🛏️ 🐽 🤞🏿 डिस्क फोरेंसिक, मेमोरी फोरेंसिक और लॉग फोरेंसिक। अस्थिरता की रूपरेखा और शव परीक्षा। समस्या को हल करने में r0ot-mi। भाग 1 👩🏿‍🎤 🚵🏽 🚿

इस लेख में मेमोरी, रैम और वेब सर्वर लॉग के फोरेंसिक के उद्देश्य से किए गए कार्यों के समाधान हैं। साथ ही अस्थिरता फ्रेमवर्क और ऑटोप्सी कार्यक्रमों का उपयोग करने के उदाहरण।

संगठनात्मक जानकारी

विशेष रूप से उन लोगों के लिए जो सूचना और कंप्यूटर सुरक्षा के किसी भी क्षेत्र में कुछ नया सीखना और विकसित करना चाहते हैं, मैं निम्नलिखित श्रेणियों के बारे में लिखूंगा और बात करूंगा:

PWN;
क्रिप्टोग्राफी (क्रिप्टो);
नेटवर्क टेक्नोलॉजीज (नेटवर्क);
रिवर्स (रिवर्स इंजीनियरिंग);
स्टेग्नोग्राफ़ी (स्टेग्नो);
WEB कमजोरियों की खोज और उनका दोहन।

इसके अलावा, मैं अपने अनुभव को कंप्यूटर फोरेंसिक, मैलवेयर और फर्मवेयर के विश्लेषण, वायरलेस नेटवर्क और स्थानीय क्षेत्र नेटवर्क पर हमले, पेंटेस्ट का संचालन करने और कारनामे लिखने में साझा करूंगा।

ताकि आप नए लेख, सॉफ्टवेयर और अन्य जानकारी के बारे में जान सकें, मैंने टेलीग्राम में एक चैनल बनाया और आईसीडी के क्षेत्र में किसी भी मुद्दे पर चर्चा करने के लिए एक समूह बनाया। साथ ही, मैं व्यक्तिगत रूप से आपके व्यक्तिगत अनुरोधों, प्रश्नों, सुझावों और सिफारिशों पर व्यक्तिगत रूप से विचार करूंगा और सभी का जवाब दूंगा ।

सभी जानकारी केवल शैक्षिक उद्देश्यों के लिए प्रदान की जाती है। इस दस्तावेज़ का लेखक इस दस्तावेज़ का अध्ययन करने के परिणामस्वरूप प्राप्त ज्ञान और विधियों का उपयोग करने के परिणामस्वरूप किसी को हुए नुकसान के लिए कोई ज़िम्मेदारी नहीं उठाता है।

मेमोरी फोरेंसिक - स्तर 2

इस कार्य में, हमें रैम की एक छवि दी जाती है और मशीन का नाम खोजने के लिए कहा जाता है। इस प्रकार के कार्यों को हल करने के लिए हम अस्थिरता फ्रेमवर्क का उपयोग करेंगे। हम छवि को निम्न कमांड के साथ लोड करते हैं, छवि को पथ को एक पैरामीटर के रूप में निर्दिष्ट करते हैं। सबसे पहले हम इमेज के बारे में जानकारी प्राप्त करते हैं।

volatility -f ch2.dmp imageinfo

इस प्रकार हम सीखते हैं कि यह विंडोज ऑपरेटिंग सिस्टम की मेमोरी इमेज है। यानी हम रजिस्ट्री से मशीन का नाम पता कर सकते हैं। अब हमें प्रोफाइल को एक पैरामीटर के रूप में निर्दिष्ट करना चाहिए। रजिस्ट्री में मुख्य मूल्य निम्न तरीके से प्रदर्शित किया जा सकता है।

 volatility -f ch2.dmp --profile=Win7SP1x86_23418 printkey -K "ControlSet001\Control\ComputerName"

और अब हम कंप्यूटर का नाम पता करते हैं।

 volatility -f ch2.dmp --profile=Win7SP1x86_23418 printkey -K "ControlSet001\Control\ComputerName\ActiveComputerName"

हम कंप्यूटर का नाम देखते हैं। सौंप दो, अंक पाओ।

लॉग फोरेंसिक - वेब हमला

इस कार्य में, वे हमें एक वेब सर्वर लॉग देते हैं और कहते हैं कि इस पर एक हमला किया गया था, हमें यह समझने की आवश्यकता है कि हमलावर ने कौन सा डेटा सीखा। लॉग को खोलते हैं।

हम देखते हैं कि बेस 64 डेटा को एक ऑर्डर पैरामीटर के रूप में एन्कोड किया गया है। हम उन्हें डिकोड करने के लिए एक कोड लिखेंगे।

 from re import * from base64 import * f = open('ch13.txt') log = f.read() f.close() k = findall("action=membres&order=(.*?) HTTP", log) [print(str(b64decode(i.replace("%3D", "=")), "utf-8")) for i in k]

थोड़ा समझ में आता है।

इस प्रकार, हम 00, 01, 10, 11 के साथ पासवर्ड के पहले अक्षर के पहले दो बिट्स की तुलना करते हैं और एक संगत ठहराव बनाते हैं - 0, 2, 4 और 6 सेकंड। दूसरे और तीसरे दो बिट्स के साथ भी होता है। उसके बाद, सातवें बिट की जांच की जाती है और, 0 या 1 की समानता के आधार पर, 2 और 4 सेकंड का ठहराव किया जाता है।

इस प्रकार, देरी से हम यह निर्धारित कर सकते हैं कि सर्वर किन बिट्स को लौटाता है।

उदाहरण के लिए: पहले अनुरोधों के बीच का समय 6 सेकंड है, यानी ये बिट्स 11, आदि हैं। इस प्रक्रिया को स्वचालित करें।

 from re import * from base64 import * import binascii f = open('ch13.txt') log = f.read() f.close() k = findall("action=membres&order=(.*?) HTTP", log) dec_k = [str(b64decode(i.replace("%3D", "=")), "utf-8") for i in k] t = findall("2015:12:1(.*?) \+0200]", log) tim = [int(i.split(':')[0])*60 + int(i.split(':')[1]) for i in t] tim = [tim[i+1] - tim[i] for i in range(len(tim)-1)] + [0] password = "" for i in range(0, len(tim), 4): c = '' for sec in tim[i:i+3]: if sec == 0: c += '00' elif sec == 2: c += '01' elif sec == 4: c += '10' elif sec == 6: c += '11' if tim[i+3] == 2: c += '0' elif tim[i+3] == 4: c += '1' password += chr(int(c,2)) print(password)

हम पासवर्ड देते हैं।

मेमोरी फोरेंसिक - स्तर 5

हमें जॉन के लिए पासवर्ड खोजने के लिए कहा जाता है और राम का डंप प्रदान किया जाता है। पिछली बार की तरह, हमें पता चलता है कि किस ऑपरेटिंग सिस्टम का उपयोग किया जाता है।

यह विंडोज है। अस्थिरता में एक हैशडंप विकल्प होता है।

अब हम उपयोगकर्ता का पासवर्ड ढूंढते हैं।

हम पासवर्ड भेजते हैं और अंक प्राप्त करते हैं।

डिस्क फोरेंसिक - बिल्ली का पता लगाएं

हमें एक डिस्क छवि दी गई है और उस स्थान को खोजने के लिए कहा गया है जहां बिल्ली है। ऐसे कार्यों के लिए, आप FTK Imager का उपयोग कर सकते हैं। मैं इसे AutoPsy का उपयोग करके हल करूंगा । प्रोग्राम चलाएं।

हमें ब्राउज़र में पेज खोलने के लिए कहा जाता है। हम खोलते हैं। अब एक नया मामला बनाएं और एक होस्ट जोड़ें। अगला, आपको एक छवि जोड़ने की आवश्यकता है।

छवि

पर्यावरण बनाने के बाद, हमारे पास निम्नलिखित हैं।

"

विश्लेषण विकल्प चुनें।

हम निम्नलिखित अनुभाग संरचना प्रदर्शित करते हैं। दस्तावेज़ फ़ोल्डर में कुछ भी दिलचस्प नहीं है। फाइल्स पर चलते हैं।

एक दिलचस्प ओड्ट फ़ाइल है। हम इसका चयन करते हैं।

सामग्री नीचे प्रदर्शित की गई है - किसी प्रकार की छवि है। फ़ाइल निकालने के लिए एक्सट्रैक्ट चुनें। डाउनलोड की गई फ़ाइल से हम छवि को निकालते हैं।

सबसे अधिक संभावना है कि यह वह बिल्ली है जिसे हमें खोजने की आवश्यकता है। आइए देखें एक्सिफ़ की जानकारी।

महान, स्थान निर्देशांक हैं। हम इसे कार्डों में पाते हैं।

हम जवाब भेजते हैं और अंक प्राप्त करते हैं।

आगे और अधिक जटिल ... आप टेलीग्राम पर हमसे जुड़ सकते हैं। वहां आप अपने स्वयं के विषयों का प्रस्ताव कर सकते हैं और निम्नलिखित लेखों के लिए विषयों की पसंद पर वोट कर सकते हैं।

मेमोरी फोरेंसिक - स्तर 2

लॉग फोरेंसिक - वेब हमला

मेमोरी फोरेंसिक - स्तर 5

डिस्क फोरेंसिक - बिल्ली का पता लगाएं

More articles: