Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-21 · Noch nicht von einer zweiten Person reviewed

CFURL Cache¶

Bedeutung¶

Programme, die Daten über die Standard-Netzwerkschnittstellen von macOS abrufen, legen die Antworten der Server in einem Cache ab. So können wiederholte Anfragen schneller und ohne erneute Übertragung beantwortet werden. Jedes Programm hat eine eigene Datenbank (Cache.db) mit der abgerufenen URL, dem Zeitpunkt sowie den gespeicherten Anfragen und Antworten; größere Antworten liegen als einzelne Dateien im Ordner fsCachedData.

Aus digitalforensischer Sicht belegt ein Eintrag, dass das Programm die URL zum gespeicherten Zeitpunkt abgerufen hat. Nicht belegt ist, dass der Abruf vom Benutzer ausgelöst oder der Inhalt dem Benutzer angezeigt wurde.

Spezifische Kurzinformation¶

Das abrufende Programm ergibt sich aus dem Ordnernamen (Bundle-ID) des Caches
Ob eine Antwort als Datei in fsCachedData liegt, zeigt in der Cache.db die Spalte isDataOnFS der Tabelle cfurl_cache_response
Gespeicherte Anfragen und Antworten können Header mit Sitzungs-Cookies und Tokens enthalten
Zeitstempel der Datenbank in UTC; der Zeitstempel im gespeicherten Antwortobjekt weicht davon teils ab
Die Cache-Größe ist begrenzt; Programme können Einträge selbst löschen oder einen anderen Ablageort festlegen
Ablageort:

/Users/{USER}/Library/Caches/{BUNDLE_ID}/Cache.db

/Users/{USER}/Library/Caches/{BUNDLE_ID}/fsCachedData/

Programme mit Sandbox: /Users/{USER}/Library/Containers/{BUNDLE_ID}/Data/Library/Caches/{BUNDLE_ID}/