使用 Hindsight 分析浏览器取证 是做什么的？
概述
Hindsight 是一款开源浏览器取证工具，专门用于解析 Google Chrome 及其他基于 Chromium 的浏览器（Microsoft Edge、Brave、Opera、Vivaldi）的工件。它能从多个浏览器数据库文件中提取并关联数据，创建统一的 Web 活动时间线。Hindsight 可解析 URL、下载历史、缓存记录、书签、自动填充记录、保存的密码、浏览器偏好设置、浏览器扩展、HTTP Cookie、本地存储（HTML5 Cookie）、登录数据以及会话/标签信息。该工具可生成多种格式（XLSX、JSON、SQLite）的时序时间线，帮助调查人员重建用户的 Web 活动，适用于事件响应、内部威胁调查和刑事案件分析。
何时使用
- 需要分析浏览器取证数据以调查安全事件时
- 为此领域构建检测规则或威胁狩猎查询时
- SOC 分析师需要针对此分析类型的结构化流程时
- 验证相关攻击技术的安全监控覆盖范围时
先决条件
- Python 3.8+ 并安装 Hindsight（
pip install pyhindsight）
- 能够访问取证镜像中的浏览器配置文件目录
- 浏览器配置文件数据（未使用操作系统级加密）
- Timeline Explorer 或电子表格应用程序用于分析
浏览器配置文件路径
| 浏览器 | Windows 配置文件路径 |
|---|
| Chrome | %LOCALAPPDATA%\Google\Chrome\User Data\Default\ |
| Edge | %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\ |
| Brave | %LOCALAPPDATA%\BraveSoftware\Brave-Browser\User Data\Default\ |
| Opera | %APPDATA%\Opera Software\Opera Stable\ |
| Vivaldi | %LOCALAPPDATA%\Vivaldi\User Data\Default\ |
| Chrome (macOS) | ~/Library/Application Support/Google/Chrome/Default/ |
| Chrome (Linux) | ~/.config/google-chrome/Default/ |
关键工件文件
| 文件 | 内容 |
|---|
| History | URL 访问、下载、关键字搜索 |
| Cookies | HTTP Cookie（含域名、过期时间、值） |
| Web Data | 自动填充条目、已保存的信用卡 |
| Login Data | 已保存的用户名/密码（加密） |
| Bookmarks | JSON 书签树 |
| Preferences | 浏览器配置和扩展 |
| Local Storage/ | 每个域名的 HTML5 本地存储 |
| Session Storage/ | 每个域名的会话特定存储 |
| Network Action Predictor | 之前输入的 URL |
| Shortcuts | 多功能框快捷方式和预测 |
| Top Sites | 频繁访问的站点 |
运行 Hindsight
命令行
hindsight.exe -i "C:\Evidence\Users\suspect\AppData\Local\Google\Chrome\User Data\Default" -o C:\Output\chrome_analysis
hindsight.exe -i "/path/to/profile" -o /output/analysis -b Chrome
hindsight.exe -i "C:\Evidence\Chrome\Default" -o C:\Output\chrome --format jsonl
hindsight.exe -i "C:\Evidence\Chrome\Default" -o C:\Output\chrome --cache
Web 界面
hindsight_gui.exe
工件分析详情
URL 历史记录和访问
下载历史
Cookie 分析
Python 分析脚本
import sqlite3
import os
import json
import sys
from datetime import datetime, timedelta
CHROME_EPOCH = datetime(1601, 1, 1)
def chrome_time_to_datetime(chrome_ts: int):
"""将 Chrome 时间戳转换为 datetime。"""
if chrome_ts == 0:
return None
try:
return CHROME_EPOCH + timedelta(microseconds=chrome_ts)
except (OverflowError, OSError):
return None
def analyze_chrome_history(profile_path: str, output_dir: str) -> dict:
"""分析 Chrome 历史数据库以获取取证证据。"""
history_db = os.path.join(profile_path, "History")
if not os.path.exists(history_db):
return {"error": "History database not found"}
os.makedirs(output_dir, exist_ok=True)
conn = sqlite3.connect(f"file:{history_db}?mode=ro", uri=True)
cursor = conn.cursor()
cursor.execute("""
SELECT u.url, u.title, v.visit_time, u.visit_count,
v.transition & 0xFF as transition_type
FROM visits v JOIN urls u ON v.url = u.id
ORDER BY v.visit_time DESC LIMIT 5000
""")
visits = [{
"url": r[0], "title": r[1],
"visit_time": str(chrome_time_to_datetime(r[2])),
"total_visits": r[3], "transition": r[4]
} for r in cursor.fetchall()]
cursor.execute("""
SELECT target_path, tab_url, start_time, end_time,
received_bytes, total_bytes, mime_type, state
FROM downloads ORDER BY start_time DESC LIMIT 1000
""")
downloads = [{
"path": r[0], "source_url": r[1],
"start_time": str(chrome_time_to_datetime(r[2])),
"end_time": str(chrome_time_to_datetime(r[3])),
"received_bytes": r[4], "total_bytes": r[5],
"mime_type": r[6], "state": r[7]
} for r in cursor.fetchall()]
cursor.execute("""
SELECT k.term, u.url, k.url_id
FROM keyword_search_terms k JOIN urls u ON k.url_id = u.id
ORDER BY u.last_visit_time DESC LIMIT 1000
""")
searches = [{"term": r[0], "url": r[1]} for r in cursor.fetchall()]
conn.close()
report = {
"analysis_timestamp": datetime.now().isoformat(),
"profile_path": profile_path,
"total_visits": len(visits),
"total_downloads": len(downloads),
"total_searches": len(searches),
"visits": visits,
"downloads": downloads,
"searches": searches
}
report_path = os.path.join(output_dir, "browser_forensics.json")
with open(report_path, "w") as f:
json.dump(report, f, indent=2)
return report
def main():
if len(sys.argv) < 3:
print("用法: python process.py <chrome_profile_path> <output_dir>")
sys.exit(1)
analyze_chrome_history(sys.argv[1], sys.argv[2])
if __name__ == "__main__":
main()
参考
示例输出
$ python hindsight.py -i /evidence/chrome-profile -o /analysis/hindsight_output
Hindsight v2024.01 - Chrome/Chromium 浏览器取证分析
================================================================
配置文件：/evidence/chrome-profile (Chrome 120.0.6099.130)
操作系统：Windows 10
[+] 正在解析 History 数据库...
URL 记录： 12,456
下载记录： 234
搜索词： 567
[+] 正在解析 Cookies 数据库...
Cookie 记录： 8,923
加密 Cookie： 6,712
[+] 正在解析 Web Data（自动填充）...
自动填充条目： 1,234
信用卡条目： 2（已加密）
[+] 正在解析 Login Data...
已保存的凭据： 45（已加密）
[+] 正在解析 Bookmarks...
书签条目： 189
--- 浏览历史（最近 10 条） ---
时间戳（UTC） | URL | 标题 | 访问次数
2024-01-15 14:32:05.123 | https://mail.corporate.com/inbox | 企业邮件 | 45
2024-01-15 14:33:12.456 | https://drive.google.com/file/d/1aBcDe... | Q4_Financial_Report.xlsx | 1
2024-01-15 14:35:44.789 | https://mega.nz/folder/xYz123 | MEGA - 安全云存储 | 3
2024-01-15 14:36:01.234 | https://mega.nz/folder/xYz123#upload | MEGA - 上传 | 8
2024-01-15 14:42:15.567 | https://pastebin.com/raw/kL9mN2pQ | Pastebin（原始内容） | 1
2024-01-15 15:01:33.890 | https://192.168.1.50:8443/admin | 管理控制面板 | 12
2024-01-15 15:15:22.111 | https://transfer.sh/upload | transfer.sh | 2
2024-01-15 15:30:45.222 | https://vpn-gateway.corporate.com | VPN 登录 | 5
2024-01-15 16:00:00.333 | https://whatismyipaddress.com | 我的 IP 是什么 | 1
2024-01-15 16:05:12.444 | https://protonmail.com/inbox | ProtonMail | 3
--- 下载记录（可疑） ---
时间戳（UTC） | 文件名 | URL 来源 | 大小
2024-01-15 14:33:15.000 | Q4_Financial_Report.xlsm | https://phish-domain.com/docs/report | 245 KB
2024-01-15 14:34:02.000 | update_client.exe | https://cdn.evil-updates.com/client.exe | 1.2 MB
--- Cookie（会话令牌） ---
域名 | 名称 | 过期时间 | Secure | HttpOnly
.corporate.com | SESSION_ID | 2024-01-16 14:32 | 是 | 是
.mega.nz | session | 会话 | 是 | 是
.protonmail.com | AUTH-TOKEN | 2024-02-15 00:00 | 是 | 是
报告已保存至：/analysis/hindsight_output/Hindsight_Report.xlsx