首页/安全/取证与溯源速查/浏览器历史取证要点
Windows 取证55 条

浏览器历史取证要点

浏览器历史存放在 SQLite 库:v 访问记录、下载表、Cookies 时间戳格式各异,复制主库时连带 journal 文件。

取证与溯源速查安全更新于 2026-10-12
用途网络访问与下载端点痕迹
位置Chrome/Edge: User Data/Default/History;Firefox: places.sqlite

只读查询

只读查询
sqlite3 -readonly History "select url, title, datetime((last_visit_time/1000000)-11644473600,'unixepoch') from urls order by last_visit_time desc limit 20;"
cp History* out/   # 同时带 journal 文件
复制副本再查,避免锁库影响运行中的浏览器。

易错点

  • Chrome 时间戳为 1601 起微秒制,换算别忘偏移
  • 只拷主库会漏最近事务,journal 一并带走

数据来源与参考

  • Chromium 源码文档(History 数据库结构)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌