01Konum
- ~/Library/Safari/History.db
- ~/Library/Safari/History.db-wal
- ~/Library/Safari/History.plist (older Safari versions)
02Yanıtladığı sorular
- Safari'de hangi URL'ler ne zaman ziyaret edildi?
- Her ziyaret sırasında hangi sayfa başlığı gösterildi?
- Bir ziyaret başka bir ziyarete yönlendirdi mi veya ondan mı yönlendirildi?
- Sayfa başarıyla yüklendi mi?
03Biçim ve sürümler
| Biçim | SQLite 3 veri tabanı. visit_time, 2001-01-01 00:00:00 GMT'ye göre saniye sayısını tutan REAL değerdir (CFAbsoluteTime). |
|---|---|
| Geçerli olduğu sürümler | Apple bu şemayı yayımlamaz; buradaki tablo ve sütun adları plaso Safari geçmişi ayrıştırıcısından alınmıştır ve incelenen sürümde doğrulanmalıdır. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| history_items (id, url, domain_expansion, visit_count, daily_visit_counts, weekly_visit_counts) | URL başına bir satır ve toplu sayaçlar. |
| history_visits (id, history_item, visit_time, title, load_successful, http_non_get, synthesized, redirect_source, redirect_destination, origin) | Ziyaret başına bir satır; history_item → history_items.id; redirect_* diğer ziyaret kimliklerine işaret eder. |
| history_tombstones (id, start_time, end_time, url, generation) | Şemada bulunur; Apple anlamını belgelemez, bu nedenle güvenmeden önce test verisi üzerinde anlamını doğrulayın. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| history_visits.visit_time | Mac absolute time: REAL seconds since 2001-01-01 00:00:00 UTC | Unix saniyesi = değer + 978307200; kesirli saniyeler korunur. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- History.db'yi -wal dosyasıyla birlikte kopyalayın.
- history_visits.history_item ile history_items.id'yi birleştirin; Unix zamanı için visit_time'a 978307200 ekleyin.
- Yönlendirme zincirlerini tek bir gezinmede toplamak için redirect_source ve redirect_destination'ı izleyin.
- Aynı dönem için diğer tarayıcıların geçmişiyle ve macOS günlükleriyle karşılaştırın.
07Yorum tuzakları
- Şema Apple tarafından belgelenmemiştir ve Safari sürümleri arasında değişebilir.
- iCloud üzerinden diğer cihazlardan eşitlenen geçmiş bulunabilir; her ziyaretin bu Mac'te gerçekleştiğini varsaymayın.
- 2001 başlangıcını 1970 veya 1601 başlangıçlarıyla karıştırmak on yıllarca kaymış tarihler üretir.
09Kaynaklar
- plaso — parsers/sqlite_plugins/safari.py log2timeline/plaso (GitHub) · erişim 2026-10-14
- ForensicArtifacts — artifacts/data/webbrowser.yaml ForensicArtifacts project (GitHub) · erişim 2026-10-14
- CFAbsoluteTime Apple Developer Documentation · erişim 2026-10-14