوات الجنائية المتخصصة) لعرض التوقيت المحلي بدقة.

💬 هل واجهتك صعوبة في تطبيق الأوامر أو لديك استفسار إضافي؟ إذا واجهتك أي مشكلة أثناء تنفيذ الخطوات التطبيقية (مثل عدم معرفة المتغيرات الواجب استبدالها في الأوامر البرمجية)، يمكنك طرح سؤالك ومشاركة استفسارك في قسم التحقيق الجنائي الرقمي بمنتديات Digital Shield Lab ليقوم الفريق والمجتمع بمساعدتك خطوة بخطوة.