2013年4月27日「ブラウザー勉強会」のセッション スライドです。 Internet Explorer 10 のインターネット一時ファイルをオフライン解析する方法について調査した結果です。

1. IE のキャッシュの
オフライン調査について
（改訂版）
村地 彰 aka hebikuzure

2. この発表について
• この発表は2012年7月21日開催の「まっ
ちゃ445勉強会 目覚ましの会」で発表した
内容に、Windows 8 および Internet
Explorer 10 における調査結果を追加した
ものです
• 内容については発表者が個人として調査
して者であり、特定の会社・団体の見解
ではありません

3. Internet Explorer のキャッシュ
ここ

4. ファイルを表示させると

5. 実体は…
Windows Vista 以降の場合
• 保護モード無効のキャッシュ
%userprofile%¥AppData¥Local
¥Microsoft¥Windows
¥Temporary Internet FilesContent.IE5
• 保護モード有効のキャッシュ
%userprofile%¥AppData¥Local
¥Microsoft¥Windows
¥Temporary Internet FilesLow
Content.IE5

6. なぜ Content.IE5 ??
• Internet Explorer のキャッシュ データ構
造は IE5 から変わっていなかった
•IE5 ???
•13年間不変の
テクノロジー(^_^.)

7. 実は…..
• Internet Explorer 10 ではキャッシュのシ
ステムが変更されています
• 14年間ご苦労様でした
• とはいえ、IE9 以前のシステムも多いの
で、まず古いシステムの話から…

8. Content.IE5 の中身
• index.dat
– インデックスファイル
• キャッシュ フォルダ
– ランダムな英数8文字の名前のフォルダ
– フォルダ内の一時ファイルの実データ ファイ
ルを格納
旧

9. こんな感じ 旧

10. さらにフォルダ内を見る 旧

11. キャッシュの情報はどこ?
• 実データ ファイル
–ダウンロードされたコンテンツ そのも
のがファイルとして保存されている
• Temporary Internet Files には「インター
ネット アドレス」「有効期限日時」「最
終変更日時」「最終アクセス日時」「最
終チェック日時」などが表示される
–これらの情報はどこに??
旧

12. 情報は index.dat にある
• index.dat
–バイナリ ファイル
–データ構造は非公開
–データにアクセスする API (WinInet
API) が公開されている
中身が見たい
旧

13. 注意事項
• ログオンしているユーザーの index.dat は
システム プロセスがロックしているので
普通には開けない
• 不用意に書き換えるとキャッシュが壊れ
て不具合が生じる
• 別のユーザーでログオンするか、別のシ
ステムでブートして、index.dat をコピー
してから開く
旧

14. バイナリ エディタで開く
何か
見える
旧

15. 中身を確認
シグネチャ
フォルダ名
旧

16. さらに確認
何か出た
アドレス?
ヘッダー?
旧

17. 分かる事
• index.dat はバイナリ情報が含まれている
が、テキストがそのまま記録されている
部分もある
• 基本的な情報はテキストを抽出するだけ
でも取得できる (strings とか)
旧

18. 詳しい人いた～＼(◎o◎)／！
• この人
• The INDEX.DAT File Format
http://www.geoffchappell.com/studies/
windows/ie/wininet/api/urlcache/index
dat.htm
旧

19. The INDEX.DAT File Format
• index.dat のファイル構造を解析して公開
しています
• 某中の人によれば、ここに書いてある内
容は「正しいと考えられる」だそうです
• 実際に採取した index.dat は、この解析結
果の通りの構造でした
• と言う事で、キャッシュの静的解析をす
るなら必読
旧

20. 同じような解析情報
• Internet Explorer History File Format
http://www.forensicswiki.org/wiki/Inte
rnet_Explorer_History_File_Format
• MSIE Cache File (index.dat) format.pdf
http://sourceforge.net/projects/libmsiecf
/files/Documentation/MSIE%20Cache%2
0File%20format/
旧

21. その他の参考情報
• A bit about WinInet's Index.dat
http://blogs.msdn.com/b/wndp/archive
/2006/08/04/wininet-index-dat.aspx
• A bit about WinInet's Index.dat – Q&A
http://blogs.msdn.com/b/wndp/archive
/2006/08/07/wininet-index-dat-q-and-
a.aspx
旧

22. つづき
• Internet Explorer 一時ファイルが肥大化する
http://blogs.technet.com/b/jpieblog/arc
hive/2011/09/09/3452071.aspx
旧

23. さらにこんなツールも…
• Index Dat Spy
http://www.stevengould.org/index.php?
option=com_content&task=view&id=47&I
temid=88
• Index.dat Viewer
http://www.acesoft.net/index.dat%20vie
wer/index.dat_viewer.htm
• libmsiecf
http://sourceforge.net/projects/libmsiecf/
旧

24. では IE10 では……

25. IE9 以前との比較
• index.dat がない
• container.dat という怪しげなファイルが
あるが、サイズが 0 バイト
• ランダムな英数8文字の名前のフォルダは健在

26. フォルダ内を見る

27. フォルダ内のファイル
• キャッシュ（一時ファイル）の実体
• IE9 以前と同様、ダウンロードされたコン
テンツがそのままファイルとして保存さ
れている
• では「インターネット アドレス」「有効
期限日時」「最終変更日時」「最終アク
セス日時」「最終チェック日時」などの
情報はどこに??

28. procmon で調べる
• procmon.exe (Process Monitor)
–http://technet.microsoft.com/ja-
jp/sysinternals/bb896645.aspx
• プロセスが行った処理 (ファイル システ
ム、レジストリ、プロセスおよびスレッ
ドの活動) をリアルタイムで表示し、ログ
を採取できるツール

29. こんなログがある

30. ログの詳細
• 17:12:28.8842513
• taskhostex.exe
• 1156
• QueryBasicInformationFile
• C:¥Users¥hebik_000¥AppData¥Local¥Mic
rosoft¥Windows¥Temporary Internet
Files¥Low¥Content.IE5¥container.dat
• SUCCESS

31. taskhostex.exe のスタック

32. ログとスタックからわかること
• taskhostex.exe は wininet.dll の
SetUrlCacheEntryInfoA を呼び出している
• そのアクセス対象は
%userprofile%¥AppData¥Local¥Microsoft
¥Windows¥Temporary Internet
Files¥Low¥Content.IE5¥container.dat
• taskhostex.exe がキャッシュ管理に関係し
ているらしい

33. taskhostex.exe をさらに調べる
• 17:12:28.8848751
• taskhostex.exe
• 1156
• QueryDirectory
• C:¥Users¥hebik_000¥AppData¥Local¥Mic
rosoft¥Windows¥WebCache¥WebCacheV
01.dat
• SUCCESS

34. この時のスタック

35. ログとスタックから
• taskhostex.exe は wininet.dll の
SetUrlCacheEntryInfoA を呼び出している
• さらに ESENT.dll JetCloseDatabase が呼
び出されている
• そのアクセス対象は
%userprofile%¥AppData¥Local¥Microsoft
¥Windows¥WebCache¥WebCacheV01.dat

36. これって何?

37. Extensible Storage Engine
• JET Blue とも呼ばれる Windows 内蔵の
ISAM データベース エンジン
• Exchange, Active Directory, Desktop
Search などで利用されている
–http://msdn.microsoft.com/en-
us/library/windows/desktop/gg26925
9.aspx
–http://en.wikipedia.org/wiki/Extensib
le_Storage_Engine

38. さらに調べると
• taskhostex.exe (ESENT.dll ) は
WebCacheV01.dat に READ / WRITE を
繰り返している
• いずれも wininet.dll のキャッシュ関連
API を経由している

39. WebCache フォルダを見る

40. ファイルを見てみる
• WebCacheV01.dat と V01.log はロックさ
れていてログイン中は開けない
• 別ユーザーでログオンすれば取り扱える

41. V01.log

42. WebCacheV01.dat

43. ここまででわかった事
• Internet Explorer 10 ではキャッシュの管
理に Extensible Storage Engine が利用さ
れている
• キャッシュに関するデータベースは
%userprofile%¥AppData¥Local¥Microsoft
¥Windows¥WebCache
に保存されている

44. 追加情報
• ネット上のレポートなどを見ると、
WebCacheV01.dat
の代わりに
WebCacheV24.dat
が利用されている環境もあるようです。

45. 詳しい人いた～＼(◎o◎)／！
• いつもおなじみ NirSoft
• http://blog.nirsoft.net/2012/12/08/a-
few-words-about-the-cache-history-on-
internet-explorer-10/
– WebCacheV01.dat は VSS(Volume Shadow
Copy) でログオン中でもコピーできたとの事
です

46. NirSoft のツール
• BrowsingHistoryView
– http://www.nirsoft.net/utils/browsing_hist
ory_view.html
• WebCacheV01.dat (WebCacheV24.dat) か
らも一時ファイル情報を取得できます…
と言う事なのですが、手元環境では IE の
情報は表示されませんでした

47. まとめ
• Internet Explorer 10 では一時ファイルの
管理方法が変更されている
• キャッシュの実体の保存方法は変更なし
• インデックス管理は index.dat のバイナリ
ファイルから Extensible Storage Engine
の ISAM データベースに変更
• インデックスが堅牢になったと考えられ
ます

48. ありがとうございました
• ネットワーク パケットを読む会(仮)
– 次回 5/24 開催予定
– パケット持ち寄りの会（予定）
– http://pa.hebikuzure.com/