在調查電腦上發生的情況時，網頁瀏覽器往往是重要的無聲證人。 Firefox 瀏覽器憑藉其設定檔系統和對 SQLite 資料庫的大量使用，在電腦取證領域尤其引人注目：它能夠幫助用戶重建會話、追蹤網路活動、恢復看似遺失的歷史記錄，甚至找回瀏覽器在重置或崩潰後「遺忘」的設定檔。
Firefox 取證遠非僅僅查看歷史記錄那麼簡單，它需要了解 Firefox 如何存儲、刪除和重建信息，如何組織用戶配置文件，以及在事件發生後可以提取哪些數據。本文將從取證的角度以及希望恢復資料的高級使用者的角度，詳細探討恢復會話和設定檔的技術和最佳實踐。
為什麼瀏覽器（尤其是 Firefox）在取證中至關重要
幾乎在所有數位分析案例中，使用者的大部分活動都是透過瀏覽器進行的：搜尋、社群媒體、網路銀行、網路郵件、購物、下載、存取管理面板等等。這些操作都會以痕跡的形式留下痕跡：歷史記錄、快取、cookie、本機資料庫、暫存檔案或下載日誌。
在 Firefox 中，這些痕跡不僅有助於回答“做了什麼”，還能回答“何時”、“來自哪個配置文件”以及“使用哪個活動帳戶或會話”。這就是時間戳記以及不同證據來源之間的關聯發揮作用的地方：設定檔、SQLite 資料庫、下載日誌，甚至是設定檔備份。
許多使用者常常感到驚訝的一點是，即使使用隱私瀏覽模式，會話期間仍然會產生快取資料、臨時 cookie 和磁碟檔案。雖然關閉隱私視窗從邏輯上講會刪除這些訊息，但內容可能仍保留在磁碟的未寫入磁區或記憶體/頁面檔案中，可以透過進階取證技術進行復原。
因此，在電腦取證的專業實踐中，正確保存 Firefox 設定檔資料夾是一項優先事項：您應該始終使用取證副本（圖像或副本），並避免在原始證據上正常打開瀏覽器，以免更改證據。
Firefox設定檔的取證結構與關鍵特徵
Firefox 會將所有使用者資料整理到一個或多個設定檔。設定檔本質上是一個系統資料夾，用於儲存設定、歷史記錄、密碼、會話和擴充功能等資訊。從取證角度來看，這個資料夾非常寶貴，因為它能夠高度精確地重建使用者活動。
在 Windows 系統中，典型的設定檔路徑是%APPDATA%\Mozilla\Firefox\Profiles\，而在 Linux 系統中，它位於Home/<使用者名稱>/.config/mozilla/firefox。在這些路徑下，你會看到幾個資料夾，名稱類似於abcd1234.default或xyz7890.default-release，它們代表與該使用者關聯的不同設定檔。
在每個設定檔資料夾中，我們都會發現一系列檔案和資料庫，這些檔案和資料庫對於法醫分析尤其重要：
- 地方.sqlite它收集瀏覽歷史記錄和書籤。它是核心元件之一，因為它整合了網址、標題、時間戳記以及存取之間的關係。
- cookies.sqlite：儲存 cookie、用於追蹤活動會話的金鑰、Web 驗證和使用者偏好。
- formhistory.sqlite：包含自動完成條目和表單，可用於檢索搜尋字詞或輸入到網頁欄位中的資料。
- permissions.sqlite：記錄授予網站的權限（例如，攝影機存取權限或通知權限），這有助於了解某些服務的使用情況。
- webappsstore.sqlite：儲存本機 Web 應用程式儲存資料（localStorage），其中可能包括會話識別碼或線上服務設定。
除了 SQLite 資料庫之外，設定檔資料夾還包含prefs.js（使用者偏好和內部參數）、已安裝的擴充功能、主題、會話檔案以及各種子目錄（儲存、快取、書籤備份等），這些檔案可以補充活動時間軸。
從取證角度來看，掌握使用工具讀取和查詢 SQLite 資料庫而不損壞它們（例如 SQLiteStudio 或其他檢視器）至關重要：它們允許您對歷史記錄、cookie 和表單執行進階查詢，以非常詳細地重建導覽。
瀏覽器會話和標籤頁的取證恢復技術
許多瀏覽器都實作了「標籤頁恢復」機制，以便在標籤頁因崩潰、斷電或系統重新啟動等原因突然關閉時恢復。這些系統通常會暫時儲存有關已開啟標籤頁、視窗和活動會話的信息，這為取證分析人員提供了極佳的上下文資訊。
雖然歷史上最經典的例子是 Internet Explorer，它有index.dat檔案和專門用於標籤頁復原的目錄，但 Firefox 也在其設定檔資料夾中維護會話結構。這些文件可以揭示崩潰前打開了哪些標籤頁、正在造訪哪些網站以及可能已驗證的帳戶。
透過分析這些會話結構以及瀏覽歷史記錄和緩存，可以證明一些事實，例如某個頁面確實在設備上被查看過，某個服務上存在活動會話，或者用戶在事件發生前不久嘗試恢復帳戶或執行特定操作。
在方法論方面，可恢復的會話不應孤立地看待：必須將其與下載時間戳記、系統日誌、電子郵件以及其他任何相關證據關聯起來。只有這樣，才能為審判或審計建構一個可靠且站得住腳的敘述。
管理、備份和還原 Firefox 設定文件
除了純粹的取證分析之外，在瀏覽器崩潰、重裝或重置後，備份和恢復 Firefox 用戶設定檔以防止資料遺失也十分常見。任何高級用戶都可以執行此操作，它在取證環境中也可用作證據保存技術。
在 Firefox 介面中尋找設定檔資料夾的簡單方法是：開啟 Firefox，進入主選單，點擊“說明”，然後點擊“更多故障排除資訊”（相當於 Firefox 內部的about:support頁面）。在該頁面上，您會找到名為「設定檔資料夾」的選項，其中包含一個「開啟資料夾」按鈕，點擊即可直接進入您的設定檔目錄。
進入正確的資料夾後，手動建立備份非常簡單，只需選擇所有內容並將其複製到其他位置：例如外接硬碟、USB或內部備份資料夾。不過，建議在複製之前完全關閉Firefox瀏覽器，以避免檔案被鎖定或出現資料不一致的情況。
要在同一台電腦上恢復該備份，只需關閉 Firefox，返回原始設定檔資料夾，然後貼上備份的文件，覆蓋現有檔案。系統會顯示檔案替換警告，您必須接受。重新開啟 Firefox 後，瀏覽器將載入恢復後的設定文件，其中歷史記錄、會話（如果存在）、密碼、擴充功能和首選項都將與之前完全相同。
當您想要將設定檔移轉到另一台電腦或全新安裝的 Firefox 時，操作略有不同：如果設定檔資料夾名稱不再匹配，最好使用設定檔管理器。在已開啟的 Firefox 視窗中，您可以透過在網址列中輸入about:profiles來存取設定檔管理員；如果 Firefox 已關閉，您也可以在 Windows 系統中使用命令firefox.exe -p來啟動它。
在這個設定檔管理器中，會建立一個新的設定文件，產生後，備份檔案會被複製到該新設定檔的資料夾中。當使用此設定檔啟動 Firefox 時，使用者將恢復所有訊息，就像從未更換過裝置一樣。為了實現更精確的控制，還可以編輯配置文件，使其直接指向具有特定名稱的資料夾，從而使其符合資料結構或內部組織策略。
Firefox 重置後「遺失」設定檔的恢復
有時，在崩潰、更新出錯、瀏覽器劫持程式入侵或版本切換（例如，穩定版和測試版）後，Firefox 可能會使用新的設定檔啟動，讓人感覺所有資料都遺失了：書籤消失、歷史記錄為空、擴充程式遺失…實際上，在大多數情況下，舊的設定檔仍然存在於磁碟上，只是瀏覽器不再引用它們。
恢復設定檔的基本策略包括兩個步驟：識別 Firefox 目前使用的設定文件，以及在檔案系統中找到舊的設定檔資料夾。第一步通常在about:profiles中完成，該頁面會列出目前活動的設定檔及其路徑。記下目前設定檔的名稱會很有幫助，例如4jwpkg44.default-release或bjk4rx6v.default。
接下來，導覽至作業系統中的通用設定檔路徑（例如Windows 系統中的\AppData\Roaming\Mozilla\Firefox\Profiles ），並查看所有現有資料夾。這些資料夾將包含新舊設定檔。為了區分舊配置文件和重置前使用的配置文件，您可以查看每個資料夾的大小（通常最大的資料夾使用頻率最高），或者檢查子資料夾（例如storage\default），以識別歷史記錄中的熟悉位置。
資料夾名稱的「後半部」也很重要：通常以「.default」或「.default-release」結尾。為避免混淆，您應該將舊的「.default」設定檔與目前的「.default」設定檔相匹配，同樣，「.default-release」設定檔也應如此。在確定哪個資料夾對應所需的舊設定檔後，複製其中的所有文件，並將其貼上到您標記的當前設定檔的資料夾中，取代現有內容。
如果該使用者有多個舊配置文件，則可以對每個配置檔案重複此程序。此方法的副作用是，介面中的設定檔選擇器（網址列旁邊的按鈕）可能會“錯位”，顯示空名稱或無回應，因為 Firefox 內部仍然指向先前的路徑。
即使在這種不太理想的情況下，您的資料也會恢復：Firefox 會將您的歷史記錄、會話、書籤和設定恢復到重置前的狀態。要手動切換配置文件，您可以隨時再次使用 about:profiles 頁面，即使可視化選擇器無法正常工作，您也可以啟動任何列出的設定檔。
使用 SQLite 和設定檔進行進階效能調優
當需要對設定檔系統進行更精細的修復，或者需要使內部選擇器完全正常運作時，可能需要編輯儲存設定檔和路徑之間關係的 SQLite 資料庫。此資訊保存在「設定檔組」資料夾中的 .sqlite 檔案中。
在 Windows 系統中，通常路徑為\\AppData\Roaming\Mozilla\Firefox\Profile Groups；而在 Linux 系統中，則位於Home/<使用者名稱>/.config/mozilla/firefox/Profile Groups。該目錄通常包含一個或多個 .sqlite 文件，文件名通常類似於ca96babb.sqlite或類似名稱。這些檔案包含一個名為「profiles」的表，其中包含一個名為「path」的資料列，用於指示與每個設定檔關聯的資料夾。
要確定相關的設定檔組文件，您可以將其上傳到線上 SQLite 檢視器，或使用 SQLiteStudio 等編輯器開啟它，並查看「profiles」表的內容。透過搜尋與舊設定檔資料夾或目前設定檔資料夾相符的路徑，您可以確定需要修改哪個資料庫。
備份 .sqlite 檔案（在進行任何變更之前必須執行此操作）後，編輯所需記錄的「path」列，將類似Profiles\ 的參考變更為Profiles\。儲存文件，然後用修改後的版本取代Profile Groups資料夾中的原始文件。這樣，Firefox 就能再次正確地將設定檔與其新路徑關聯起來，設定檔選擇器也能恢復其正常功能。
一些高級用戶提出了避免直接編輯資料庫的替代方法。其中一種方法是在交換設定檔後使用 Firefox 的同步選項，這樣同步機製本身會「重置」訊息，選擇器就能再次正常工作，而無需手動修改 SQLite。
另一種方法是編輯每個設定檔資料夾中的prefs.js檔案。用文字編輯器開啟該文件，搜尋「toolkit.profiles.storeID」條目，然後將其值調整為與設定檔組的 .sqlite 檔案名稱相符（例如，將其變更為類似「toolkit.profiles.storeID」、「7d97d1ff」這樣的值）。這樣可以將設定檔與對應的儲存庫相匹配，並幫助 Firefox 正確識別設定檔結構。
最後，社群中也描述了一些針對上述方法無效情況的替代方法，例如結合路徑編輯、從 about:profiles 建立新設定檔以及手動重新指派資料夾。從取證角度來看，最重要的是始終基於備份進行操作，記錄每一次更改，並保持原始證據的完整性。
使用外部工具自動備份 Firefox 設定文件
緊急情況下手動備份設定檔資料夾是可以的，但在許多情況下，定期自動備份才是明智之舉。這時，專門用於管理瀏覽器設定檔或執行定時同步的第三方工具就派上了用場。
MozBackup是一款經典的實用工具，它是一款獨立的應用程序，最初設計用於備份和還原 Mozilla 產品（包括 Firefox）的設定檔。它的主要優勢在於其簡潔易用的嚮導：您只需選擇配置文件，選擇要備份的元件（書籤、歷史記錄、密碼、擴展程序等），它就會生成一個備份文件，該文件隨後可以恢復到同一台電腦或其他電腦上。
然而，需要注意的是，MozBackup 已停止積極開發。該軟體存在一些已知問題，其技術團隊當時表示，他們缺乏資源來繼續修復這些問題和添加新功能。因此，使用者或分析人員應自行承擔使用該軟體的風險，並始終驗證備份的建立和復原是否正確。
另一個受歡迎的選擇是Firefox 環境備份擴充功能 (FEBE)，這是一個瀏覽器插件，旨在創建完整的環境備份：保存的密碼、首選項、cookie、歷史記錄、主題、已安裝的擴充程序，甚至如果用戶願意，還可以備份與 Firefox 無關的檔案。
FEBE 可讓您設定自動備份計畫（每日、每週或每月），其進階版本還支援將備份檔案上傳到 Box.net 等服務。與其他擴充功能一樣，FEBE 也存在與未來 Firefox 版本不相容或插件維護可能終止的風險，因此建議您始終檢查目前使用的 Firefox 版本及其是否仍然有效。
除了 Mozilla 的專用工具外，還可以使用SyncBackFree 等通用同步程式。此方案可讓您為特定目錄（包括 Firefox 設定檔資料夾）定義備份和還原設定文件，並實現自動化操作。它不含任何廣告或惡意軟體，其免費版本足以滿足許多家庭用戶或小型組織的需求。
然而，SyncBackFree 與 Windows Server 版本不相容；在這些環境中，需要使用更高版本，例如 SyncBackSE 或 SyncBackPro。對於取證用途，它的優點在於能夠幫助使用者建立頻繁備份，而無需手動操作，從而最大限度地降低在事件發生到下次備份之間丟失關鍵資訊的風險。
瀏覽器和電子郵件在數位研究中的作用
儘管本文重點關注 Firefox，但將其置於更廣泛的證據生態系統中理解會很有幫助。其他瀏覽器，例如 Chrome 和基於 Chromium 的瀏覽器，也使用 SQLite 資料庫和類似的資料結構來儲存歷史記錄和 Cookie，因此可以在分析中應用類似的方法。
例如，Chrome瀏覽器會將瀏覽記錄和Cookie儲存在與SQLite檢視器相容的資料庫中，其快取分析功能可以證明內容確實已載入到裝置上。結合Cookie和歷史記錄進行分析，可以將操作與特定使用者和時間關聯起來，就像Firefox瀏覽器一樣，從而將調查範圍擴展到單一瀏覽器之外。
同時，電子郵件通常與安全事件密切相關：網路釣魚、身分盜竊、詐欺、內部資料外洩等。它們的元資料（完整的標頭、傳輸路線、中間伺服器、日期和時區）可以驗證郵件的大致來源、寄件者的真實性以及電子郵件用戶端的技術。
透過將這些資料與瀏覽器活動（例如，從特定帳戶點擊的釣魚鏈接，或在收到可疑電子郵件後啟動的網上銀行會話）關聯起來，可以重建高度精確的事件鏈。關鍵在於採用整體分析方法，整合瀏覽痕跡、電子郵件、作業系統日誌以及任何其他可用來源。
簡而言之，對 Firefox 等瀏覽器進行取證分析並非只是審查 URL 清單。它需要透徹理解資料的儲存、修改和刪除方式；使用者設定檔、會話、SQLite 資料庫和備份的管理方式；以及如何將這些要素整合到一個嚴謹的方法論中，以便保存、提取、分析、關聯和呈現結果。
我們在網路上的所有活動都會留下痕跡，而Firefox會儲存其中相當一部分資訊。了解如何定位、保護瀏覽器會話和配置文件，並在必要時進行取證恢復，對於判斷調查是否有效至關重要，它決定了調查結果的可靠性，使其能夠進行可靠、可復現且站得住腳的分析——這對於網絡安全專業人員和希望始終保護自身數據的高級用戶都至關重要。
