平常使用瀏覽器時，如果不想讓瀏覽紀錄留在電腦裡，很多人第一個想到的就是開啟無痕模式。

Chrome 叫 Incognito Mode，Edge 叫 InPrivate，Firefox 則叫 Private Browsing。這些模式確實會減少瀏覽器在一般使用者 Profile 中保存的部分紀錄，但沒有出現在瀏覽器 History 裡和電腦完全沒有留下任何痕跡其實是兩回事。

在數位鑑識裡，和上網行為有關的資料通常會被歸在 Browser Artifacts。除了瀏覽紀錄之外，下載紀錄、Cookies、Cache，甚至記憶體裡正在使用的網頁內容，都可能成為調查線索。

Browser Artifacts 不只有 History

我們平常想到瀏覽器紀錄，可能只會想到按下 Ctrl + H 看到的 History，但瀏覽器實際上會在使用者目錄中保存很多不同資料。

以 Windows 為例，常見瀏覽器的使用者資料通常可以在下面的位置找到：

Chrome
C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default

Edge
C:\Users\<User>\AppData\Local\Microsoft\Edge\User Data\Default

Firefox
C:\Users\<User>\AppData\Roaming\Mozilla\Firefox\Profiles\

如果 Chrome 有多個使用者 Profile，也可能看到 Profile 1、Profile 2 等資料夾，而不一定只有 Default。

AppData 平常是隱藏資料夾，但對數位鑑識來說很重要，因為不少應用程式的設定、Cache、Database 和使用紀錄都會放在這裡。

Browser Artifacts 常見可以提供的資訊包括：

其中不少瀏覽器資料會使用 SQLite Database 儲存，所以鑑識工具看到的一筆瀏覽紀錄，不一定是一個獨立檔案，也可能是從 Database 或 Cache 中解析出來的 Artifact。

Chrome 的瀏覽紀錄其實是一個 SQLite Database

先直接進到 Chrome 的 Profile 資料夾：

C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default

在裡面可以找到一個叫做 History 的檔案。

它沒有 .db 或 .sqlite 副檔名，但實際上就是一個 SQLite Database。

也就是說，平常按下 Ctrl + H 看到的瀏覽紀錄，其實只是 Chrome 把 Database 裡的資料整理後顯示給使用者看。

如果直接打開這個 Database，就可以看到瀏覽器底層到底保存了哪些資訊。

打開 History 檔案

可以使用免費的工具 DB Browser for SQLite。

找到 History 後，先把它複製到另一個測試資料夾，不要直接分析原始檔案。如果是真正的數位鑑識案件，則應該分析從 Forensic Image 或證據副本取得的資料，而不是直接修改 Target Host 上的原始檔案。

接著開啟 DB Browser for SQLite，選擇 File → Open Database，把檔案類型改成 All Files，再選擇剛剛複製出來的 History。

成功開啟後，可以看到很多 Table，例如 urls、visits 和 downloads。

urls：出現過哪些網站

最直覺的就是 urls Table。

在 DB Browser for SQLite 裡可以切到 瀏覽資料，選擇 urls。

其中比較重要的欄位包括：

例如可能看到某個 URL 的 visit_count 是 5，代表 Chrome Database 記錄這個網址曾被造訪 5 次。

不過 urls 比較像是在記錄「這個網址」，如果想知道每一次實際造訪的時間，就還要再看另一張 Table。

visits：同一個網站可能不只去過一次

在 瀏覽資料 裡切換到 visits，可以看到更細的 Visit Record。

但是 visits 裡的 url 欄位並不是完整網址，而是透過 ID 和 urls 裡的資料互相對應。也就是說，同一個網址如果被造訪很多次，在 urls 裡可能只有一筆，但在 visits 裡可以有多筆紀錄。

如果想簡單把兩邊串起來，可以到 執行 SQL 執行：

SELECT
    v.visit_time,
    u.url,
    u.title
FROM visits AS v
JOIN urls AS u
    ON v.url = u.id
ORDER BY v.visit_time DESC
LIMIT 20;

這樣就可以進一步看到不同的 Visit Record。

這也是 Browser Forensics 比直接按 Ctrl + H 更有意思的地方。瀏覽器畫面可能只呈現一筆網站紀錄，但底層 Database 裡其實還有更細的資料可以繼續分析。

為什麼時間是一大串數字？

如果真的打開 History，很快會發現 visit_time 或 last_visit_time 看起來完全不像正常時間，而是一串非常大的數字。

這是因為 Chromium 使用自己的 Timestamp 格式，並不是直接用我們平常看到的日期時間。

如果想在 SQLite 裡直接轉成比較容易閱讀的 UTC 時間，可以稍微修改剛剛的查詢：

SELECT
    url,
    title,
    visit_count,
    datetime(
        (last_visit_time / 1000000.0) - 11644473600,
        'unixepoch',
        'localtime'
    ) AS last_visit_time
FROM urls
ORDER BY last_visit_time DESC
LIMIT 20;

執行後，就能把原本的大數字轉成正常的日期時間。

下載紀錄也藏在 History 裡

History Database 不只保存造訪網站的資料，也會保存 Download 相關紀錄。

裡面可能會看到 target_path、start_time、received_bytes、total_bytes 等資訊，可以用來確認檔案曾經被下載到哪裡、下載時間和檔案大小。

如果想追下載來源，還可以再看 downloads_url_chains。

這些資訊在數位鑑識裡很實用。

假設今天發現某個可疑程式已經被刪掉了，即使這個程式本身已經不存在，Browser Database 裡還是可能留下相關的 Download Artifact。

這時就可以再搭配 $MFT、Prefetch、LNK 或 Recycle Bin，繼續確認這個檔案後來有沒有被執行、開啟或刪除。

無痕模式和刪除 History，真的會把資料清掉嗎？

無痕模式本來就不會像一般模式一樣，把瀏覽紀錄持久保存到正常的 History Database，所以在 urls 或 visits 裡找不到無痕瀏覽紀錄。

比較值得注意的是，如果使用者直接在 Chrome 的 History 頁面刪除瀏覽紀錄，底層的 History Database 也會跟著更新。

也就是說，當某筆 History 被刪除後，對應的紀錄通常就不會再出現在一般的 urls 或 visits 查詢結果裡。

不過從數位鑑識的角度來看，查不到不一定等於原本的資料已經立刻從磁碟中完全消失。是否還能找到殘留內容，還要看 SQLite Database 當時的狀態，以及後續資料有沒有被重新使用或覆寫。