Configuring Locations: the {UserProfiles} variable does not support leading/trailing path about dfir-orc HOT 2 CLOSED

Hello,

There is a mistake in your configuration but also a bug.

The configuration must never specify '{UserProfile}' prepended with a path.

The '{UserProfile}' element should be replaced during execution with something like :

C:\Windows\system32\config\systemprofile\Downloads
C:\Windows\ServiceProfiles\LocalService\Downloads
C:\Windows\ServiceProfiles\NetworkService\Downloads
C:\Users\Foo\Downloads
C:\Users\Bar\Downloads
...

However it will not work before the 10.0.24 because there is a bug on the path '\Downloads' appended to '{UserProfile}'. Meanwhile you can still use <location>{UserProfiles}</location> and restrict match with ntfs_find's path_match.

Thank you

Bonjour,

Il y a une erreur dans votre configuration mais aussi un bug.

La configuration ne devrait jamais spécifier '{UserProfiles}' précédé d'un chemin.

L'élément '{UserProfile}\Downloads' devrait être remplacé à l'exécution avec par exemple :

C:\Windows\system32\config\systemprofile\Downloads
C:\Windows\ServiceProfiles\LocalService\Downloads
C:\Windows\ServiceProfiles\NetworkService\Downloads
C:\Users\Foo\Downloads
C:\Users\Bar\Downloads
...

Cependant cela ne fonctionnera pas avant la 10.0.24 car il y a un bug sur la gestion d'un chemin '\Downloads' qui suit '{UserProfile}'. En attendant vous pourriez utiliser <location>{UserProfiles}</location> et limiter la recherche avec path_match de ntfs_find.

Merci

from dfir-orc.

Also beware that known folders path like %USERPROFILE%\Downloads can be customized out of %USERPROFILE% tree.

Gardez à l'esprit que les chemins de type known folders comme %USERPROFILE\Downloads peuvent être configuré vers un chemin en dehors de l'arborescence de %USERPROFILE%.

from dfir-orc.