Base ESE (Extensible Storage Engine)

L'Extensible Storage Engine (ESE, historiquement appelé JET Blue) est le moteur de base de données embarqué et transactionnel de Microsoft. Plusieurs artefacts Windows majeurs sont des bases ESE : SRUM (SRUDB.dat), le magasin d'historique WebCacheV01.dat d'Internet Explorer et de l'ancien Edge, l'index Windows Search Windows.edb (passé à SQLite avec Windows 11 22H2) et la file BITS qmgr.db à partir de Windows 10.

ESE écrit les modifications dans des fichiers journaux de transactions (par exemple SRU.log ou V01.log) et un fichier de point de contrôle (.chk) avant de les reporter dans la base. Une copie prise sur un système en fonctionnement est donc généralement dans un état dirty shutdown : les enregistrements récents peuvent n'exister que dans les journaux, et certains outils refusent d'ouvrir le fichier.

Vérifiez l'état avec esentutl /mh <base>, qui affiche l'en-tête, dont State: Dirty Shutdown ou Clean Shutdown. Pour ramener une copie à un état propre, placez la base, ses journaux et le point de contrôle ensemble et lancez une récupération logicielle avec esentutl /r <préfixe>, le préfixe étant celui des journaux (SRU pour SRUM, V01 pour WebCache). Évitez esentutl /p, une réparation brutale qui peut supprimer des données, sauf en dernier recours.

Travaillez toujours sur des copies, jamais sur la preuve originale, et collectez les journaux avec la base. Les fichiers ESE étant verrouillés pendant leur utilisation, la collecte passe par un accès NTFS brut, esentutl /y /vss ou un cliché instantané de volume. Les artefacts SQLite présentent un piège comparable avec le journal WAL.