للاستزادة والتوسع الأكاديمي: إذا كنت ترغب في إثراء حصيلتك التقنية وقراءة مقالات وتحليلات تفصيلية حول أدوات ومفاهيم هذا الدرس، يمكنك زيارة قسم التحقيق الجنائي الرقمي في مدونة Digital Shield Lab للحصول على شرح معمّق وتطبيقات عمل إضافية.

المفهوم / المحور الأساسي:

استخراج وتحليل المخلفات الجنائية لمتصفح Safari على نظام macOS، بما في ذلك سجل التصفح (History)، ملفات تعريف الارتباط (Cookies)، التنزيلات (Downloads)، التبويبات المفتوحة (Open Tabs)، وملفات الكاش (Safari Cache) للتحقق من الأنشطة الرقمية والتصفح المشبوه.

محتوى الغرفة (Content):

ماذا ستتعلم في هذه الغرفة؟

• تحديد الهيكل البنائي والمسارات الرئيسية لمخلفات Safari داخل مجلد حساب المستخدم.

• قراءة وتحليل ملف سجل التصفح الرئيسي History.db باستخدام استعلامات SQLite3 المتقدمة.

• فحص ملفات التفضيلات .plist وقواعد البيانات الخاصة بالتبويبات المفتوحة ومزامنة iCloud Tabs (BrowserState.db).

• تحليلات ملفات الكاش (Cache.db) واستعادة الصور والنصوص المخزنة مؤقتاً أثناء التصفح.

• كشف محاولات التصفح الخاص (Private Browsing) والآثار الجانبية المتبقية في الذاكرة العشوائية وسجلات النظام.

محتوى الدرس:

يُعد متصفح Safari المتصفح الافتراضي والمدمج أحادياً في نظام macOS. يُخزن المتصفح بياناته الجنائية داخل مسار تفضيلات المستخدم ~/Library/Safari/ و ~/Library/Caches/com.apple.Safari/.

1. سجل التصفح والتنزيلات (History.db):

• يُخزن السجل في قاعدة بيانات SQLite3 تحت المسار ~/Library/Safari/History.db.

• الداول الرئيسية:

  • history_items: تحتوي على الروابط الفريدة (URLs) والعناوين المزارة.

  • history_visits: تحتوي على الطوابع الزمنية (Visits Time) ورمز الاستجابة وعدد الزيارات.

• استعلام SQLite نموذجي: sqlite3 ~/Library/Safari/History.db "SELECT history_items.url, history_visits.visit_time FROM history_items INNER JOIN history_visits ON history_items.id = history_visits.history_item;"

2. التبويبات المفتوحة وحالة المتصفح (BrowserState.db / LastSession.plist):

• تُسجل التبويبات النشطة وجلسات التصفح الأخيرة في قاعدة بيانات BrowserState.db لربط المواقع التي كان يستعرضها المستخدم لحظة وقوع الحادث الأمني.

3. ملفات الكاش والارتباط (Cache.db / BinaryCookies):

• يُخزن الكاش داخل ~/Library/Caches/com.apple.Safari/Cache.db ويمكن استخراج محتوياته المخبأة مثل الصور والنصوص البرمجية.

• تُحفظ ملفات Cookies بصيغة ثنائية خفيفة نادرة (.binarycookies) داخل ~/Library/Cookies/Cookies.binarycookiesوالتي تتطلب أدوات تخصيص لتفكيكها (مثل python-binarycookies).

💬 هل واجهتك صعوبة في تطبيق الأوامر أو لديك استفسار إضافي؟ إذا واجهتك أي مشكلة أثناء تنفيذ الخطوات التطبيقية (مثل عدم معرفة المتغيرات الواجب استبدالها في الأوامر البرمجية)، يمكنك طرح سؤالك ومشاركة استفسارك في قسم التحقيق الجنائي الرقمي بمنتديات Digital Shield Lab ليقوم الفريق والمجتمع بمساعدتك خطوة بخطوة.