www.2b44.cc网站浏览器历史记录恢复笔记

9 月 21 日，周启明把一块 240GB 的旧 SSD 递给我

他说这块盘在他抽屉里躺了三年，机主是他表妹，换新机器后一直没处理。我接手的第一件事不是插上去，而是先拍照记下序列号，再套上防静电袋。

取证准备

History 文件其实就是一个 SQLite 库，路径只有两级

Windows 下是 用户目录\AppData\Local\Google\Chrome\User Data\Default\History，macOS 下是 ~/Library/Application Support/Google/Chrome/Default/History。文件名就叫 History，没有后缀，双击打不开是正常的。

我做的第一件事是把它复制到桌面再改名成 history.db，因为浏览器运行时会对原文件加锁。这一步如果跳过，后面所有查询都会报 database is locked。

打开链接跳转浏览器

2,417 条记录，最早一条是 2016 年 11 月 3 日 19:42

用 DB Browser for SQLite 打开后，urls 表一共 2,417 行，visits 表 3,806 行。一个 URL 可能被访问多次，所以两张表的行数本来就对不上，这不是数据损坏。

数据核对

WebKit 时间戳要减去 11644473600 才是 Unix 秒

Chrome 的 visit_time 存的是从 1601 年 1 月 1 日开始的微秒数。我第一次算错，把结果算成了 4026 年，发给周启明时他还以为我在开玩笑。

SQL：datetime(visit_time/1000000 - 11644473600, 'unixepoch', 'localtime')

林小满提到的那台 2018 款 MacBook Air 也一样适用

她是我在读书会上认识的，做口述史整理。她说 Safari 的 History.db 结构完全不同，表名是 history_items 和 history_visits，时间基准是 2001 年，差了一个量级，别直接套用 Chrome 的公式。

跨浏览器

三条路径：数据库直读、浏览器导出、缓存反推

第一条最干净，直接读 History 库；第二条是 Chrome 自带的「导出浏览数据」，只能导出书签和部分历史，粒度很粗；第三条是翻 Cache 和 Favicons，能看到域名但看不到完整 URL，只适合做交叉验证。

我把三条路径都跑了一遍，结论是：只要原始文件还在，第一条的成功率是 100%，但前提是你得先把文件复制出来。

49图片浏览器打开249 023

误删 37 天后，SQLite 的空闲页里还剩 619 条

这是整件事里最让我意外的一段。机主在 2023 年 4 月手动清空过一次历史，但因为清空后硬盘没有大量写入，freelist 页面里仍残留着旧记录。用 sqlite3 的 recover 模式扫了一遍，捞回来 619 条。

意外收获

www.2b44.cc 的域名出现过 11 次，集中在 2016 年 12 月

把这 11 条单独拉出来看，访问时间集中在 12 月 7 日到 12 月 19 日之间，每次停留时长都不到 40 秒，像是反复确认某个页面能不能打开。

关键词归档

周二凌晨两点，我把导出结果写成了一份 6 页的 CSV

字段是 url、title、visit_count、last_visit_time，排序按时间倒序。周启明第二天回了一句「比我预想的干净」，这大概是我这周收到的最实在的评价。

交付

《数字取证基础》第 4 章那一页，我折了角

作者在书里写，「删除从来不是瞬时完成的」，这句话我在这次操作里反复想起。书是 2019 年的版本，页码 118，讲文件系统残留的那一节。

找回原来49图库资料免费

最后没做的事：没有上传任何一条数据到云端

所有操作都在离线环境完成，导出文件放在一块独立的 U 盘里，用完格式化。这不是洁癖，是基本规矩。

边界

拆开那台 2016 年的 ThinkPad 时，我在 History 文件里翻到了 2,417 条没被删掉的记录

本篇涉及的条目与旁证