Forensique navigateur côté client
Inspectez l'historique, les cookies, les favoris, les téléchargements et la saisie automatique de Chrome, Firefox et Safari — entièrement côté client.
100 % privé : les fichiers sont analysés dans un Web Worker sur votre machine et ne quittent jamais votre navigateur.
Déposez un fichier ici ou cliquez pour le sélectionner
Pris en charge : bases SQLite, JSON Bookmarks de Chrome, sessions .jsonlz4 de Firefox, .plist et .binarycookies de Safari. Déposez plusieurs fichiers ou un dossier de profil entier.
Charge un profil Chrome + Firefox synthétique issu d'une intrusion fictive — aucune donnée réelle. Astuce : cliquez sur un horodatage pour voir les ±5 min autour.
Astuce : dans la boîte de dialogue, maintenez ⌘ (ou Maj) pour sélectionner plusieurs fichiers à la fois. Vous pouvez aussi glisser tout un dossier de profil sur cette zone — cela associe les fichiers -wal/-journal et regroupe les bases LevelDB.
Copiez les dossiers de profil du navigateur, puis déposez le dossier entier ici. Choisissez la méthode la plus simple selon votre situation.
PowerShell, sans droits administrateur. Quittez d'abord Chrome, Edge et Firefox — y compris l'icône de la zone de notification (le démarrage rapide d'Edge et les applications en arrière-plan de Chrome les maintiennent actifs). Copie les profils Chrome, Edge et Firefox de cet utilisateur, ainsi que les clés DPAPI, dans C:\triage.
$x = "Code Cache","GPUCache","GrShaderCache","ShaderCache","DawnGraphiteCache","DawnWebGPUCache","OptGuideOnDeviceModel","optimization_guide_model_store","screen_ai","component_crx_cache","Safe Browsing","safebrowsing","startupCache","Crashpad"
$b = "AppData\Local\Google\Chrome\User Data","AppData\Local\Microsoft\Edge\User Data","AppData\Roaming\Mozilla\Firefox","AppData\Local\Mozilla\Firefox\Profiles","AppData\Roaming\Microsoft\Protect"
foreach ($p in $b) {
if (Test-Path "$env:USERPROFILE\$p") { robocopy "$env:USERPROFILE\$p" "C:\triage\Users\$env:USERNAME\$p" /E /R:0 /W:0 /NFL /NDL /NP /XD $x }
}
attrib -h -s "C:\triage\*" /s /d
explorer C:\triageGlissez ensuite le dossier triage sur la zone de dépôt — ou n'importe où sur l'espace de résultats. Les navigateurs absents sont ignorés ; les volumineux caches GPU, de code et de modèles sont exclus.
Lancez PowerShell en tant qu'administrateur. Crée un cliché instantané (Volume Shadow Copy) de C:, y copie les profils de tous les utilisateurs (cohérents même navigateurs ouverts), puis supprime le cliché.
$x = "Code Cache","GPUCache","GrShaderCache","ShaderCache","DawnGraphiteCache","DawnWebGPUCache","OptGuideOnDeviceModel","optimization_guide_model_store","screen_ai","component_crx_cache","Safe Browsing","safebrowsing","startupCache","Crashpad"
$b = "AppData\Local\Google\Chrome\User Data","AppData\Local\Microsoft\Edge\User Data","AppData\Roaming\Mozilla\Firefox","AppData\Local\Mozilla\Firefox\Profiles","AppData\Roaming\Microsoft\Protect"
$s = Invoke-CimMethod -ClassName Win32_ShadowCopy -MethodName Create -Arguments @{ Volume = "C:\" }
$v = Get-CimInstance Win32_ShadowCopy | Where-Object ID -eq $s.ShadowID
cmd /c mklink /d C:\vss "$($v.DeviceObject)\"
foreach ($u in Get-ChildItem C:\vss\Users -Directory) {
foreach ($p in $b) {
if (Test-Path "$($u.FullName)\$p") { robocopy "$($u.FullName)\$p" "C:\triage\Users\$($u.Name)\$p" /B /E /R:0 /W:0 /NFL /NDL /NP /XD $x }
}
}
cmd /c rmdir C:\vss
$v | Remove-CimInstance
attrib -h -s "C:\triage\*" /s /d
explorer C:\triage-wal / -journal : fermez-le (vérifiez la zone de notification) ou utilisez la commande avec cliché instantané, et copiez toujours ces fichiers avec leur base. N'ouvrez jamais une base avec sqlite3 avant de la copier.Dossiers de profil par utilisateur, par navigateur et par système. Default peut aussi être Profile 1, Profile 2… — vérifiez chaque profil. Déposez le dossier entier pour tout analyser d'un coup.
%LOCALAPPDATA%\Google\Chrome\User Data\Default~/Library/Application Support/Google/Chrome/Default~/.config/google-chrome/Default~/.config/chromium/Default%LOCALAPPDATA%\Google\Chrome\User Data\Local State%APPDATA%\Microsoft\Protect\<SID>\Fichiers du profil: History · Network/Cookies · Login Data · Web Data · Bookmarks · Preferences · Top Sites · Shortcuts · Favicons · Local Storage/leveldb/ · Session Storage/ · IndexedDB/ · Cache/Cache_Data/
Les cookies sont dans Network/Cookies depuis Chrome 96 (avant : Cookies à la racine du profil). Local State se trouve un niveau au-dessus, dans User Data.
Comment les récupérer
esentutl /y <fichier> /vss /d <dest> (admin), KAPE (cible WebBrowsers), FTK Imager, ou une image E01 / VSS montée.-wal / -shm (ou -journal) avec chaque base SQLite — l'activité la plus récente n'existe souvent que dans le WAL.AppData et ~/Library sont masqués. Sous macOS, l'application qui copie doit avoir l'accès complet au disque pour lire les dossiers de Safari.Local State de Chromium + la masterkey DPAPI et le mot de passe utilisateur (Windows) ou le secret Safe Storage (macOS / Linux) ; pour Firefox, key4.db à côté de logins.json.Fonctionnalités
Historique, cookies, identifiants, saisie automatique, téléchargements, sessions, extensions et caches — analysés, attribués à leur utilisateur et profil, et interrogeables ensemble.
Navigateurs Chromium, Firefox et Safari, depuis des profils Windows, macOS et Linux — SQLite (avec relecture du WAL), JSON, plist, binarycookies, LevelDB et caches.
Valeurs de cookies, mots de passe et cartes : clés Chromium via masterkey DPAPI, Safe Storage macOS, Linux ou blobs app-bound ; identifiants Firefox via key4.db.
Les fichiers sont attribués à leur utilisateur, navigateur et profil : une machine partagée se lit comme des personnes distinctes, et les clés vont au bon profil.
Cherchez dans tous les artefacts à la fois, regroupez les valeurs, pivotez sur un domaine ou un instant, et lancez 25 chasses prêtes (exfiltration, outils RMM, anti-forensique).
Déposez le ZIP d'une collecte Disk Image Parser : son manifeste restaure les chemins d'origine et le SHA-256 de chaque fichier est vérifié.
Chaque fichier chargé est haché ; exportez CSV, JSON et un rapport HTML autonome, et enregistrez vos dossiers dans ce navigateur.
Méthode
Copiez les dossiers de profil, ou lancez le préréglage « Historique navigateur » de Disk Image Parser sur l'image disque.
Déposez dossiers, fichiers ou le ZIP de collecte. Tout est analysé par un Web Worker sur votre machine.
Lisez la chronologie unifiée, lancez des chasses, pivotez, déchiffrez, puis exportez le rapport.
Confidentialité
Aucun traitement côté serveur. Les fichiers sont lus via l'API File et analysés dans un Web Worker ; les résultats restent en mémoire, ou dans le stockage de ce navigateur si vous enregistrez un dossier.
FAQ
Non. Les fichiers sont lus et analysés dans un Web Worker de votre navigateur. Rien n'est envoyé à un serveur — vérifiable dans l'onglet réseau.
Les dossiers de profil du navigateur (voir « Où trouver les fichiers » ci-dessus). Déposez le dossier entier, ceux de plusieurs utilisateurs, ou un ZIP de collecte — sidecars et bases LevelDB sont regroupés automatiquement.
Oui. Chargez Local State, puis collez la clé AES ou dérivez-la depuis la masterkey DPAPI et le mot de passe ou hash NT de l'utilisateur ; Safe Storage macOS et clés Linux sont gérés. Les identifiants Firefox se déchiffrent avec key4.db.
Oui. Lancez le préréglage « Historique navigateur », puis déposez le ZIP (ou son dossier extrait) ici : manifest.csv restaure le chemin d'origine de chaque fichier, pour regrouper utilisateurs et profils, et chaque SHA-256 est vérifié.
Oui — gratuit, sans compte et sans autre limite que la mémoire de votre navigateur.
Déposez un dossier ou une collecte — résultats en quelques secondes, sans que rien ne quitte votre machine.
Ouvrir l'analyseur →