Silmek istediğiniz bir dosyayı üzerine sağ tık yaparak sildiğinizde ya da delete tuşuna basarak sildiğinizde dosyanız kalıcı olarak silinmez ve geri dönüşüm kutusunda yer alır. Dosyayı kalıcı olarak silmek istediğinizde geri dönüşüm kutusuna göndermeden sileriz( shift+delete tuşlarına basarak) veya geri dönüşüm kutusunu boşaltırız. Bir olay yeri inceleme uzmanı için olay yerindeki çöp kutusunu karıştırmak olayın seyrini değiştirebildiği gibi adli bilişim uzmanları içinde geri dönüşüm kutusunda analiz yapmak vakaya önemli deliller sağlayarak vakanın seyrini değiştirebilir.
Windows işletim sisteminin sürümüne bağlı olarak geri dönüşüm kutusu farklı bir yerde tutulmaktadır. Aşağıda tüm windows işletim sistemlerine ait geri dönüşüm kutusu lokasyonları açıklanmıştır.
Windows 10/8/7
Veri yolu
• C:\$Recycle.bin
•Silinme Zamanı ve Orijinal Dosya isimleri ile silinen her kurtarma dosyası burada bulunmaktadır.
İp Uçları
• SID numarası kayıtlı kullanıcı ile eşleştirilebilir.
- silinmiş dosyalar “$I######” olarak saklanır.
• orijinal veri yolu ve isim mevcuttur.
• silinme tarihi ve zamanı mevcuttur.
Windows Vista
Windows Vista + için, veriler hala kullanıcının SID'si altında saklanır, üst klasöre "$Recycle.Bin" denir. Windows artık INFO2 dosyasını kullanmaz ve bir dosya silindiğinde, Geri Dönüşüm Kutusu'nda iki dosya oluşturulur. İlk dosya, "$, R" değeri ile ve ardından rastgele bir string(karakter) ile başlar. Bu dosya, geri dönüştürülen dosyanın gerçek içeriğini içerir. İkinci dosya, "$, I" ile başlar ve "$, R" dosyasıyla aynı karakter ile biter. Bu dosya, belirli bir dosya için metadatalarını içerir. “$, I” dosyası, orijinal dosya adı, yol, dosya boyutu ve silinen dosyayı saklar.
Windows XP
Windows XP’de “C:\\” nin altında “recycler” klasöründe saklanır. Ayrıca, silinen tüm dosyaların bir dizinini içeren INFO2 dosyası ve geri dönüştürülmüş dosyalar hakkında bazı metadatalar bulunmaktadır.
INFO2 Dosyası İncelemesi
INFO2 dosyasından farklı olarak, yeni $ I dosyaları düz / okunabilir metinde değildir. Bir $ I dosyalarını çözmek için, bir hex editöründe açabilirsiniz. Dosya yapılandırması aşağıdaki gibidir.
Comments