用途：在取证调查中提取并分析浏览器痕迹，用于还原用户上网行为，支持内部威胁、数据外泄、钓鱼点击、违规访问和恶意软件投递链等调查。
主要能力：定位并复制 Chrome、Firefox、Edge 的配置文件与关键数据库（如 History、Cookies、Login Data、places.sqlite、formhistory.sqlite 等），用 sqlite3 查询浏览历史、下载、搜索词、书签、表单记录和 Cookie；用 Hindsight 对 Chrome 做综合分析与报告导出。
使用方式：先挂载取证镜像并复制目标用户配置文件，对文件做 sha256 哈希保全；再用 sqlite3 按各浏览器表结构查询并导出 CSV；Chrome 时间戳为 1601 起微秒，Firefox 为 1970 起微秒，需换算。Hindsight 安装命令为 pip install pyhindsight，运行示例：hindsight -i "/cases/case-2024-001/browser/chrome/" -o /cases/case-2024-001/analysis/hindsight_report -f xlsx。
适用场景：钓鱼调查、云服务数据外泄、政策违规、恶意软件投递链分析等。
限制：Chrome 保存的密码受 DPAPI 或钥匙串加密，通常只能提取登录 URL 与用户名；部分数据可能因 WAL 或会话恢复而缺失；需具备各系统下浏览器文件位置知识。资料未提供具体收费、平台支持范围或效果保证。