Chrome浏览器历史记录提取与分析

第３３卷第１２期　２０１６年１２月　计算机应用与软件　

Ｃｏｍｐｕｔｅｒ　Ａｐｐｌｉｃａｔｉｏｎｓ　ａｎｄ　Ｓｏｆｔｗａｒｅ　Ｖ０ｌＩ　３３　Ｎｏ．１２　

Ｄｅｃ．２０１６　

Ｃｈｒｏｍｅ浏览器历史记录提取与分析　杨　雪　靳慧云　（浙江警察学院计算机与信息技术系浙江杭州３１００５３）　

摘要　如何提取浏览器历史记录并分析出有价值的信息是计算机调查取证中的重要问题。利用Ｃｈｒｏｍｅ浏览器将历史数据存　储在ＳＱＨｔｅ数据库这一特点，提出利用标准接口从ＳＱＬｉｔｅ数据库中提取数据并基于二级域名聚合及频繁项集挖掘的浏览器历史记　录分析方法。能够获取用户曾经访问过的网站并根据需要依据这些网站被访问频次的高低展示前Ｋ个结果，支持按时间查询并展　示用户的Ｗｅｂ浏览记录及搜索过的关键词。实验结果证明了该方法的有效性。　

关键词　浏览器历史记录提取与分析　中图分类号ＴＰ３　文献标识码Ａ　域名聚合频繁项集挖掘　

ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００—３８６ｘ．２０１６．１２．０７３　

ＴＨＥ　ＥＸＴＲＡＣＴＩｏＮ　ＡＮＤ　ＡＮＡＬＹＳＩＳ　０Ｆ　ＣＨＲ０ＭＥ　ＨＩＳＴ０ＲＹ　ＲＥＣｏＲＤＳ　Ｙａｎｇ　Ｘｕｅ　Ｊｉｎ　Ｈｕｉｙｕｎ　（Ｄｅｐａｒｔｍｅｎｔ　ｏｆＣｏｍｐｕｔｅｒ　ａｎｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙ，Ｚｈｅｊｉａｎｇ　Ｐｏｌｉｃｅ　Ｃｏｌｌｅｇｅ，Ｈａｎｇｚｈｏｕ　３１００５３，Ｚｈｅｊｉａｎｇ，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ　Ｈｏｗ　ｔｏ　ｅｘｔｒａｃｔ　ａｎｄ　ａｎａｌｙｚｅ　ｂｒｏｗｓｅｒ　ｈｉｓｔｏｒｙ　ｔｏ　ｇｅｔ　ｖａｌｕａｂｌｅ　ｉｎｆｏｒｍａｔｉｏｎ　ｉｓ　ａｎ　ｉｍｐｏｒｔａｎｔ　ｉｓｓｕｅ　ｉｎ　ｃｏｍｐｕｔｅｒ　ｆｏｒｅｎｓｉｃｓ．Ｕｔｉｌｉｚｉｎｇ　ｔｈｅ　ｃｈａｒａｃｔｅｒｉｓｔｉｃ　ｔｈａｔ　Ｃｈｒｏｍｅ　ｈｉｓｔｏｒｙ　ｄａｔａ　ｉｓ　ｓｔｏｒｅｄ　ｉｎ　ＳＱＬｉｔｅ　ｄａｔａｂａｓｅ，ｗｅ　ｕｓｅ　ｓｔａｎｄａｒｄ　ｉｎｔｅｒｆａｃｅ　ｔｏ　ｅｘｔｒａｃｔ　ｄａｔａ　ｆｒｏｍ　ｉｔ　ａｎｄ　ｐｒｏｐｏｓｅ　ａ　ｍｅｔｈｏｄ　ｂａｓｅｄ　ｏｎ　ｓｅｃｏｎｄ－ｌｅｖｅｌ　ｄｏｍａｉｎ　ｎａｍｅ　ａｇｇｒｅｇａｔｉｏｎ　ａｎｄ　ｆｒｅｑｕｅｎｔ　ｉｔｅｍ　ｓｅｔ　ｍｉｎｉｎｇ’ｔｏ　ａｎａｌｙｚｅ　ｂｒｏｗｓｅｒ　ｈｉｓｔｏｒｙ．Ｉｎ　ｔｈｉｓ　ｍｅｔｈｏｄ，ｔｈｅ　ｒｅｃｏｒｄｓ　ｏｆ　ｗｅｂｓｉｔｅｓ　ｔｈａｔ　ｕｓｅｒ　ｅｖｅｒ　ｖｉｓｉｔｅｄ　ｃａｎ　ｂｅ　ｏｂｔａｉｎｅｄ，ａｎｄ　ｔｈｅ　ｔｏｐ—Ｋ　ｗｅｂｓｉｔｅｓ　ａｒｅ　ｄｉｓｐｌａｙｅｄ　ａｃｃｒｏｒｄｉｎｇ　ｔｏ　ｔｈｅ　ｗｅｂｓｉｔｅ　ａｃｃｅｓｓ　ｆｒｅｑｕｅｎｃｙ　ａｓ　ｒｅｑｕｉｒｅｄ．　Ｔｈｅ　ｈｉｓｔｏｒｙ　ｔｒａｃｅｓ　ｓｕｃｈ　ａｓ　ｕｓｅｒｓ’ｗｅｂ　ｂｒｏｗｓｉｎｇ　ｈｉｓｔｏｒｙ　ａｎｄ　ｓｅａｒｃｈ　ｋｅｙｗｏｒｄｓ　ｃａｎ　ｂｅ　ｒｅｔｒｉｅｖｅｄ　ａｎｄ　ｄｉｓｐｌａｙｅｄ　ｂｙ　ｔｉｍｅ．Ｅｘｐｅｒｉｍｅｎｔａｌ　ｒｅｓｕｌｔｓ　ｏｎ　Ｃｈｒｏｍｅ　ｗｅｂ　ｈｉｓｔｏｒｙ　ｐｒｏｖｅ　ｔｈｅ　ｅｆｆｅｃｔｉｖｅｎｅｓｓ　ｏｆ　ｔｈｅ　ｐｒｏｐｏｓｅｄ　ｍｅｔｈｏｄ．　

Ｋｅｙｗｏｒｄｓ　Ｂｒｏｗｓｅｒ　ｈｉｓｔｏｒｙ　Ｅｘｔｒａｃｔｉｏｎ　ａｎｄ　ａｎａｌｙｓｉｓ　Ｄｏｍａｉｎ　ａｇｇｒｅｇａｔｉｏｎ　Ｆｒｅｑｕｅｎｔ　ｉｔｅｍ　ｓｅｔ　ｍｉｎｉｎｇ　

０　引　言　随着可联网计算机系统的普及，犯罪分子使用计算机实施　犯罪的可能性正在增大。在过去的二十年中，由于互联网的兴　起和网络犯罪的增多，数字调查取证涉及的领域增长迅速且仍　在不停发展…。目前有数以百计的应用软件或硬件设备供调　查人员在网络取证时使用，这些工具提供的功能往往类似。通　常对取证工具的一个基本要求是将一些特殊的文件转换为人类　容易理解的格式，而比较困难且耗时的数据分析则由调查人员　来完成　。　浏览器历史记录分析是数字调查取证常见且重要的组成部　分，其主要目的在于检查并分析计算机用户通过网络浏览器在　互联网上查看了哪些内容。一些关键证据有时会隐藏在嫌疑人　的在线搜索、电子邮件及网页浏览历史记录中。在涉及色情及　信用卡诈骗等以Ｗｅｂ浏览器为主要犯罪工具的案件中，浏览器　历史记录分析能够锁定或排除犯罪嫌疑人。而在其他案件中，　浏览器历史记录分析也能够帮助确定嫌疑人的大致行为轮廓。　甚至有时在与计算机无关的犯罪中，浏览器历史记录也能提供　重要信息。例如：在Ｎｅｉｌ　Ｅｎｔｗｈｉｓｔｌｅ案件　中，调查人员发现　Ｅｎｔｗｈｉｓｔｌｅ在妻子和女儿被害前曾用谷歌检索“如何用刀杀人”　而控告他有谋杀妻女的嫌疑。而在马加爵案件侦办过程中，办　

案人员发现马加爵在案发前后曾经大量浏览海南，尤其是三亚　地区的旅游、住宿及交通等信息，判断他会逃亡到海南岛，从而　作出相应部署并在三亚将其成功抓捕　。　Ｗｅｂ浏览器有多种，目前常用的桌面浏览器有ＧｏｏＳｅ　Ｃｈｒｏｍｅ、ＩＥ（Ｍｉｃｒｏｓｏｆｔ　Ｉｎｔｅｒａｃｔ　Ｅｘｐｌｏｒｅｒ）、Ｆｉｒｅｆｏｘ、Ｍｉｃｒｏｓｏｆｔ　Ｅｄｇｅ　和Ｓａｆａｒｉ等。美国Ｎｅｔ　Ａｐｐｌｉｃａｔｉｏｎｓ公司于２０１６年５月发布报告　称，ＧｏｏＳｅ　Ｃｈｒｏｍｅ以４５．６３％的市场占有率超过ＩＥ成为用户使　用最多的桌面浏览器　Ｊ。研究Ｃｈｒｏｍｅ浏览器历史记录的提取　与分析具有应用意义。　浏览器存储历史数据的方式各有不同，它们将这些数据存　储在人类不易理解的文件中，解析这些文件需要借用外部工具。　例如：ＩＥ浏览器的历史数据存储在多个ｉｎｄｅｘ．ｄａｔ文件中，而　Ｇｏｏｇｌｅ　Ｃｈｒｏｍｅ、Ｆｉｒｅｆｏｘ和最新版本的Ｓａｆａｒｉ等浏览器则把历史　记录存储在ＳＱＬｉｔｅ数据库中。目前提取浏览器历史记录的工　具大致可分为两类：只提取一种浏览器历史记录的工具（如：专　门提取ＩＥ浏览器历史记录的Ｐａｓｃｏ＿６　）与可提取多种浏览器历　史记录的工具（如：Ｂｒｏｗｓｅｒ　Ｈｉｓｔｏｒｙ　Ｓｐｙ　７１能够提取ＩＥ、Ｃｈｍｍｅ和　Ｆｉｒｅｆｏｘ等浏览器的历史数据）。这些工具基于ＵＲＬ展示提取到　的浏览器历史记录，调查人员需要手工点击这些ＵＲＬ才能了解　

收稿日期：２０１６—０７—１５。ＮＳＦＣ一浙江两化融合联合基金项目　（Ｕ１５０９２１９）。杨雪，讲师，主研领域：数字取证。靳慧云，教授。　３１４　计算机应用与软件　２０１６丘　用户访问的具体内容。　频繁访　站是用户Ｗｅｂ浏览行为的币＝要组成部分，川户　ＦＯＰ一１０频繁　问网站几乎贡献近８０％的网页访问量　。文　献［９］在分析用户ｗ　Ｐ｝】浏览行为时将用户频繁访问的网站作为　

一个重曼指杯。Ｈａｎｎａｋ等人　利用不同用户的检索火键词及　返回结果评估』｝Ｊ户Ｗｅｂ浏览行为的个性化程度，文献［Ｉ１，ｌ２］　在推断，丰ｊ户网络行为时把枪索关键词作为重要因素考虑。分析　Ｗｅｂ浏览行为能够帮助调　人员了解嫌疑人，因此，挖掘用户　频繁访问的网站和榆索ｌ父键渊非常重要　本文的主要贡献在于　‘对目前常用的浏览器历史记录提取　ｔ具展现数据　大、缺乏进一步关联分析的问题，提出Ｃｈｒｏｍｅ　浏览器历史记求自动化提取　亏分析方法，支持按时问段提取　Ｗｅｂ访问记录及检索炎键词．利用二级域名聚合及频繁项集挖　掘理论获取川　频繁访　的网站并关联检索关键词　

１　相关工作　许多文献及工具关注浏览器历史信息提取这一问题。史献　［１３］研究了Ｗｉｎｄｏｗｓ操作系统下ＩＥ、Ｃｈｒｏｍｅ、Ｆｉｒｅｆｏｘ和Ｏｐｅｒａ等　多种浏览器的历史痕迹存储路径，并研发了展示历史痕迹的平　台。他们更父　ｗｅｂ活动记录的展现以及将这些记录移交司　法机关时程序合法，彤式符合规定。文献［１４］分析了智能手机　常用浏览ａ｝ｒＪ；Ｊ文件路径及数据结构，并生成ＸＨＴＭＩ　网页报表。　其不足之处在于该报表仅仅足对数据库ｆ｝Ｉ数据的呈现，没有做　进一步的关联分析。　Ｐａｓｅｏ是ＭｅＡｆｅｅ公司，ｆ发的一款专门提取ＩＥ浏览器历史　记录的命令行＿ｊ　具，该工具将提取到的ＵＲ１　及访问时ｆＨＪ保存　到．ＣＳＶ文件　，调查人员需要借助ＥＸＣＥＩ　查看并分析数据。　Ｂｒｏｗｓｅｒ　Ｈｉｓｔｎｒｙ　Ｓｐｙ是一款瑟于Ｗｉｎｄｏｗｓ平台的浏览器记求查　看及恢复　ｒ具，它支持ＩＥ、Ｃｈｒｏｍｅ和Ｆｉｒｅｆｏｘ浏览器历史记录的　检测及展现，该　】：具能够把浏览器历史记录完整地输出为ＨＴ—　ＭＬ及ＸＭＩ　义件，但不对数据进行深入分析。ＵｒｌＶｉｅｗｅｒ　是一　款网络痕迹检杏清理工具，能够快速搜索或清除计算机中的上　网痕迹。Ｂｅｔｔｅｒ　Ｈｉｓｔｏｒｙ　是々为Ｃｈｒｏｍｅ开发的一款浏览器插　件，该插件提供按Ｒ期及访问网站检索浏览记录的功能，但它必　须安装在Ｃｈｒｏｍｅ浏览器中才町以使『Ｈ，日．不对用户浏览行为进　行分析　以上介绍的方法及工具注重浏览器历史记录的提取及展　示，功能比较　一，挖掘这些信息问的父联关系需要调查人员手　＿Ｉ：实现。例如：图１展示Ｂｒｏｗｓｅｒ　Ｈｉｓｔｏｒｙ　Ｓｐｙ提取的Ｃｈｒｏｍｅ浏　览器历史记录，包括用户访问过的ＵＲＩ　、网贞标题、访问频次及　访问时问　然Ｉ　该工具只岁列数据，没有进行关联分析，渊ｌ夼人　贝需要从大　字符串信息ｔ｛】查找想要的结果。此外，Ｂｒｏｗｓｅｒ　Ｈｉｓｔｏｒｙ　Ｓｐｙ对ｌｌｌ文的展示存　乱码现象。ＵＲＬｖｉｅｗｅｒ提取并展　爪的Ｗｅｔ）历Ｉ史信息如　２所，Ｊ　，该丁具只提取浏览器使用嚣访　问过的ＵＲ１　及访问时『ｕ】，渊　人员需要手　点击这些ＵＲＩ　才　能Ｊ　解访『ｎＪ的内容。与以　ｌ　具相比，本文在提取Ｃｈｒｏｍｅ浏览　器历史记录信息后，结合域名聚合及频繁项集挖掘理沦，分析出　ＴＯＰ—Ｋ频繁访问网站，红腱，Ｊ；数据时支持按时问段筛选历史　记录数据及枪索关键词，还将关键词与用，’　使用的搜索引擎进　行了关联。　

吝　…州ｓ　～ｓ＾　ｂ薅ｉ　；｝；赡　＊　Ｆ　＿晦　毒’　ｔ　…　……　一　……　：　

ＲＬ　…Ｔ＿■　ｖｌ…　●　ｈｍ～………　…　ｎ…ｓｔ　…　…¨　氆ｈ咻～一　∞期　ｉ～　一　ｊ…，Ｈ　ｉ　…：…　馘ｈ　…ｒ　ｃ．ｍ　＿蛐Ｊ…ｍ　】ａ　０　、…　∞　ｉｆ　柑　１ｅ　Ｉ　ｎ…Ｈ…　…　Ｔ　ｒ　…　】　ｏ５　５　１５：￣：２　３　蹲　艳　怖　…　矾　～ｔ　…　Ｔｒ…『　ｌ　ｏ　ｓ　馨　’一　…　…　１】Ｂ　…　１０　ｆ　一～　…～　…　…　…　…　ｆｍ　～…ｔ……　ｏ　ｓ…５…　趣ｆ岫‘～ｒｔ　１ｅ　…一＾舯　婀…　…２…　”　……　ｆ　佃ｍ　州　Ⅲ静　】ｌ　删５…７　ｉ　誊　…一……　…５枷　＾ｔ＃　奔　Ｉ　∞∞２…¨十ｌ，。誊