Windows.edb en dirty shutdown : réparer avec esentutl
Pourquoi un Windows.edb collecté est en dirty shutdown, comment le vérifier avec esentutl /mh et rejouer les journaux MSS avec esentutl /r sur une copie.
Articles tagués: #ese
Forensique des bases ESE : les bases pour enquêteurs
Comment est construite une base ESE (JET Blue) comme Windows.edb : en-tête, pages, arbres B+, catalogue, colonnes tagged, valeurs longues et suppressions.
Windows.edb ou Windows.db : l'index de Windows 10 et 11
Comment l'index Windows Search est passé du Windows.edb (ESE) de Windows 10 au Windows.db (SQLite) de Windows 11 : tables, structure, WAL et impact en DFIR.