XALL A GUI BASH SCRIPT

Transcript

1 XALL A GUI BASH SCRIPT BY NANNI BASSETTI 1

2 Chi sono 2005/ primi vagiti online sulla computer forensics Creazione di CFI e pubblicazione di SFDumper Tanti articoli dal 2007 ad oggi Segretario e membro fondatore ONIF Alcuni miei scripts per la forensics Classificato nella DC3 Challenge Sviluppo CAINE Gnu/Linux Nel comitato di redazione di S&G 2

3 casi mediatic i CASI MEDIATICI E TANTA FORMAZIONE 3

4 CAINE 7.0 DeepSpace 4

5 5

6 Questo è un disco, che va duplicato in modo forense... 6

7 Finito lo strazio della duplicazione, avremo un'immagine forense con verifica di hash, nei seguenti formati: RAW (dd) EWF (Expert Witness Format) Ci chiedono di estrarre tutti i dati, per poi fare le ricerche... 7

8 Dobbiamo definire i domini di lavoro, insomma dove stanno i dati? Spazio Allocato; Spazio non allocato; Slackspace; Dobbiamo ricordare che abbiamo due tipi di spazi non allocati, il primo è tutti i file cancellati e il secondo è di tutti i file quelli non sono tra i cancellati, ma sono ancora nel dispositivo di memoria. Per l'estrazione di questi file che abbiamo bisogno di usare la tecnica del data carving, che consiste nella ricerca per i tipi di file da loro "numeri magici" (header e footer), questa tecnica è filesystem less. Lo slackspace può essere estratto con TSK (The SleuthKit) e salvarlo in un grande file di testo, ricordiamo che lo slackspace èfatto da tutti i frammenti di file presentare nello spazio inutilizzato del cluster. 8

9 SINTETIZZIAMO Spazio ALLOCATO ciò che vediamo Spazio NON ALLOCATO file cancellati slackspace file non presenti tra i cancellati 9

10 SLACKSPACE 10

11 Xall - Creazione spazio allocato mount -t auto -o ro,loop,noauto,noexec,nodev,noatime,offset=$off,umask=222 $imm $BASE_IMG >/dev/null 2>&1 && { echo "Image file mounted in '$BASE_IMG'" } cn=$(($cl)) cp -R $BASE_IMG/* $allocated yad --progress --pulsate --auto-close --text="copying allocated files..." --width=250 --title="" --undecorated umount $BASE_IMG >/dev/null 2>&1 echo "unmounted image file in '$BASE_IMG'" 11

12 Xall - Creazione spazio file cancellati tsk_recover -o $so $imm $DIR_DELETED 12

13 Xall - Data carving su spazio non allocato e rimozione duplicati dei file cancellati photorec /d $DIR_FREESPACE/ /cmd $imm fileopt,everything,enable,freespace,search echo "taking off duplicates from carving directory..." [[ $(ls $DIR_DELETED) ]] && md5deep -r $DIR_DELETED/* > $HASHES_FILE [[ $(ls $DIR_FREESPACE) ]] && md5deep -r $DIR_FREESPACE/* >> $HASHES_FILE awk 'x[$1]++ { FS = " " ; print $2 }' $HASHES_FILE xargs rm -rf [[ -f $HASHES_FILE ]] && rm $HASHES_FILE 13

14 Xall - Estrazione dello SLACKSPACE blkls -s -o $so $imm > $DIR_SLACK/slackspace 14

15 15

16 16

17 17

18 18

19 19

20 20

21 21

22 22

23 23

24 RECOLL INDEXER 24

25 RECOLL INDEXER 25

26 Portabilità del database di RECOLL #!/bin/bash # RECOLL configuration to have a single recoll.conf and xapiandb for each case examined. echo "RECOLL is indexing..." rcldir=$outputdir/recoll recollconf=/$rcldir/recoll.conf mkdir -p $rcldir/xapiandb cat > $recollconf << EOF topdirs = $outputdir dbdir = $rcldir/xapiandb processbeaglequeue = 1 skippedpaths = $rcldir $rcldir/xapiandb indexallfilenames = 1 textfilemaxmbs = -1 # for indexing txt files greater than 10Mb thanks to Alessandro Farina usesystemfilecommand = 1 indexstemminglanguages = italian english spanish EOF recollindex -c $rcldir -z >/dev/null 2>&1 case $(tty) in /dev/tty*) echo -e "\nstart on terminal from graphic interface the following command:" echo -e "recoll -c $rcldir\n" exit 1 ;; *) recoll -c $rcldir >/dev/null 2>&1 & exit 0 ;; esac 26

27 DTSearch

28 28

29 Database di DTSearch 29

30 Conclusioni Arrivederci e buona navigazione! Queste slides sono rilasciate con licenza Creative Commons Attribuzione-Non commerciale-condividi allo stesso modo 3.0 il cui testo e disponibile sul sito 30

31 CONTATTI NBS di Digital Forensics Specialist Cell