Parseurs Windows.edb comparés : SIDR, ESEDatabaseView…
Comparatif honnête des parseurs de l'index Windows Search : SIDR, WinSearchDBAnalyzer, ESEDatabaseView, esedbexport de libesedb, sqlite3 et ce parseur web.
Articles tagués: #windows-edb
Anti-forensique de l'index Windows Search et ses limites
Comment l'index Windows Search peut être désactivé, reconstruit, compacté ou supprimé, ce que chaque action laisse et comment raisonner sur une absence.
Windows.edb en dirty shutdown : réparer avec esentutl
Pourquoi un Windows.edb collecté est en dirty shutdown, comment le vérifier avec esentutl /mh et rejouer les journaux MSS avec esentutl /r sur une copie.
Forensique des bases ESE : les bases pour enquêteurs
Comment est construite une base ESE (JET Blue) comme Windows.edb : en-tête, pages, arbres B+, catalogue, colonnes tagged, valeurs longues et suppressions.
Index Windows Search : traces de fichiers supprimés
Comment l'index Windows Search garde chemins, métadonnées et texte de fichiers supprimés, où ces traces survivent dans Windows.edb et Windows.db.
Les propriétés de l'index Windows Search expliquées
System.ItemPathDisplay, System.Search.GatherTime, System.Search.AutoSummary et les autres propriétés Windows Search qui comptent dans une enquête forensique.
Comment ouvrir Windows.edb et Windows.db (pas à pas)
Pas à pas : ouvrir et analyser un index Windows Search (Windows.edb ou Windows.db) dans le navigateur, lire les signalements, filtrer et exporter un CSV.
Windows.edb ou Windows.db : l'index de Windows 10 et 11
Comment l'index Windows Search est passé du Windows.edb (ESE) de Windows 10 au Windows.db (SQLite) de Windows 11 : tables, structure, WAL et impact en DFIR.
Où est stocké Windows.edb ? Emplacement et acquisition
Emplacement de Windows.edb et Windows.db sous Windows 10 et 11, fichiers compagnons à collecter et copie de l'index Windows Search verrouillé à chaud.
Analyse forensique de l'index Windows Search : le guide
Ce que l'index Windows Search enregistre, où se trouvent Windows.edb et Windows.db, ce qui survit à la suppression d'un fichier et comment l'exploiter en DFIR.