01Konum
- C:\Users\<user>\AppData\Local\Microsoft\Windows\Explorer\thumbcache_*.db
- C:\Users\<user>\AppData\Local\Microsoft\Windows\Explorer\thumbcache_idx.db
02Yanıtladığı sorular
- Bir kullanıcı profili için hangi resim küçük resimleri oluşturuldu?
- Bir küçük resim ThumbnailCacheId aracılığıyla özgün dosyaya bağlanabilir mi?
- Küçük resimler hangi boyutlarda önbelleğe alındı?
03Biçim ve sürümler
| Biçim | Önbellek dosyası: 24 baytlık başlık ('CMMM', biçim sürümü, önbellek türü, ilk girdi ofsetleri, girdi sayısı) ve ardından girdi özeti, tanımlayıcı dizesi (onaltılık ThumbnailCacheId), dolgu, veri boyutu, CRC-64 veri ve başlık sağlama toplamları ile görüntü verisini içeren 'CMMM' girdileri. Dizin dosyası imzası 'IMMM'. Little-endian. |
|---|---|
| Geçerli olduğu sürümler | Biçim sürümü 20 (Vista), 21 (7), 30 (8.0), 31 (8.1), 32 (Windows 10 ve 11). Boyuta özgü dosya kümesi sürüme göre değişir (ör. Windows 10/11'de thumbcache_16'dan thumbcache_2560'a, _sr, _wide, _exif, _custom_stream). |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| File header | İmza, biçim sürümü ve önbellek türü (hangi boyut dosyası olduğu). |
| Entry hash | Algoritması bilinmeyen 8 baytlık değer. |
| Identifier string | Baştaki sıfırlar olmadan UTF-16 onaltılık ThumbnailCacheId. |
| Data checksum / header checksum | Bütünlük denetimi için CRC-64 değerleri. |
| Data | Küçük resim görüntüsü. |
05İnceleme akışı
- Her profil için tüm thumbcache_*.db dosyalarını toplayın.
- Girdileri ayrıştırın, sağlama toplamlarını doğrulayın ve görüntü verisini dışa aktarın.
- Mümkünse ThumbnailCacheId değerlerini Windows Search veritabanı (windows.edb) ile dosyalara eşleyin.
- Kurtarılan küçük resimleri aynı klasörlere ait ShellBags, LNK ve $MFT kayıtlarıyla birlikte inceleyin.
06Yorum tuzakları
- Thumbcache'te küçük resimleri her durumda özgün dosyalara bağlayan bilgi bulunmaz.
- Kaynaktaki biçim önbellek girdileri içinde zaman damgası belgelemez; zamanlama diğer artefaktlardan gelmelidir.
- Başlıktaki girdi sayısı her zaman doğru değildir; girdileri sırayla ayrıştırın.
08Kaynaklar
- Windows Explorer Thumbnail Cache database format libyal / libwtcdb (J. Metz) · erişim 2026-10-14
- Windows thumbcache Forensics Wiki · erişim 2026-10-14
- Windows artifact definitions (windows.yaml) ForensicArtifacts / artifacts · erişim 2026-10-14