Speicherorte der Microsoft-Edge-Verlaufsdateien

Das moderne Edge ist Chromium unter einer Microsoft-Hülle, daher spiegelt sein Layout auf der Festplatte das von Chrome wider. Nur das Herstellerverzeichnis unterscheidet sich, hinzu kommen ein paar Edge-spezifische Dateien (Collections, die Mobile-Sync-Datenbank). Alles, was Sie über das Parsen von Chrome wissen, gilt auch hier.

Profilstammverzeichnis je Betriebssystem

Windows

C:\Users\<user>\AppData\Local\Microsoft\Edge\User Data\<profile>

macOS

/Users/<user>/Library/Application Support/Microsoft Edge/<profile>

Linux

/home/<user>/.config/microsoft-edge/<profile>

<profile> ist Default, Profile 1, Profile 2 usw. Edge for Business-Benutzer können zudem ein Profile <GUID>-Verzeichnis für verwaltete Identitäten sehen.

Was jede Datei enthält

Identisch mit dem Chrome-Schema, Byte für Byte:

Daten	Datei	Format
Besuche / Suchen / Downloads	`History`	SQLite
Cookies	`Network/Cookies`	SQLite
Formularverlauf	`Web Data`	SQLite
Anmeldedaten	`Login Data`	SQLite
Favicons	`Favicons`	SQLite
Top-Seiten	`Top Sites`	SQLite
Lesezeichen	`Bookmarks`	JSON
Local / Session Storage, IndexedDB	LevelDB-Ordner	LevelDB
Collections	`Collections/collectionsSQLite`	SQLite

Collections ist Edge-spezifisch und einen Blick wert. Sie speichert URLs und ausgeschnittene Seiten, die ein Benutzer aktiv gespeichert hat; das ist ein deutlich stärkeres Absichtssignal als beiläufiges Surfen.

Edge Legacy (EdgeHTML) ist ein anderes Artefakt

Vor 2020 verwendete Edge unter Windows 10 EdgeHTML und speicherte den Verlauf in WebCacheV01.dat, einer ESE-Datenbank unter C:\Users\<user>\AppData\Local\Microsoft\Windows\WebCache\. Untersuchen Sie einen Host, der nie über 2020 hinaus aktualisiert wurde, haben Sie es mit diesem Format zu tun und nicht mit dem Chromium-Format. Die ESE-Engine ist dieselbe wie hinter SRUM.

Zeitstempel und WAL

Edge verwendet die WebKit-Epoche von Chromium: Mikrosekunden seit 01.01.1601 UTC. Der WAL-Hinweis von Chrome gilt analog; erfassen Sie History-wal und History-shm oder akzeptieren Sie, dass die letzten Commits verloren sind.

Hinweise zur Erfassung

Domänen-gebundene Hosts haben oft mehrere verwaltete Profile. Listen Sie das User Data-Verzeichnis auf, anstatt Default vorauszusetzen.
Edges MSEdgeWebView2.exe (genutzt von Teams, Outlook usw.) hat ein eigenes eingebettetes Profil unter \Microsoft\EdgeWebView\User Data\. Ein Blick lohnt sich, wenn Sie Aktivität innerhalb einer Host-Anwendung vermuten.