01Konum
- C:\$Recycle.Bin\<SID>\$I*
- C:\$Recycle.Bin\<SID>\$R*
- C:\Recycler\<SID>\INFO2 (Windows 2000, XP, 2003)
02Yanıtladığı sorular
- Kullanıcı Geri Dönüşüm Kutusu'na hangi dosyaları taşıdı?
- Özgün adları ve konumları neydi?
- Ne zaman silindiler ve özgün boyutları neydi?
- İçerik ilgili $R dosyasında hâlâ mevcut mu?
03Biçim ve sürümler
| Biçim | $I: 8 baytlık biçim sürümü (1 = Windows Vista, 2 = Windows 10), 8 baytlık özgün boyut, silme FILETIME değeri, ardından UTF-16LE özgün yol (sürüm 2 önce 4 baytlık karakter sayısı ekler). INFO2: 20 baytlık başlık ve ASCII ile UTF-16LE adlar, dizin, sürücü numarası ve silme FILETIME değeri içeren 800 baytlık girdiler (Windows Me'de 280 bayt). |
|---|---|
| Geçerli olduğu sürümler | Recycler/INFO2: Windows Me, 2000, XP ve 2003. $Recycle.Bin: Windows Vista ve sonrası; $I biçim sürümü 2 Windows 10'dan itibaren. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| Format version ($I) | 1 veya 2; yoldan önce dosya adı uzunluğu olup olmadığını belirler. |
| Original file size | Silinen öğenin boyutu. |
| Deletion date and time | Öğenin Geri Dönüşüm Kutusu'na taşındığı zaman. |
| Original filename | UTF-16LE olarak tam özgün yol. |
| <SID> folder | Klasörün sahibi olan profilin güvenlik tanımlayıcısı. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| $I deletion date and time | FILETIME (UTC) | Silme (taşıma) zamanı; dosyanın kendi zamanları $R dosyasının dosya sistemi üst verisinde kalır. |
| INFO2 deletion date and time | FILETIME (UTC) | Eski biçimde girdi başına silme zamanı. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Her birimde ve her SID alt klasöründe $Recycle.Bin'i (veya Recycler'ı) listeleyin.
- Her $I dosyasını biçim sürümünü denetleyerek ayrıştırın ve $R dosyasıyla eşleştirin.
- SID'i bir kullanıcı hesabına çözün ve kurtarılan $R içeriğinin özetini alın.
- Öğenin silinmeden önceki geçmişi için $UsnJrnl, $MFT ve LNK dosyalarıyla ilişkilendirin.
07Yorum tuzakları
- Ayrıştırıcılar her iki $I sürümünü de işlemelidir; sürüm 2 yoldan önce bir uzunluk alanı ekler.
- INFO2 dosya adı alanlarının kullanılmayan baytları kalıntı veri içerebilir; bunu adın parçası saymayın.
- Kayıt öğenin hangi profilin kutusunda olduğunu gösterir; silmeyi yapan işlemi tek başına belirlemez.
09Kaynaklar
- Windows Recycle.Bin file formats libyal / dtformats (J. Metz) · erişim 2026-10-14
- Windows Recycler file formats (INFO2) libyal / dtformats (J. Metz) · erişim 2026-10-14
- RBCmd README Eric Zimmerman (GitHub) · erişim 2026-10-14
- Windows artifact definitions (windows.yaml) ForensicArtifacts / artifacts · erişim 2026-10-14