Windows 取证之BMChache

0x0、概述

BMChache全称RDP Bitmap Chache，即RDP（远程桌面协议）位图缓存。是Windows为了加速RDP连接时的显示，减少数据量的传输，改善RDP连接体验的一种缓存机制。

0x1、什么是RDP Bitmap Chache

Remote Desktop Protocol(RDP)是微软从Windows NT 4.0开始为了用户能使用图形界面通过网络远程方式连接到另外一台计算机而开发的专有协议。

当年因为是拨号上网，网络带宽很低，便开发了Bitmap Chache这种技术，为了增强用户体验，降低带宽延迟，RDP连接后，会将显示的图像在客户端以位图的形式缓存下来，RDP会话会重用这些图像进行显示，而不是时刻都使用网络进行完整图像传输，而是只传输改变的部分，从而减少了延迟。虽然现在网络带宽已经得到很大的提升，但这一技术特性依然还是被保留了下来。

BMChache分为两种类型，一种是Bitmap Chaces(位图缓存)，一种是Persisten Bitmap Chaches(持久位图缓存)。Persistent Bitmap Chaches是从Windows 2000的RDP 5.0版本开始引入的技术。区别在于，前一种是临时缓存，与RDP会话生命周期绑定，后一种是持久化的缓存，不受到RDP会话生命周期的限制，即使会话结束后，内容依然会持久化的存在于文件中。

位图缓存选项可以由用户配置是否开启，可以打开远程桌面连接程序查看：

需要注意的是，位图缓存只存在与远程连接的客户端系统中，而不是服务端系统中。

在Windows xp中的存储位置位于：%USERPROFILE%\Local Settings\Application Data\Microsoft\Terminal Server Client\Cache\路径中：

其文件名组成是“bchache + 图像位深度 + .bmc后缀”，其中的数字表示位图的质量，如果是bchache2.bmc表示是图像的位深度是8bit，bcache22.bmc表示图像的位深度是16bit，bcache24.bmc表示存储的图像位深度是32bit，单位是bpp(bits per pixel)。在Windows XP等老系统中，bchache**.bmc文件的最大大小是20MB。

在Windows 7及更高版本系统中，其文件存储在：%USERPROFILE%\AppData\Local\Microsoft\Terminal Server Client\Cache\路径中：

包括两种类型，一种是bcache.bmc，一种是Cache.bin。bchache.bmc用于老旧的系统，而Cache.bin文件用于Windows 7及更高版本的系统。Cache**.bin文件大小最高可以达到100MB，当超过100MB，会新增一个文件，文件名中的数值从0000开始递增。（如：Cache0001.bin、Cache0002.bin），与.bmc文件支持8bpp到32bpp位深度图像不同，.bin文件的图像位深度是固定的32bpp。

0x2、Bitmap Chache文件结构

.bmc文件结构：

.bmc文件并没有固定的头部标识，但它是由一张张BMP图像组成的文件，每个单独的区块文件头信息组成如下：

前八个字节（83 8F 42 86 6E C8 EF B3）是图像的哈希值，接下来的两个字节(40 00)是图像的宽度，然后两个字节（40 00）是图像的高度，然后四个字节(00 20 00 00)表示图像的大小（单位是字节），接下来的四个字节（11 00 00 00）表示图像的特定参数（是否压缩）。总共占用20个字节。

以这里的bchache22.bmc为例，每个区块的图像宽高都是0x40，也就是64x64大小的图像，其图像的位深度是16 bit，说明每个像素需要2个字节来存储。那一个区块的图像总大小为：64x64x2=8192 bytes，如果是24bpp则占用12288 bytes，32bpp占用16384 bytes。

.bin文件结构：

.bin文件有固定的文件头标识，以字符串RDP8bmp开头，占用8个字节，后面四个字节为版本号，共十二个字节。