Ch a p t e r   1 3   -   I n d e x   S e a r c h   M o d u l e  
171 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Searches other grammatical forms of the words in your search request.  For 
example, with stemming enabled a search for ͞apply͟ would also find 
͞applies͟. 
Phonic searching  
Finds words that sound similar to words in your request, like Smith and 
Smythe. 
Fuzzy  
Fuzzy searching sifts through scanning and typographical errors.  
13.4.2
BOOLEAN SEARCH 
A group of words or phrases linked by connectors such as AND and OR that indicate a 
relationship between them. For example: 
Search Request 
Meaning 
apple and pear 
both words must be present 
apple or pear 
either word can be present 
apple w/5 pear 
apple must occur within 5 words of pear 
apple not w/12 pear 
pear apple must occur, but not within 12 words of 
pear 
apple and not pear 
only apple must be present 
apple w/5 xfirstword 
apple must occur in the first five words 
apple w/5 xlastword 
apple must occur in the last five words 
If you use more than one connector (and, or, contains, etc.), you should use 
parentheses to indicate precisely what you want to search for.  For example,  
(apple and pear) or (name contains smith) 
Pdf remove metadata - add, remove, update PDF metadata in C#.net, ASP.NET, MVC, Ajax, WinForms, WPF
Allow C# Developers to Read, Add, Edit, Update and Delete PDF Metadata
batch pdf metadata editor; preview edit pdf metadata
Pdf remove metadata - VB.NET PDF metadata library: add, remove, update PDF metadata in vb.net, ASP.NET, MVC, Ajax, WinForms, WPF
Enable VB.NET Users to Read, Write, Edit, Delete and Update PDF Document Metadata
metadata in pdf documents; view pdf metadata
172 | Page 
Ch a p t e r   1 3   -   I n d e x   S e a r c h   M o d u l e  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
13.4.3
WORDS AND PHRASES 
For a more complex search which uses a phrase, use quotation marks around it, like 
this: 
apple w/5 "my fruit salad" 
If a phrase contains a noise word, dtSearch will skip over the noise word when 
searching for it.  For example, a search for statue of liberty would retrieve any 
document containing the word statue, any intervening word, and the word liberty. 
13.4.4
WILDCARDS (*, ?, AND =) 
A search word can contain the wildcard characters:  
Matches any character 
=  
Matches any single digit 
Matches any number of characters 
The wildcard characters can be in any position in a word.  For example: 
appl* 
Would match apple, application, etc. 
*cipl* 
Would match principle, participle, etc.   
appl? 
Would match apply and apple but not apples.   
ap*ed 
Would match applied, approved, etc. 
Note: Use of the * wildcard character near the beginning of a word will slow searching. 
13.5
SEARCH RESULTS 
Search results display in the Index Results List view window, as shown in Figure 140 
below. Select the relevant file in the Index Result List and the indexed content will 
display the Search Hits preview window.  
Use the marker arrows to jump between highlighted hits: 
Figure 139, Navigate index search hits 
VB.NET PDF remove image library: remove, delete images from PDF in
Insert Image to PDF. Image: Remove Image from PDF Page. Image: Copy, Paste, Cut Image in Page. Link: Edit URL. Bookmark: Edit Bookmark. Metadata: Edit, Delete
pdf metadata reader; change pdf metadata
VB.NET PDF Page Delete Library: remove PDF pages in vb.net, ASP.
Able to remove a single page from adobe PDF document in VB.NET. Ability to remove consecutive pages from PDF file in VB.NET. Enable
get pdf metadata; remove metadata from pdf
Ch a p t e r   1 3   -   I n d e x   S e a r c h   M o d u l e  
173 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Use the ͞Auto Scroll to First Hit͟ check box to automatically scroll to the first keyword 
hit in the Search Hits window. 
Search hits are highlighted in yellow, as shown below: 
Figure 140, Index search results 
13.6
INDEX SEARCH COMPOUND FILES 
DTSearch will index compound files, including PST and ZIP and display individual 
keyword hits within the messages and files. 
It is also possible to add a compound file directly as evidence (use the Add File button 
in the Evidence module) and index its content. 
13.7
EXPORT WORD LIST 
The Export Words button (implemented in v2.3.6.3531 and above) is used to export 
the list of indexed words to a .csv file on the investigators computer. The list can then 
be used for password breaking or other purposes. 
To export the indexed word list: 
1.
In the Index Search Module, Indexes window, check the required index; 
2.
Click on the Export Words button; 
C# PDF Page Delete Library: remove PDF pages in C#.net, ASP.NET
console application. Able to remove a single page from PDF document. Ability to remove a range of pages from PDF file. Free trial package
c# read pdf metadata; delete metadata from pdf
C# PDF Password Library: add, remove, edit PDF file password in C#
String outputFilePath = Program.RootPath + "\\" Remove.pdf"; // Remove password in the input file and output to a new file. int
pdf metadata viewer online; adding metadata to pdf
174 | Page 
Ch a p t e r   1 3   -   I n d e x   S e a r c h   M o d u l e  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
3.
Select the name and location of the exported .csv file.
C# PDF bookmark Library: add, remove, update PDF bookmarks in C#.
Ability to remove and delete bookmark and outline from PDF document. Merge and split PDF file with bookmark. Save PDF file with bookmark open.
clean pdf metadata; online pdf metadata viewer
C# PDF remove image library: remove, delete images from PDF in C#.
Insert Image to PDF. Image: Remove Image from PDF Page. Image: Copy, Paste, Cut Image in Page. Link: Edit URL. Bookmark: Edit Bookmark. Metadata: Edit, Delete
rename pdf files from metadata; remove metadata from pdf acrobat
Ch a p t e r   1 4   -   E m a i l   M o d u l e  
175 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Chapter 14 - Email Module 
In This Chapter 
CHAPTER 14
- EMAIL MODULE 
14.1
Email ................................................................................................................................................ 176
14.2
Email module ................................................................................................................................... 176
14.3
Microsoft Outlook .PST email .......................................................................................................... 176
14.3.1
Add a standalone oUTLOOK.PST file .............................................................................. 177
14.3.2
Add a .PST file from a Forensic Explorer module .......................................................... 177
14.4
Index Search the Email module ....................................................................................................... 177
C# TIFF: TIFF Metadata Editor, How to Write & Read TIFF Metadata
You can also update, remove, and add metadata. List<EXIFField> exifMetadata = collection.ExifFields; You can also update, remove, and add metadata.
read pdf metadata; endnote pdf metadata
VB.NET PDF delete text library: delete, remove text from PDF file
projects. Basically, you can use robust APIs to select a PDF page, define the text character position, and remove it from PDF document.
edit pdf metadata acrobat; remove metadata from pdf online
176 | Page 
Ch a p t e r   1 4   -   E m a i l   M o d u l e  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
14.1
EMAIL   
Email analysis is an important component of computer forensics. The Forensic Explorer 
Email module currently supports examination of the following email formats: 
Microsoft Outlook (.PST and .OST), all versions; 
Note: It is possible to independently index and keyword search email in the Index 
Search module. Refer to Chapter 13 - Index Search Module, for more information. 
14.2
EMAIL MODULE 
The Email module is accessed via the ͞Email͟ tab. 
Figure 141, Email module tab 
The Email module is broken down into three panes: 
1.
Email Tree 
Holds the folder structure of the email file; 
2.
Email List 
Lists individual messages and their metadata. Available columns include; 
o
I (importance); 
o
Subject; 
o
Sent From, etc.   
3.
Data Views 
Displays message content and additional properties. The Property Viewer 
contains Outlook MAPI (Microsoft Application Programming Interface) 
properties associated with each message. 
14.3
MICROSOFT OUTLOOK .PST EMAIL 
The Microsoft Outlook email client is available as part of the Microsoft Office suite. 
Microsoft refers to it as a ͞personal information manager͟ as it has additional 
functions to email, including calendar, contacts and notes. 
When running on a typical home computer Outlook stores mail on the local hard disk 
in an Outlook Data File (.PST) file. In a business environment Outlook can be 
configured to interact with a mail server (usually Microsoft Exchange). In this case a 
local copy of the data may be held in an Offline Data File (.OST). 
Ch a p t e r   1 4   -   E m a i l   M o d u l e 
177 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
14.3.1
ADD A STANDALONE OUTLOOK.PST FILE 
To add a stand-alone Microsoft Outlook .PST file to the Email module: 
1.
In the Evidence module, start a new case or preview; 
2.
In the Evidence module click the ͞Add File͟ button. 
3.
Select the .PST file to add.  lick ͞Open͟. The .PST file will then be added to 
the case. Forensic Explorer will detect that it is a .PST file and add the content 
to the Email module. 
14.3.2
ADD A .PST FILE FROM A FORENSIC EXPLORER MODULE 
Add a .PST file from within an existing case to the Email module: 
1.
Locate the relevant .PST file in a module; 
2.
Right click on the .PST file and select ͞Send to Email Module͟ in the drop 
down menu. The content of the .PST file will then be populated in the Email 
module. 
14.4
INDEX SEARCH THE EMAIL MODULE 
Data that has been added to the Email module can be independently indexed or 
keyword searched. 
To index the content of the Email module; 
1.
In the Index Search module, create a new index; 
2.
In the New Index window, select Email as the target module. 
Figure 142, Index Search module, New Index window 
Important: 
178 | Page 
Ch a p t e r   1 4   -   E m a i l   M o d u l e  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
Creating an index of the content of the Email module is NOT the same as indexing a 
PST file that is located in the file system. DTSearch will already index a PST file that is 
located in the file system. 
14.5
KEYWORD SEARCH THE EMAIL MODULE 
To keyword search the content of the Email module; 
1.
In the Keyword Search module, start a keyword search; 
2.
In the Run Keyword Search window, select Email as the target module. 
Figure 143, Keyword Search module, Run Keyword Search window 
Ch a p t e r   1 5   -   R e g i s t r y   M o d u l e 
179 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Chapter 15 - Registry Module 
In This Chapter 
CHAPTER 15
- REGISTRY MODULE 
15.1
Registry module ............................................................................................................................... 180
15.1.1
Windows location of registry files ................................................................................. 180
15.2
Adding a REGISTRY FILE to the registry module .............................................................................. 181
15.2.1
Add a standalone registry file ........................................................................................ 181
15.2.2
Add a registry file from a Forensic Explorer module ..................................................... 181
15.3
Registry Data Views ......................................................................................................................... 182
15.3.1
Registry Tree .................................................................................................................. 182
15.3.2
Registry List ................................................................................................................... 182
15.3.3
Hex, Text and Filesystem Record views ......................................................................... 183
15.4
Deleted registry keys ....................................................................................................................... 183
15.5
Examining registry files using scripts ............................................................................................... 184
180 | Page 
Ch a p t e r   1 5   -   R e g i s t r y   M o d u l e  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
15.1
REGISTRY MODULE 
The Registry module is accessed via the ͞Registry͟ tab:  
Figure 144, Registry module tab 
The Registry module is used to expand and examine Windows registry files. A 
Windows registry contains a great deal of information that can be of value to the 
forensic investigator.  
͞The Registry contains information that Windows continually references 
during operation, such as profiles for each user, the applications installed on 
the computer and the types of documents that each can create, property 
sheet settings for folders and application icons, what hardware exists on the 
system, and the ports that are being used.͟ Windows registry information for 
advanced users (12) 
Unlike the Microsoft Windows registry editor, which is restricted to the current 
systems registry, Forensic Explorer allows the forensic investigator to examine registry 
files from any computer. 
15.1.1
WINDOWS LOCATION OF REGISTRY FILES 
The Windows Registry is physically stored in several files. The number of files, their 
name and location, will vary depending on the version of Windows in use. See 
http://support.microsoft.com/kb/256986 ͞Windows registry information for advanced 
users (12)͟ for detailed information. 
In most cases the forensic investigator will target the following Windows registry files:  
Windows 95, 98, and ME operating systems have two registry files, located in the 
C:\Windows folder and or Windows\profiles\user profile\ folder: 
system.dat, and 
user.dat. 
Windows NT based operating systems separate system registry data into four 
files, located in the C:\Windows\system32\config\ folder: 
security; 
software; 
SAM; and 
System.  
User settings are stored in a separate file called ntuser.dat inside the user path. 
Documents you may be interested
Documents you may be interested