home *** CD-ROM | disk | FTP | other *** search
/ Hackers Matrix / Hacker's Matrix (nCite Software) (2003).iso / Tutorials / hTut_0221.txt < prev    next >
Text File  |  2002-12-13  |  34KB  |  813 lines
  1. Microsoft's Really Hidden Files:  A New Look At Forensics (v2.6)
  2. By The Riddler
  3. November 3, 2001
  4. (v2.0 finished May 16, 2001; v1.0 finished June 11, 2000)
  5.  
  6. Written with Windows 9x in mind, but not limited to.
  7.  
  8. DISCLAIMER:
  9.  
  10. I will not be liable for any damage or lost information, whether due to
  11. reader's error, or any other reason.
  12.  
  13. SUMMARY:
  14.  
  15. There are folders on your computer that Microsoft has tried hard to keep
  16. secret.  Within these folders you will find two major things:  Microsoft
  17. Internet Explorer has not been clearing your browsing history after you have
  18. instructed it to do so, and Microsoft's Outlook Express has not been deleting
  19. your e-mail correspondence after you've erased them from your Deleted Items
  20. bin.  (This also includes all incoming and outgoing file attachments.)  And
  21. believe me, that's not even the half of it.
  22.  
  23. When I say these files are hidden well, I really mean it.  If you don't have
  24. any knowledge of DOS then don't plan on finding these files on your own.  I
  25. say this because these files/folders won't be displayed in Windows Explorer at
  26. all -- only DOS.  (Even after you have enabled Windows Explorer to "show all
  27. files.")  And to top it off, the only way to find them in DOS is if you knew
  28. the exact location of them.  Basically, what I'm saying is if you didn't know
  29. the files existed then the chances of you running across them is slim to
  30. slimmer.
  31.  
  32. It's interesting to note that Microsoft does not explain this behavior
  33. adequately at all.  Just try searching on microsoft.com.
  34.  
  35. FORWARD:
  36.  
  37. I know there are some people out there that are already aware of some of the 
  38. things I mention.  I also know that most people are not.  The purpose of this 
  39. tutorial is teach people what is really going on with Microsoft's products and
  40. how to take control of their privacy again.  This tutorial was written by me,
  41. so if you see a mistake somewhere then it is my mistake, and I apologize.
  42.  
  43. Thanks for reading.
  44.  
  45. INDEX:
  46.  
  47. 1) DEFINITIONS
  48.    1.1) Ancronyms
  49. 2) SEEING IS BELEIVING
  50. 3) HOW TO ERASE THE FILES ASAP
  51.    3.1) If You Have Ever Used Microsoft Internet Explorer
  52.    3.2) Clearing Your Registry
  53.    3.3) Slack files
  54.    3.4) Keeping Microsoft's Products
  55. 4) STEP-BY-STEP GUIDE THROUGH YOUR HIDDEN FILES (For the savvy.)
  56. 5) HOW MICROSOFT DOES IT
  57. 6) +S MEANS [S]ECRET NOT [S]YSTEM.
  58. 7) A LOOK AT OUTLOOK
  59. 8) THE TRUTH ABOUT FIND FAST
  60.    8.1) Removing Find Fast
  61. 9) CONTACT INFORMATION AND PGP BLOCKS
  62.    9.1) Recommended reading
  63. 10) SPECIAL THANKS
  64. 11) REFERENCES
  65.  
  66. Coming in version 3.0:
  67.  
  68. ∙ pstores.exe
  69. ∙ Related Windows Tricks.
  70. ∙ Looking back on the NSA-Key.
  71. ∙ Researching the [Microsoft Update] button.
  72. ∙ Why the temp folders aren't intended to be temporary at all.
  73. ∙ What's with Outlook Express's .dbx database files?
  74. ∙ Win2K support.
  75.  
  76.  
  77. 1.0. DEFINITIONS
  78.  
  79. I) A "really hidden" file/folder is one that cannot be seen in Windows
  80. Explorer after enabling it to "show all files," and cannot be seen in MS-DOS
  81. after receiving a proper directory listing from root.
  82.  
  83.    a) There is at least one loophole to enable Windows Explorer to see them.
  84.    b) There is at least one loophole to enable MS-DOS to see them.
  85.  
  86. II) Distinguishes "really hidden" file/folders from just plain +h[idden] ones, 
  87. such as your "MSDOS.SYS" or "Sysbckup" folder.
  88.  
  89. III) Distinguishes from certain "other" intended hidden files, such as a file
  90. with a name with high ascii characters (eg, "Yδ∩¿o").
  91.  
  92. (Interesting to note that Microsoft has disabled the "Find: Files or Folders"
  93. from searching through one of these folders.)
  94.  
  95.  
  96. 1.1. ANCRONYMS
  97.  
  98. DOS = Disk Operating System aka MS-DOS
  99. MSIE = Microsoft Internet Explorer
  100. TIF = Temporary Internet Files (folder)
  101. HD = Hard Drive
  102. OS = Operating System
  103. FYI = For Your Information
  104.  
  105.  
  106. 2. SEEING IS BELEIVING
  107.  
  108. No.  Enabling Windows Explorer to "show all files" does not show the files in
  109. mention.  No.  DOS does not list the files after receiving a proper directory
  110. listing from root.  And yes.  Microsoft intentionally disabled the "Find"
  111. utility from searching through one of the folders.
  112.  
  113. Oh, but that's not all.
  114.  
  115. Just from one of these files I would be able to tell you which web sites you
  116. previously visited, what types of things you search for in search engines, and
  117. probably gather your ethnicity, religion, and sexual preference.  Needless to
  118. say one can build quite a profile on you from these files.  It has the
  119. potential to expose and humiliate -- putting your marriage, friendship, and
  120. corporation at risk.  Here's one good example of the forensic capabilities..
  121.  
  122. "I've been reading your article as I have a problem with an employee of mine.
  123. He has been using the works pc for the internet and using it to chat and look
  124. at porn sites.  He was then deleting the cookies and history in order to cover
  125. his tracks.  A friend of mine pointed me in the direction of this site and
  126. your article.  I have found it to be incredibly useful,..."
  127.  
  128. --Concerned Boss, 8/24/01
  129.  
  130. One more thing.  They contain your browsing history at ALL times.  Even after
  131. you have instructed Microsoft Internet Explorer to clear your history/cache.
  132. And so the saying goes, "seeing is believing..."
  133.  
  134. To see for yourself simply do as you would normally do to clear your browsing
  135. history.  Go to Internet Options under your Control Panel.  Click on the
  136. [Clear History] and [Delete Files] buttons.  (Make sure to include all offline
  137. content.)
  138.  
  139. So, has your browsing history been cleared?  One would think so...
  140.  
  141. Skipping the to chase here.  These are the names and locations of the "really
  142. hidden files:"
  143.  
  144. c:\windows\history\history.ie5\index.dat
  145. c:\windows\tempor~1\content.ie5\index.dat
  146.  
  147. If you have upgraded MSIE several times, they might have alternative names of
  148. mm256.dat and mm2048.dat, and may also be located here:
  149.  
  150. c:\windows\tempor~1\
  151. c:\windows\history\
  152.  
  153. Not to mention the other alternative locations under:
  154.  
  155. c:\windows\profiles\%user%\...
  156. c:\windows\application data\...
  157. c:\windows\local settings\...
  158. c:\windows\temp\...
  159. c:\temp\...
  160.  
  161. FYI, there are a couple other index.dat files that get hidden as well, but
  162. they are seemingly not very important.
  163.  
  164.  
  165. 3.0. HOW TO ERASE THE FILES ASAP
  166.  
  167. Step by step information on how to erase these files as soon as possible.
  168. This section is recommended for the non-savvy.  Further explanation can be
  169. found in Section 4.0.  Please note that following these next steps will erase 
  170. all your internet cache and cookies files.  If you use the offline content
  171. feature with MSIE, it will remove this as well.  It will not erase your
  172. bookmarks.
  173.  
  174.  
  175. 3.1. IF YOU HAVE EVER USED MICROSOFT INTERNET EXPLORER
  176.  
  177. 1) Shut your computer down, and turn it back on.
  178. 2) While your computer is booting keep pressing the [F8] key until you are
  179. given an option screen.
  180. 3) Choose "Command Prompt Only."  This will take you to real DOS mode.  ME
  181. users must use a bootdisk to get into real DOS mode.
  182. 4) When your computer is done booting, you will have a C:\> followed by a
  183. blinking cursor.  Type in this hitting enter after each line (sans
  184. parenthesis):
  185.  
  186. C:\WINDOWS\SMARTDRV (Loads smartdrive to speed things up.)
  187. CD\
  188. DELTREE/Y TEMP (This line removes temporary files.)
  189. CD WINDOWS 
  190. DELTREE/Y COOKIES (This line removes cookies.)
  191. DELTREE/Y TEMP (This removes temporary files.)
  192. DELTREE/Y HISTORY (This line removes your browsing history.)
  193. DELTREE/Y TEMPOR~1 (This line removes your internet cache.)
  194.  
  195. (If this last line doesn't work then type this:) 
  196.  
  197. CD\WINDOWS\APPLIC~1
  198. DELTREE/Y TEMPOR~1 
  199.  
  200. (If this doesn't work then type this:) 
  201.  
  202. CD\WINDOWS\LOCALS~1
  203. DELTREE/Y TEMPOR~1
  204.  
  205. (If this still does not work, and you are sure you are using MSIE 5.x, then
  206. feel free to e-mail me.  If you have profiles turned on, then it is likely
  207. located under \windows\profiles\%user%\, while older versions of MSIE keep
  208. them under \windows\content\.)
  209.  
  210. This last one will take a ridiculous amount of time to process.  The reason it
  211. takes so incredibly long is because there is a TON of useless cache stored
  212. on your HD.
  213.  
  214. 5) Immediately stop using Microsoft Internet Explorer and go with any of the
  215. alternative browsers out there.  Netscape 4.7x from netscape.net, mozilla from
  216. mozilla.org, or opera from opera.com.
  217.  
  218. FYI, Windows re-creates the index.dat files automatically when you reboot your
  219. machine so don't be surprised when you see them again.  They should at least
  220. be cleared of your browsing history.
  221.  
  222.  
  223. 3.2. CLEARING YOUR REGISTRY
  224.  
  225. It was once believed that the registry is the central database of Windows that
  226. stores and maintains the OS configuration information.  Well, this is wrong.
  227. Apparently it also maintains a bunch of other information that has absolutely
  228. nothing to do with the configuration.  I won't get into the other stuff but
  229. for one, your Typed URLs are stored in the registry.
  230.  
  231. HKEY_USERS/Default/Software/Microsoft/Internet Explorer/TypedURLs/
  232. HKEY_CURRENT_USER/Software/Microsoft/Internet Explorer/TypedURLs/
  233.  
  234. These "Typed URLs" come from MSIE's autocomplete feature.  It records all URLs
  235. that you've typed in manually in order to save you some time filling out the
  236. address field.  By typing "ama" the autocomplete feature might bring up
  237. "amazon.com" for you.  Although, I find it annoying, some people prefer this
  238. feature.  One thing is for sure however -- it's an obvious privacy risk.  You
  239. wouldn't want a guest to type "ama" and have it autocomplete to
  240. "amaturemudwrestlers.com" now would you?
  241.  
  242. You can clear your Typed URLs out of your registry by doing going to your
  243. Control Panel > Internet Options > Content > [AutoComplete] > and finally
  244. [Clear Forms].  If you feel the AutoComplete feature is a privacy risk, then
  245. uncheck the appropriate boxes here.
  246.  
  247. FYI, this section has nothing to do with "really hidden files."  It was added
  248. so people can completely clear their browsing history before having to ditch
  249. Microsoft Internet Explorer.
  250.  
  251.  
  252. 3.3. SLACK FILES
  253.  
  254. As you may already know, deleting files only deletes the references to them.
  255. They are in fact still sitting there on your HD and can still be recovered by
  256. a very motivated person.
  257.  
  258. ∙ BCWipe is a nice program that will clear these files.  (www.bcwipe.com).
  259. ∙ For you DOS buffs, there's a freeware file wiper on simtel.net that I use.
  260. (www.simtel.net/pub/dl/45631.shtml).
  261. ∙ If you are using PGP then there is a "Freespace Wipe" option under PGPtools.
  262. ∙ The newer versions of Norton Utilities has a nice filewiping utility.
  263. ∙ You might want to check out Evidence Eliminator's 30 day trial.  This is
  264. probably the best program as far as your privacy goes.
  265. (www.evidence-eliminator.com)
  266.  
  267.  
  268. 3.4. KEEPING MICROSOFT'S PRODUCTS
  269.  
  270. If your work environment forces you to use Microsoft Internet Explorer then I
  271. strongly recommend that you talk your boss into checking out one of these
  272. programs:
  273.  
  274. ∙ PurgeIE (www.aandrc.com/purgeie)
  275. ∙ Cache and Cookie Cleaner for IE (www.webroot.com/washie.htm)
  276. ∙ Anonymizer Window Washer (www.anonymizer.com/anonwash)
  277.  
  278. These programs automate the process for you, and is far better then having to
  279. ad 'deltree/y' lines to your autoexec.
  280.  
  281. AND if your work environment forces you to use Outlook or Outlook Express then
  282. you should get in the habit of compacting your mailboxes.
  283.  
  284. You can do this by going to File > Folder > Compact All if you have Outlook
  285. Express.
  286.  
  287. or
  288.  
  289. Tools > Options > Other tab > [Auto Archive] if you have Outlook.  Make sure
  290. to set things up here.
  291.  
  292.  
  293. 4.0. STEP-BY-STEP GUIDE THROUGH YOUR HIDDEN FILES
  294.  
  295. This next section is intended for the savvy user.
  296.  
  297. The most important files to be paying attention to are your "index.dat" files.
  298. These are database files that reference your history, cache and cookies.  The
  299. first thing you should know is that the index.dat files is that they don't
  300. exist in less you know they do.  They second thing you should know about them
  301. is that some will *not* get cleared after deleting your history and cache.
  302.  
  303. The result:
  304.  
  305. A log of your browsing history hidden away on your computer after you thought
  306. you cleared it.
  307.  
  308. To view these files, follow these steps:
  309.  
  310. In MSIE 5.x, you can skip this first step by opening MSIE and going to Tools >
  311. Internet Options > [Settings] > [View Files].  Now write down the names of
  312. your alphanumeric folders on a piece of paper.  If you can't see any
  313. alphanumeric folders then start with step 1 here:
  314.  
  315. 1) First, drop to a DOS box and type this at prompt (in all lower-case) to
  316. bring up Windows Explorer under the correct directory...
  317.  
  318. c:\windows\explorer /e,c:\windows\tempor~1\content.ie5\
  319.  
  320. You see all those alphanumeric names listed under "content.ie5?" (left-hand
  321. side.)  That's Microsoft's idea of making this project as hard as possible.
  322. Actually, these are your alphanumeric folders that was created to keep your
  323. cache.  Write these names down on a piece of paper.  (They should look
  324. something like this:  6YQ2GSWF, QRM7KL3F, U7YHQKI4, 7YMZ516U, etc...)  If you
  325. click on any of the alphanumeric folders then nothing will be displayed.  Not
  326. because there aren't any files here, but because Windows Explorer has lied to
  327. you.  If you want to view the contents of these alphanumeric folders you will
  328. have to do so in DOS.  (Actually, this is not always true.  *Sometimes*
  329. Windows Explorer will display the contents of the alphanumeric folders -- but
  330. mostly it won't.  I can't explain this.)
  331.  
  332. 2) Then you must restart in MS-DOS mode.  (Start > Shutdown > Restart in
  333. MS-DOS mode.  ME users use a bootdisk.)
  334.  
  335. Note that you must restart to DOS because windows has locked down some of the
  336. files and they can only be accessed in real DOS mode.
  337.  
  338. 3) Type this in at prompt:
  339.  
  340. CD\WINDOWS\TEMPOR~1\CONTENT.IE5
  341. CD %alphanumeric%
  342. (replace the "%alphanumeric%" with the first name that you just wrote down)
  343.  
  344. DIR/P
  345.  
  346. The cache files you are now looking at are directly responsible for the
  347. mysterious erosion of HD space you may have been noticing.  One thing
  348. particularly interesting is the ability to view some your old e-mail if you
  349. happen to have a hotmail account.  (Oddly, I've only been able to retreive
  350. hotmail e-mail, and not e-mail from my other web-based e-mail accounts.  Send
  351. me your experiences with this.)  To see them for yourself you must first copy
  352. them into another directory and THEN open them with your browser.  Don't ask
  353. me why this works.
  354.  
  355. A note about these files:  These are your cache files that help speed up
  356. your internet browsing.  It is quite normal to use this cache system, as every
  357. major browser does.  On the other hand.  It isn't normal for some cache files
  358. to be left behind after you have instructed your browser to erase it.
  359.  
  360. 5) Type this in:
  361.  
  362. CD\WINDOWS\TEMPOR~1\CONTENT.IE5
  363. EDIT /75 INDEX.DAT
  364.  
  365. You will be brought to a blue screen with a bunch of binary.
  366.  
  367. 6) Press and hold the [Page Down] button until you start seeing lists of URLs.
  368. These are all the sites that you've ever visited as well as a brief
  369. description of each.  You'll notice it records everything you've searched for
  370. in a search engine in plain text, in addition to the URL.
  371.  
  372. 7) When you get done searching around you can go to File > Exit.  If you don't
  373. have mouse support in DOS then use the [ALT] and [Arrow] keys.
  374.  
  375. 8) Next you'll probably want to erase these files by typing this: 
  376.  
  377. C:\WINDOWS\SMARTDRV
  378. CD\WINDOWS
  379. DELTREE/Y TEMPOR~1
  380.  
  381. (replace "cd\windows" with the location of your TIF folder if different.)
  382.  
  383. This will take a seriously long time to process.  Even with smartdrive loaded.
  384.  
  385. 9) Then check out the contents of your History folder by typing this:
  386.  
  387. CD\WINDOWS\HISTORY\HISTORY.IE5 
  388. EDIT /75 INDEX.DAT
  389.  
  390. You will be brought to a blue screen with more binary. 
  391.  
  392. 10) Press and hold the [Page Down] button until you start seeing lists of URLS
  393. again.
  394.  
  395. This is another database of the sites you've visited.
  396.  
  397. 11) And if you're still with me type this:
  398.  
  399. CD\WINDOWS\HISTORY
  400.  
  401. 12) If you see any mmXXXX.dat files here then check them out (and delete
  402. them.) Then...
  403.  
  404. CD\WINDOWS\HISTORY\HISTORY.IE5 
  405. CD MSHIST~1 
  406. EDIT /75 INDEX.DAT
  407.  
  408. More URLs from your internet history.  Note, there are probably other mshist~x
  409. folders here so you can repeat these steps for every occurence if you please.
  410.  
  411. 13) By now you'll probably want to type in this: 
  412.  
  413. CD\WINDOWS 
  414. DELTREE/Y HISTORY
  415.  
  416.  
  417. 5.0. HOW MICROSOFT DOES IT
  418.  
  419. How does Microsoft make these folders/files invisible to DOS?
  420.  
  421. The only thing Microsoft had to do to make the folders/files invisible to a
  422. directory listing is to set them +s[ystem].  That's it.  As soon as the dir/s
  423. command hits a system folder, it renders the command useless (unlike normal
  424. folders.)  A more detailed explanation is given in Section 6.
  425.  
  426. So how does Microsoft make these folders/files invisible to Windows Explorer?
  427.  
  428. The "desktop.ini" is a standard text file that can be added to any folder to
  429. customize certain aspects of the folder's behavior.  In these cases, Microsoft
  430. utilized the desktop.ini file to make these files invisible.  Invisible to
  431. Windows Explorer and even to the "Find: Files or Folders" utility (so you
  432. wouldn't be able to perform searches in these folders!)  All that Microsoft
  433. had to do was create a desktop.ini file with certain CLSID tags and the
  434. folders would disappear like magic.
  435.  
  436. To show you exactly what's going on:
  437.  
  438. Found in the c:\windows\temporary internet files\desktop.ini and the
  439. c:\windows\temporary internet files\content.ie5\desktop.ini contains this
  440. text:
  441.  
  442. [.ShellClassInfo]
  443. UICLSID={7BD29E00-76C1-11CF-9DD0-00A0C9034933}
  444.  
  445. Found in the c:\windows\history\desktop.ini and the
  446. c:\windows\history\history.ie5\desktop.ini contains this text:
  447.  
  448. [.ShellClassInfo]
  449. UICLSID={7BD29E00-76C1-11CF-9DD0-00A0C9034933}
  450. CLSID={FF393560-C2A7-11CF-BFF4-444553540000}
  451.  
  452. The UICLSID line cloaks the folder in Windows Explorer.  The CLSID line
  453. disables the "Find" utility from searching through the folder.  (Additionally,
  454. it gives a folder the appearance of the "History" folder.)
  455.  
  456. To see for yourself, you can simply erase the desktop.ini files.  You'll see
  457. that it will instantly give Windows Explorer proper viewing functionality
  458. again, and the "Find" utility proper searching capabilities again.  Problem
  459. solved right?  Actually, no.  As it turns out, the desktop.ini files get
  460. reconstructed every single time you restart your computer.  Nice one, Slick.
  461.  
  462. Luckily there is a loophole which will keep Windows from hiding these folders.
  463. You can manually edit the desktop.ini's and remove everything except for the
  464. "[.ShellClassInfo]" line.  This will trick windows into thinking they have
  465. still covered their tracks, and wininet won't think to reconstruct them.
  466.  
  467. I can't stress how ridiculous it is that Windows actually makes sure the files
  468. are hidden on every single boot.  No other files or folders get this kind of
  469. special treatment.  So what's the agenda here?
  470.  
  471.  
  472. 6.0. +S MEANS [S]ECRET NOT [S]YSTEM
  473.  
  474. Executing the "dir/a/s" command from root *should* be the correct command to
  475. display all files in all subdirectories in DOS.  However, doing so will not
  476. display the index.dat files.  This is because when DOS tries to get a list of
  477. the subdirectories of any +s[ystem] directory it hits a brick wall.  No files
  478. or folders will be listed within any system directory.  Not only does this
  479. defeat the whole purpose of the "/s" switch in the first place, but I'd say it
  480. looks like Microsoft took extra precautions to keep people from finding the
  481. files.  Remember.  The only thing you need to do to obscure a file in DOS is
  482. to mark the parent directory +s[ystem].
  483.  
  484. I was told by a few people that this was due to a very old DOS bug that dates
  485. back many years.  Fine.  I can accept that.  A bug it is.
  486.  
  487. But, would you consider your Temporary Internet Files to be "system files?"
  488. It would seem that your TIF folder appears to be marked +s[ystem] for no good
  489. reason at all.  Just because.  Same with your history folder.  You may not
  490. agree, but I tend to think that Microsoft marked the folders as +s[ystem]
  491. solely to hide any directory recursal from DOS.
  492.  
  493. In case you didn't understand, here's a small experiment that will show you
  494. what I mean...
  495.  
  496. Since the content.ie5 and history.ie5 subfolders are both located within a
  497. +s[ystem] folder, we will run the experiment with them.  The proper command to
  498. locate them *should* be this:
  499.  
  500. CD\
  501. DIR *.IE5 /as/s
  502.  
  503. The problem is that you will receive a "No files found" error message.
  504.  
  505. Since we already know there is a content.ie5 subfolder located here, why is
  506. it giving me the "no files found" message?
  507.  
  508. But there is a way to get around this brick wall.  That is, once you are
  509. inside the system directory, then it no longer has an effect on the dir
  510. listings.  For example, if you enter the system folder first, and THEN try to
  511. find any +s[ystem] directories you can see them just fine:
  512.  
  513. CD\WINDOWS\TEMPOR~1
  514. DIR *.IE5 /as/s
  515.  
  516. 1 folder(s) found.
  517.  
  518. Now you will get a "1 folder(s) found." message.  (But only after you knew the
  519. exact location.)
  520.  
  521. In other words, if you didn't know the files existed then finding them would
  522. be almost impossible.
  523.  
  524. And, by the way.  To see the "bug" in progress...
  525.  
  526. CD\
  527. DIR *.IE5 /a/s
  528.  
  529. It will echo "no files found."
  530.  
  531. Now, just take away the system attributes from the parent directory...
  532.  
  533. CD\WINDOWS
  534. ATTRIB -S TEMPOR~1
  535.  
  536. And retry the test...
  537.  
  538. CD\
  539. DIR *.IE5 /a/s
  540.  
  541. It will echo "1 folder(s) found."
  542.  
  543.  
  544. 7.0. A LOOK AT OUTLOOK EXPRESS
  545.  
  546. Would you think twice about what you said if you knew it was being recorded?
  547. E-mail correspondence leaves a permanent record of everything you've said --
  548. even after you've told Outlook Express to erase it.  You are given a false
  549. sense of security sense you've erased it twice, so surely it must be gone.
  550. The first time Outlook simply moves it to your "Deleted Items" folder.  The
  551. second time you erase it Outlook simply "pretends" it is gone.  The truth is
  552. your messages are still being retained in the database files on your HD.
  553. (As with your e-mail attachments.)
  554.  
  555. For earlier versions of Outlook Express, they will be located in either of
  556. the following folder:
  557.  
  558. c:\program files\internet mail and news\%user%\mail\*.mbx
  559. c:\windows\application data\microsoft\outlook\mail\*.mbx
  560.  
  561. At this point you have two choices.
  562.  
  563. a)  Get in the habit of compacting your folders all the time.
  564. b)  Backup, print-out, or import the data into another e-mail client such as
  565. Eudora and then delete the mbx files (and thus all your e-mail correspondence)
  566. by typing this:
  567.  
  568. cd\progra~1\intern~1\%user%\mail
  569. deltree/y mail
  570.  
  571. or
  572.  
  573. cd\windows\applic~1\micros~1\outloo~1\
  574. deltree/y mail
  575.  
  576. *Typing in the above commands will kill all your e-mail correspondence.  Do
  577. not follow those steps in less you have already exported your e-mail and
  578. address book!
  579.  
  580. If you have a newer version of Outlook or Outlook Express the databases are
  581. located elsewhere.  Look for .dbx and .pst file extensions.  These databases
  582. are five times as creepy, and I strongly recommend you take at the files.
  583.  
  584. Just from my outbox.dbx file I was able to view some of my old browsing
  585. history, bring up previously-visited websites in html format, and even read
  586. ancient e-mail from my Eudora client (read: EUDORA).
  587.  
  588. Again, don't take my word for it.  See for yourself and THEN tell me what you
  589. think Slick Willy is up to here.
  590.  
  591.  
  592. 8.0. THE TRUTH ABOUT FIND FAST
  593.  
  594. Have you ever wondered what that "Find Fast" program was under your control
  595. panel?  Here's a hint:  It has absolutely nothing to do with the "Find"
  596. utility located under the [Start] menu.  Just to clear up any confusion before
  597. going on, Oblivion adequately explains Find Fast here:
  598.  
  599. "In any version of Word after 95, choose File Open and you'll get the Office
  600. App Open dialog.  Instead of just a space for the file name, there are text
  601. boxes for file name, files of type, text or property & last modified.  These
  602. are search criteria you can use to find one or more files.  There is also an
  603. "Advanced" button that opens a dedicated search dialog with more options.
  604. When you use either of these dialogs to perform a search, that search process
  605. uses the indexes built by Find Fast."
  606.  
  607. --Oblivion
  608.  
  609. But what would you say if I told you that Find Fast was scanning every single
  610. file on your hard drive?  Did you know that in Office 95, the Find Fast
  611. Indexer had an "exclusion list" comprised of .exe, .swp, .dll and other
  612. extensions, but the feature was eliminated?  If you were a programmer would
  613. you program Find Fast to index every single file, or just the ones with Office
  614. extensions?
  615.  
  616. FYI, If you have ever had problems with scandisk or defrag restarting due to
  617. disk writes, it is because Find Fast was indexing your hard drive in the
  618. background.  It loads every time you start your computer up.
  619.  
  620. Now here is a good example of the lengths Microsoft has gone through to keep
  621. people from finding out Find Fast is constantly scanning and indexing their
  622. hard drives. (Always good to have an alibi.)  Here's a snippet taken from
  623. microsoft.com:
  624.  
  625. "When you specify the type of documents to index in the Create Index dialog
  626. box, Find Fast includes the document types that are listed in the following
  627. table.
  628.  
  629. Document type                  File name extension
  630. -------------                  -------------------
  631.  
  632. MS Office and Web Documents    All the Microsoft Excel, Microsoft
  633.                                PowerPoint, Microsoft
  634.                                Project, and Microsoft Word document types
  635.                                listed in this table. Microsoft Binder
  636.                                (.odb, .obt) and Microsoft Access (.mdb)
  637.                                files. Note that in .mdb files, only
  638.                                document properties are indexed.
  639.  
  640. Word documents                 .doc (document),
  641.                                .dot (template), .ht* (Hypertext Markup
  642.                                Language document), .txt (text file), .rtf
  643.                                (Rich Text Format) files, Excel workbooks
  644.                                .xl* files
  645.  
  646. PowerPoint                     .ppt (presentation), .pot (template), .pps
  647.                                (auto-running presentation) files
  648.  
  649. Microsoft Project files        .mpp, .mpw, .mpt, .mpx, .mpd files
  650.  
  651. All files                      *.* files"
  652.  
  653.  
  654. Did you get that last part?  "All files?"  Find Fast indexes Office Documents,
  655. Web documents, Word Documents, Power Point files, Project files, and (oh I
  656. forgot) EVERY SINGLE other file on your computer.
  657.  
  658. Actually, the good news is that this isn't necessarily true.  In another
  659. statement Microsoft claims that if Find Fast deems the file "unreadable" then
  660. the file will not be included in the index.  For example, your command.com
  661. probably wouldn't get indexed because it doesn't have a lot of plain text --
  662. mostly binary.
  663.  
  664. But, back to the bad news.  Every single file that has legible text is going
  665. to be included in the Find Fast database.  Do you understand the implication
  666. here?  ALL TEXT SAVED TO YOUR HARD DRIVE IS INDEXED.  The forensic
  667. capabilities are enormous, folks.  Don't forget "all text" also means
  668. previously-visited webpages from your cache.  See for yourself...
  669.  
  670. 1) Open up a DOS window and type...
  671. 2) CD\
  672. 3) DIR FF*.* /AH (This will bring up a list of the find fast databases.)
  673. 4) EDIT /75 %ff% (insert %ff% with any of the names that were listed.)
  674.  
  675. Notice the incredible amount of disk accesses to your cache and history
  676. folders?  Why do we need two indexes?
  677.  
  678.  
  679. 8.1. REMOVING THE FIND FAST PROGRAM
  680.  
  681. You can remove Find Fast using your Office CD, but I recommend you do it
  682. manually...
  683.  
  684. 1)  Reboot your computer in MS-DOS Mode.
  685. 2)  Delete the findfast.cpl file from c:\windows\system\.
  686. 3)  Delete the shortcut (.lnk) under c:\windows\start menu\programs\startup\.
  687. 4)  Delete the findfast.exe file from c:\progra~1\micros~1\office\.
  688. 5)  Important to delete the find fast databases (c:\ff*.*).
  689. 6)  You can also safely delete FFNT.exe, FFSetup.dll, FFService.dll, and
  690. FFast_bb.dll if you have them.
  691.  
  692. Feel free to check out the ffastlog.txt (which is the Find Fast error log).
  693. It's a +h[idden] file under c:\windows\system\.
  694.  
  695.  
  696. 9. CONTACT INFO AND PGP BLOCKS
  697.  
  698. This tutorial is being updated all the time.  If you have any useful input, or
  699. if you see a mistake somewhere, then please e-mail me so I can compile it into
  700. future versions.  You will be able to find the most recent version of this
  701. tutorial at fuckmicrosoft.com.  I am not affiliated with the site.
  702.  
  703. My e-mail address is located at the end of this note.  Please let me know
  704. where you heard about this tutorial in your message.  If you have something
  705. important to say to me, then please use encryption.  My public key blocks are
  706. located below.  Be suspicious if you send me an encrypted message but never
  707. get a reply.
  708.  
  709. Thanks for reading,
  710.  
  711. -- The Riddler
  712. theriddler@fuckmicrosoft.com
  713.  
  714. My 2.6.2 block is no longer valid because my secring was nuked.  When I
  715. created another keyring with another version of PGP, it read my "SET PGPPATH="
  716. line and copied a new ring over my old one.  No backups were made.  Moral of
  717. the story:  Backup your keys.
  718.  
  719. My PGP 2.6.3 Block:
  720.  
  721. -----BEGIN PGP PUBLIC KEY BLOCK-----
  722. Version: 2.6.3a
  723. Comment: Compatible with PGP 2.6.x
  724.  
  725. mQCNAzvVzqgAAAEEANT+lnfVk79zr/eYkLHs+euTg/JBSQXmUWB5dMxv4Vvv4Xes
  726. CnaNrv5Udi3hfABKb1tq41N6kPJ/n/Qz/vSW52Z4wg+Q+ZGGoITIJ1p8bDOceb2Q
  727. EsMsY7kzCHqkBF0N53TuVt+ywhVncN+CqecVvhuQ4RXUOVUvru7gGcd76OVxAAUR
  728. tAt0aGUgcmlkZGxlcokAlQMFEDvVzqju4BnHe+jlcQEBC14EAM3Th47aEChB0GAf
  729. 5xGlLPQnrj6zyf5uovj12PEFnCOwcEhDDAuq4Ito7Keb22DqwlJDNChIM7xLx8bZ
  730. d9VaMpkirFzgvFmGu5eNGp18rR9EyIVY/tTdWlRcsUL/nw2XNXxw51tHE7M/O1fp
  731. Un4qIcG0CfAQ1QCUfqOwTWbFH/Wy
  732. =muLu
  733. -----END PGP PUBLIC KEY BLOCK-----
  734.  
  735. My GPG 1.0.6 Block:
  736.  
  737. -----BEGIN PGP PUBLIC KEY BLOCK-----
  738. Version: GnuPG v1.0.6 (MingW32)
  739.  
  740. mQGhBDu3TSERBACO0Fx9pjMULe6qLQwOgfvdnQconLOMyftZdp9+ZX6t29ebJ/Z5
  741. qQOJ9ce9Xr6Lj4u+M9VDx1FK5ueoD45bUAy0HAvYDV/HEu2vCRimpbreDky/U88a
  742. XL59Pe8qwnmfUzYc/LnH86VCr4lPmpbz6/adXj44xE6EwkhFcq6BD4isCwCg8zZO
  743. Hk9+KEKOyPHIFWq7TUA/JdUD/jWtNrGZ0tfSAS0WDiBifsBr1HW7n2IMDFX1anqC
  744. DN0ToM5IFWGDkOh1NUvP0RvyrnNuBOP/oWxkPLR0nVvifETF0iG9o+kfitC9NmJn
  745. QP/iw4WhCoHRCc5wqnAAXQC9j8JdodQ8E5VnfnNGkttgWz7mNzBongrIoTdfVdtf
  746. o5NwA/d/lwMhGE0HNXnXOgRBcPjGD0LsR8pFoSP/HJ9Hu3zms2cbQqN2O/f99H2G
  747. s9mXR7uvicu9SbKoTwFkptLVbOQIhvBnw0fTlZGrUsaiw4vzt99PffTKq1FPIpQe
  748. K7HcnUK2+ZSVs5PxGiDckobJEjBssSw9Lg5RSNMy9H7s9jv3tAt0aGUgcmlkZGxl
  749. cohXBBMRAgAXBQI7t00iBQsHCgMEAxUDAgMWAgECF4AACgkQ/bqXDRMV1MxyMgCc
  750. CH2uO/f46JgQ0pspQxi7IBv0yNQAn11ebXHbZGuADwuBun1EnQCJb8VIuQINBDu3
  751. UOAQCADKG2mf/FW3kuSAGoFmIMBm4l6m0O7denwUIpZP2jxeNTLmLW6ntGglHP++
  752. wEQpHjKTJfXoSHZH0euuXVZ9hOVdf1+PuRNy0DzrDDiKX7fdQ6eSbw+heSWc0kOF
  753. AB1j3pcovG4K2+bK66039kQLIT3kNUZgh9DdMZjIFzBg90aQnaEm5LLMkv1FNVZP
  754. YehZm3RRIpLAX5vkJJbUA/VVh/FXDG5f21iAGDHgSdKsLW2JNDAWe6/rY0GV5dgx
  755. C0gsqBn1rxNNDyG+z6nFCQtohL/x5zdTzedLQBjIlao91mSWhBsyxiX8mjhvGO97
  756. o6zVUG5KHBKGmvWMqlyOsGY9VSbDAAMGCADIaFAcE+ADY3ku9Fy0NIlJhbj578YY
  757. xpsE6KvZI1OqbHSoBnN06A3Mpxp4QRBXlr9eRRl+zMTQl1VcVWkahZYNapOqq6L3
  758. wHBmf9psggCBxqQdI9n5zxnlkphb50J7G9UevB/IGzlW2fe7WMWjo2GegIvGHVWr
  759. qeZgyaNf/CyMtihAX3O86rpqakq//nJvQ9MPcp/Brr9KT2NxBlpBm6xWY35IL5FG
  760. dZ2hpHaO1TC6bdmWUPhvzmSVtD9f0AnnJEgVc03vBz7xJrc1IEa1DeRdfFNvkoch
  761. +mNjc+fBAIQrVMCQ33u+yP/DWSdThrhxz1tAGWV7SlwxVyg6JPRQJ+moiEYEGBEC
  762. AAYFAju3UOAACgkQ/bqXDRMV1MwVnACfaGrJRv2lgWHQbQWwv55t2cT+QWEAnA/n
  763. ckswjlC9aNcBkcFl7X1SX8JX
  764. =pFTK
  765. -----END PGP PUBLIC KEY BLOCK-----
  766.  
  767.  
  768. 9.1. RECOMMENDED READING
  769.  
  770. http://www.theregister.co.uk/content/4/18002.html
  771. http://www.findarticles.com/m0CGN/3741/55695355/p1/article.jhtml
  772. http://www.mobtown.org/news/archive/msg00492.html
  773. http://194.159.40.109/05069801.htm
  774. http://www.yarbles.demon.co.uk/mssniff.html
  775. http://www.macintouch.com/o98security.html
  776. http://www.theregister.co.uk/content/archive/3079.html
  777. http://www.fsm.nl/ward/
  778. http://slashdot.org
  779. http://www.peacefire.org
  780. http://stopcarnivore.org
  781. http://nomorefakenews.com
  782. http://grc.com/steve.htm#project-x
  783.  
  784.  
  785. 10. SPECIAL THANKS (and no thanks)
  786.  
  787. This version I want to give special thanks to Concerned Boss, Oblivion, and
  788. the F-Prot virus scanner.
  789.  
  790. I also want to take this time to show my dissatisfaction to the New Zealand
  791. Herald.  Although partly flattering, it was more disgusting to see a newspaper
  792. try to take credit for my work.
  793.  
  794.  
  795. 11. REFERENCES
  796.  
  797. http://support.microsoft.com/support/kb/articles/Q137/1/13.asp
  798. http://support.microsoft.com/support/kb/articles/Q136/3/86.asp
  799. http://support.microsoft.com/support/kb/articles/Q169/5/31.ASP
  800. http://support.microsoft.com/support/kb/articles/Q141/0/12.asp
  801. http://support.microsoft.com/support/kb/articles/Q205/2/89.ASP
  802. http://support.microsoft.com/support/kb/articles/Q166/3/02.ASP
  803. http://www.insecure.org/sploits/Internet.explorer.web.usage.logs.html
  804. http://www.parascope.com/cgi-bin/psforum.pl/topic=matrix&disc=514&mmark=all
  805. http://www.hackers.com/bulletin/
  806. http://slashdot.org/articles/00/05/11/173257.shtml
  807. http://peacefire.org
  808.  
  809. COPYRIGHT INFORMATION
  810.  
  811. This article has been under the protection of copyright laws the moment it was
  812. fixed in a tangible form.  In less otherwise agreed, this article may only be
  813. distributed as a whole and without modification.  Thank you.