Glossaire
Windows.db
La base SQLite qui contient le magasin de propriétés Windows Search sous Windows 11, avec son journal Windows.db-wal et sa base compagnon Windows-gather.db.
Windows.db est le successeur de Windows.edb sous Windows 11. C'est une base SQLite en mode WAL, stockée dans C:\ProgramData\Microsoft\Search\Data\Applications\Windows\.
Sa table SystemIndex_1_PropertyStore stocke une ligne par triplet (WorkId, ColumnId, Value), et SystemIndex_1_PropertyStore_Metadata associe chaque ColumnId à un nom de propriété comme System.ItemPathDisplay. Un parseur doit repivoter ces lignes en un enregistrement par élément. Les dernières transactions se trouvent dans Windows.db-wal, et les tables gather dans Windows-gather.db. Collectez toujours les trois ensemble. Détails dans l'analyse forensique de Windows.db.