01Konum
- ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2
- ~/Library/Preferences/com.apple.LaunchServices.QuarantineEvents (older systems)
02Yanıtladığı sorular
- Bir dosyayı hangi uygulama ne zaman indirdi veya aldı?
- Bir indirme hangi URL'den ve hangi yönlendiren sayfadan geldi?
- Alınan bir dosyayla hangi gönderen adı veya adresi ilişkilendirildi?
03Biçim ve sürümler
| Biçim | Uzantısız SQLite 3 veri tabanı, LSQuarantineEvent tablosu; LSQuarantineTimeStamp REAL türünde Mac mutlak zamanıdır. |
|---|---|
| Geçerli olduğu sürümler | Dosya Karantinası Mac OS X 10.5 Leopard ile geldi. Buradaki sütun adları plaso ayrıştırıcı şemasını izler. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| LSQuarantineEventIdentifier | Olayın birincil anahtarı (metin). |
| LSQuarantineAgentName, LSQuarantineAgentBundleIdentifier | Dosyayı karantinaya alan uygulamanın adı ve paket kimliği. |
| LSQuarantineDataURLString | Verinin kendi URL'si (tarayıcılarda indirme URL'si). |
| LSQuarantineOriginURLString, LSQuarantineOriginTitle | Köken sayfa URL'si ve başlığı (tarayıcılarda genellikle yönlendiren sayfa). |
| LSQuarantineSenderName, LSQuarantineSenderAddress | Uygulama sağladığında gönderen bilgileri. |
| LSQuarantineTypeNumber | Sayısal karantina türü; örneğin web indirmesi veya diğer indirme. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| LSQuarantineTimeStamp | Mac absolute time: REAL seconds since 2001-01-01 00:00:00 UTC | İşletim sistemi karantinayı otomatik atadığında zaman damgası, dosyanın oluşturulduğu andaki zamandır. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Veri tabanını her kullanıcı hesabı için kopyalayın.
- Unix saniyesi elde etmek için LSQuarantineTimeStamp'e 978307200 ekleyin.
- Veri URL'lerini ve zamanları tarayıcı indirme kayıtlarıyla (Chromium downloads, Firefox indirme notları) eşleştirin.
- Diskteki aday dosyaların com.apple.quarantine genişletilmiş özniteliğini tutarlılık için kontrol edin.
07Yorum tuzakları
- URL özelliklerini uygulamalar kendisi ayarlar; otomatik karantina (LSFileQuarantineEnabled) yalnızca zaman, uygulama adı ve paket kimliğini sağlar.
- Chromium kaynağı, macOS 12.4 itibarıyla sağladığı ek indirme üst verisinin macOS tarafından saklanmadığını belirtir; boş URL sütunları kaynağın bilinmediğini kanıtlamaz.
- Launch Services, kullanıcı dosyayı açtığında dosyanın karantina özelliklerini temizleyebilir; dosya özniteliği ile veri tabanı uyuşmayabilir.
09Kaynaklar
- plaso — parsers/sqlite_plugins/ls_quarantine.py log2timeline/plaso (GitHub) · erişim 2026-10-14
- Launch Services Framework Release Notes for OS X v10.5 (File Quarantine) Apple Developer Documentation Archive · erişim 2026-10-14
- Chromium source — components/services/quarantine/quarantine_mac.mm The Chromium Authors (GitHub mirror) · erişim 2026-10-14
- ForensicArtifacts — artifacts/data/macos.yaml ForensicArtifacts project (GitHub) · erişim 2026-10-14
- CFAbsoluteTime Apple Developer Documentation · erişim 2026-10-14