Skip to content
Thumbcache Parser

Nouveau : récupérez les miniatures du slack

La visionneuse thumbcache pensée pour la forensique.

Ouvrez thumbcache_*.db, iconcache_*.db et Thumbs.db pour voir chaque miniature en cache — y compris celles récupérées dans les entrées supprimées.

Analysé dans votre navigateur en WebAssembly. Rien n'est envoyé.

Déposez thumbcache_*.db, iconcache_*.db, Thumbs.db — ou un dossier ou un ZIP

Les dossiers et ZIP (par ex. un export Disk Image Parser) sont parcourus automatiquement.

Cache de miniatures et index Windows Search synthétiques d'une intrusion fictive — aucune donnée réelle. Essayez la plage horaire : sélectionnez la capture d'écran supprimée (10:12:04 UTC) puis « Autour de la sélection ».

Comment obtenir ces fichiers ?

Comment récupérer vos données

Jamais collecté de cache de miniatures ? Prenez la première méthode qui convient : chacune produit un dossier ou un ZIP à déposer directement dans le parseur ci-dessus.

  1. 1Collectez les caches en une commande
  2. 2Déposez le dossier ou le ZIP ci-dessus
  3. 3Analysé dans votre navigateur — rien n'est envoyé

Poste Windows allumé : un seul collage PowerShell

À exécuter dans PowerShell en tant qu'administrateur (Windows 8, 10 ou 11, lecteur système C:). Outils intégrés uniquement : un cliché instantané temporaire de C: contourne les fichiers verrouillés par l'Explorateur, puis il est supprimé.

PowerShell (Administrator)
$out = 'C:\triage\thumbcache'
New-Item -ItemType Directory -Force -Path $out | Out-Null
$r = Invoke-CimMethod -ClassName Win32_ShadowCopy -MethodName Create -Arguments @{ Volume = 'C:\' }
$vss = Get-CimInstance Win32_ShadowCopy | Where-Object ID -eq $r.ShadowID
cmd /c mklink /d C:\triage\vss "$($vss.DeviceObject)\"
$exp = 'AppData\Local\Microsoft\Windows\Explorer'
Get-ChildItem C:\triage\vss\Users -Directory | ForEach-Object {
  if (Test-Path "$($_.FullName)\$exp") {
    robocopy "$($_.FullName)\$exp" "$out\Users\$($_.Name)\$exp" thumbcache_*.db iconcache_*.db /B /R:0 /W:0 /NP /NDL /NJH /NJS
  }
}
$idx = 'ProgramData\Microsoft\Search\Data\Applications\Windows'
robocopy "C:\triage\vss\$idx" "$out\$idx" Windows.edb Windows.db *.log *.chk /B /R:0 /W:0 /NP /NDL /NJH /NJS
cmd /c rmdir C:\triage\vss
Remove-CimInstance -InputObject $vss

Résultat : C:\triage\thumbcache contient les thumbcache_*.db et iconcache_*.db de chaque profil sous Users\<nom>\…, ainsi que l'index Windows Search. Cliquez sur « Choisir un dossier » ci-dessus et sélectionnez-le, ou glissez-le sur la zone de dépôt.

Pièges

  • Ne copiez pas les fichiers depuis l'Explorateur : les thumbcache_*.db sont verrouillés tant que explorer.exe tourne. Utilisez un cliché instantané (la commande la plus rapide) ou un outil de triage — les deux exigent les droits administrateur.
  • Collectez tôt : l'option Miniatures du Nettoyage de disque et les reconstructions du cache effacent les caches. D'anciens clichés instantanés peuvent encore contenir des miniatures purgées des fichiers actuels.
  • L'index de recherche est lu tel quel ; ses journaux de transactions ne sont pas rejoués. S'il manque des chemins, lancez esentutl /r MSS sur une copie de Windows.edb et de ses journaux (les commandes les collectent).
  • Vista → Windows 11
  • iconcache
  • Thumbs.db + Type 1
  • Carving du slack
  • MD5 · SHA-256
  • Aucun envoi
classes de taille décodées
14
toutes les versions de thumbcache
Vista → 11
envoyé — tout s'exécute en local
0 octet

Fonctionnalités

Tout ce qu'un enquêteur attend d'un cache de miniatures

D'un simple thumbcache_256.db à une collecte complète : décodé, récupéré et prêt pour le rapport en quelques secondes.

  • Récupérez ce qui a été supprimé

    Parcourt la chaîne d'entrées, puis carve tout le fichier à la recherche d'entrées CMMM. Les miniatures restées dans le slack sont récupérées et signalées.

  • Toutes les versions de Windows

    thumbcache et iconcache de Vista à Windows 11, y compris toutes les variantes d'en-tête de Windows 8 et toutes les tailles.

  • Confidentiel par conception

    Un parseur Rust compilé en WebAssembly s'exécute dans un worker sur votre machine. Aucun envoi, aucun compte, fonctionne hors ligne une fois chargé.

  • Exports de qualité probatoire

    MD5 et SHA-256 par miniature, empreinte de chaque fichier source, et rapport HTML, CSV, JSON ou ZIP de preuves complet.

  • Déposez toute la collecte

    Dossiers et ZIP sont parcourus récursivement. Chaque fichier est rattaché à son profil utilisateur, exports Disk Image Parser compris.

  • Thumbs.db historiques

    Noms et dates de modification du Catalog des Thumbs.db de l'ère XP, et miniatures Type 1 de Windows 98/2000 reconstruites en images lisibles.

Méthode

Comment ça marche

  1. 01

    Collecter

    Copiez le dossier de cache Explorer avec KAPE, FTK Imager ou une shadow copy — ou exportez-le depuis une image disque.

  2. 02

    Déposer

    Déposez des fichiers, un dossier ou un ZIP. Chaque entrée est décodée dans votre navigateur, les entrées récupérées sont signalées.

  3. 03

    Rapporter

    Filtrez, inspectez et exportez les miniatures avec leurs empreintes en rapport HTML, CSV ou ZIP de preuves.

Thumbcache Parser est une visionneuse thumbcache gratuite et multiplateforme pour l'investigation numérique. Windows conserve une miniature des images, vidéos et documents parcourus dans l'Explorateur, et ces miniatures survivent souvent aux fichiers d'origine. Déposez les fichiers de cache (ou un dossier collecté, ou un ZIP) pour parcourir chaque miniature avec son cache ID et ses empreintes, récupérer les entrées restées dans le slack et exporter un rapport HTML, CSV ou ZIP prêt pour le dossier. Tout s'exécute localement : adapté aux affaires sensibles.

Guides

Guides sur le cache de miniatures

Format du fichier thumbcache_*.db : en-tête et entrées
Structure binaire des bases thumbcache et iconcache de Windows, de Vista à Windows 11 : en-tête de fichier, types de cache par version et structure des entrées.
thumbcacheformat de fichierformat binairearchitecture windows
Investigation numérique du thumbcache : les preuves
Ce que prouvent les fichiers thumbcache_*.db dans une enquête, comment récupérer des miniatures supprimées, et les réserves à formuler avant un rapport.
thumbcachedfirartefacts windowscache de miniatures
Alternatives à Thumbcache Viewer comparées
Comparatif de Thumbcache Viewer, Vinetto, des suites forensiques et du parsing dans le navigateur : plateformes, formats, récupération des entrées et noms.
thumbcacheoutilsdfirthumbcache viewer

FAQ

Questions fréquentes

Comment ouvrir un fichier thumbcache_*.db ?

Déposez-le sur le parseur ci-dessus, ou choisissez tout le dossier Explorer. Chaque entrée est décodée dans votre navigateur et affichée en grille avec son cache ID, ses dimensions, son offset et ses empreintes MD5/SHA-256. Les caches de Windows Vista, 7, 8, 8.1, 10 et 11 sont pris en charge.

Des images supprimées peuvent-elles encore apparaître dans le cache ?

Oui. Supprimer un fichier ne retire pas sa miniature de thumbcache_*.db, et les entrées libérées restent souvent intactes dans le slack. Le parseur scanne tout le fichier par signature et signale en rouge les entrées récupérées.

Puis-je charger des preuves ici en toute sécurité ?

Les fichiers sont lus et analysés localement en WebAssembly dans un worker ; aucun octet n'est envoyé à un serveur. Vérifiez-le dans l'onglet réseau de votre navigateur, ou utilisez le site hors ligne une fois chargé.

Thumbs.db est-il pris en charge ?

Oui : Thumbs.db de Windows XP/2000/ME avec son Catalog (noms d'origine et dates de modification), Thumbs.db créés par Vista+ sur les partages réseau, et les anciennes miniatures « Type 1 », reconstruites en images lisibles.

Comment savoir à quel fichier appartient une miniature ?

Les entrées thumbcache sont indexées par un cache ID de 64 bits, pas par un nom de fichier. Windows Search stocke le même ID (System_ThumbnailCacheId) à côté du chemin du fichier. Déposez Windows.edb (ou Windows.db sous Windows 11) avec les caches : chaque miniature indexée affiche alors son chemin, son nom, sa taille et sa date de modification d'origine.

Développez votre premier cache

Déposez un thumbcache_*.db, un Thumbs.db ou tout un ZIP de collecte : les miniatures apparaissent en quelques secondes, rien ne quitte votre machine.

Ouvrir un cache