ddrescue recuperação de arquivos a partir de uma imagem.

Recuperação

Tentando recuperar um arquivo a partir de uma imagem:

a) identifique os endereços (inodes)

# fls -t ext imagem.img > lista.imagem.txt # cat lista.imagem.txt

b) recuperando usando icat indicado o INODE # icat imagem.img 4157 > arquivo.ppt

Recuperação com Foremost

Outra forma de recuperar arquivos seria o foremost, que faz de forma automática uma análise completa no Sistema de Arquivo.

# foremost -c foremost.conf -i imagem.img -o /recovery -T

Recuperação com Foremost

Outra forma de recuperar arquivos seria o foremost, que faz de forma automática uma análise completa no Sistema de Arquivo.

# foremost -c foremost.conf -i imagem.img -o /recovery -T

Recuperação com Foremost

Outra forma de recuperar arquivos seria o foremost, que faz de forma automática uma análise completa no Sistema de Arquivo.

# foremost -c foremost.conf -i imagem.img -o /recovery -T

Recuperação com Foremost

Outra forma de recuperar arquivos seria o foremost, que faz de forma automática uma análise completa no Sistema de Arquivo.

# foremost -c foremost.conf -i imagem.img -o /recovery -T

Conclusion

Existem muitas ferrametnas FOSS interessantes para realizar um Post Mortem Forensic, sendo muitas delas também ferramentas automatizadas, tendo o ponto de vista das 5 camadas, que permite a um Perito realizar um processo detalhado e também que possibilitam realizar testes específicos em um processo Hand On.

Camada Fisica Informacões da Mídia e imagem, para fins Documentais e validacão da cadeia de Custódia Camada de Dados Idenfificacão de Informacões sobre a Estrutura de Particionamento E ID dos tipos De Particões da Midia Camada de Sistema de Arquivos: E dentificacão Do Sistema de Arquivos Utilizados Camada de Meta Dados: Levantamento De informacoes Das tabelas Alocacao de arquivos, Informacoes, TimeLine Informacões das Areas naoA Alococadas Identificacão de Artefatos, Recuperacão de Arquivos Analise de Hash Identificacao Malware

Gerando Timeline com Sleuthkit

Criando uma linha do tempo da imagem montada

# mount imagem /media/imagem -o loop,noexec,nodev,noatime,ro

# fls -alrpm /media/imagem /dev/loop0 | mactime -z GMT-3 01/01/1970 09/08/2007 | tee timeline.txt

Gerando Timeline com Sleuthkit

Criando uma linha do tempo da imagem de um intervalo de tempo definido:

# fls -alrpm imagem.img | mactime -z GMT-3 01/01/2006 09/08/2007 | tee timeline.txt

Pesquisando Metadados

Exemplificando a análise, a imagem em busca de informações sobre as áreas alocadas e na sequência a criação um arquivo de strings:

# dls -a -f ext imagem.img > imagem.img.dls # strings -a imagem.img.dls >

imagem.img.dls.alocadas.strings

Pesquisando Metadados

Exemplificando a análise, a imagem em busca de informações sobre as áreas “não” alocadas e na sequência a criação um arquivo de strings:

# dls -A -f ext imagem.img > imagem.img.dls # strings -a imagem.img.dls >

imagem.img.dls.naoalocadas.strings

“Camada deCamada de

Arquivos

_”

(Análise de nformações dos

Análise de nformações dos

arquivos em busca de

rquivos em busca de

identificação de potenciais

_{dentificação de potenciais}

artefatos)

rtefatos)

Ferramentas para Perícia na Camada de Arquivos

fls – possibilita consultar informações de arquivos

e diretórios em uma imagem.

ffind -

possibilita consultar informações de

arquivos e diretórios em uma imagem a partir de

endereço de Inode.

soter – possibilita ordenar arquivos de acordo do

tipo.

Montando a Imagem

É recomendável que a análise da imagem forense do disco rígido seja um processo executado com cautela, iniciando com a preparação do acesso a mídia denominado “montagem”. A montagem da imagem de uma partição para fins de análise deve ser efetuada de forma que o sistema de arquivos seja para somente leitura, não tenha suporte a arquivos de dispositivos e também não tenha suporte a executável

Montando a Imagem de uma unica partição

# mount /pericia/imagem.img /img/ -t ext3 -o loop,ro,noatime,nodev,noexec

# mount | tail -1

/pericia/imagem.img on /img/ type ext3 (rw,noexec,nodev,loop=/dev/loop1)

Montando a Imagem de um disco com multiplas partições

Mas para análise de uma imagem de todo um disco rígido é necessário a utilização do comando losetup:

Montando um partição a partir de uma Imagem

Considero o cenario, onde deseja-se montar a 2 partição listada, considerando que o setor inicial da partição é 73. Dessa forma é demandado que este valro seja multiplicado por 512 para calcular o valor de offset.

Expr 73 \* 51

Montando um partição a partir de uma Imagem de todo um Disco

Mas para análise de uma imagem de todo um disco rígido é necessário a utilização do comando losetup:

# sfdisk -luS HD_coleta.img

read failed: Inappropriate ioctl for device Disk HD_coleta.img: cannot get geometry

Disk HD_coleta.img: 171 cylinders, 255 heads, 63 sectors/track

Warning: extended partition does not start at a cylinder boundary.

DOS and Linux will interpret the contents differently. Warning: The partition table looks like it was made

for C/H/S=*/16/63 (instead of 171/255/63). For this listing I'll assume that geometry. Units = sectors of 512 bytes, counting from 0

Montando um partição a partir de uma Imagem

Device Boot Start End #sectors Id System

HD.img1 * 63 72575 72513 83 Linux HD.img2 72576 2116799 2044224 5 Extended HD.img3 0 - 0 0 Empty HD.img4 0 - 0 0 Empty HD.img5 72639 278207 205569 83 Linux HD.img6 278271 410255 131985 82 Linux swap / Solaris HD.img7 410319 513071 102753 83 Linux HD.img8 513135 2116799 1603665 83 Linux

Montando um partição a partir de uma Imagem

# losetup -a

# expr 410319 \* 512 210083328

Montando um partição a partir de uma Imagem

# df

Filesystem 1K-blocks Used Available Use% Mounted on /dev/sda2 41294860 4924120 34273056 13% /

/dev/mapper/vg_ichegeki-LV_home

146166336 7445736 131295784 6% /home tmpfs 1026832 1020 1025812 1% /dev/shm

Montando um partição a partir de uma Imagem

# losetup -a

/dev/loop2: [fd01]:131073

(/home/c4/DIGITAL_FORENSIC/forensic_duplic*), offset 210083328 # mount -t ext2 /dev/loop2 /media/loop0p2 -o loop

# cd /media/loop0p2 # ls

arpwatch cache db ftp lib local lock log lost+found mail nis opt preserve run spool tmp www yp

Montando a Imagem

Mas para análise de uma imagem de todo um disco rígido é necessário a utilização do comando losetup:

O uso do comando sorter

Outra forma de recuperar arquivos seria o

foremost, que faz de forma automática uma

análise completa no Sistema de Arquivo.

# losetup /dev/loop0 imagem.img sorter -f ext -l /dev/loop0

Relacionando Arquivos por TIPO

Uma ação importante é levantar a lista de todos

os arquivos que existem na mídia analisada,

tipificando-os quanto ao formato. Para essa

tarefa o comando SORTER é a ferramenta

Uma ação importante é levantar a lista de todos

os arquivos que existem na mídia analisada,

tipificando-os quanto ao formato. Para essa

tarefa o comando SORTER é a ferramenta

Buscar informações sobre arquivos com direitos

especiais de SUID e SGID que podem ser

usados em malware com backdoors:

# find /img/ -type f \(-perm -04000 -o

-perm -02000 \) -exec ls -lg {} \;

Busca de artefatos com FIND

Buscar por arquivos e diretórios que tenham

nome utilizando espaço em branco:

Busca de artefatos com FIND

Identificar arquivos sem dono ou grupo

definido, que poderão ser arquivos instalados no

sistema de forma arbitrária:

# find /img/ -type f \(-nouser -o

-nogroup \) -exec ls -ldg {} \;

No documento Postmortem_Forense_TUTORIAL_PTBR_2011_V1 (páginas 87-117)

ddrescue recuperação de arquivos a partir de uma imagem.

Conclusion

“Camada deCamada de

Arquivos

Arquivos

”

(Análise de nformações dos

arquivos em busca de

identificação de potenciais

artefatos)

fls – possibilita consultar informações de arquivos

e diretórios em uma imagem.

ffind -

possibilita consultar informações de

arquivos e diretórios em uma imagem a partir de

endereço de Inode.

soter – possibilita ordenar arquivos de acordo do

tipo.

Outra forma de recuperar arquivos seria o

foremost, que faz de forma automática uma

análise completa no Sistema de Arquivo.

Uma ação importante é levantar a lista de todos

os arquivos que existem na mídia analisada,

tipificando-os quanto ao formato. Para essa

tarefa o comando SORTER é a ferramenta

recomendada

Uma ação importante é levantar a lista de todos

os arquivos que existem na mídia analisada,

tipificando-os quanto ao formato. Para essa

tarefa o comando SORTER é a ferramenta

recomendada

Buscar informações sobre arquivos com direitos

especiais de SUID e SGID que podem ser

usados em malware com backdoors:

# find /img/ -type f \(-perm -04000 -o

-perm -02000 \) -exec ls -lg {} \;

Buscar por arquivos e diretórios que tenham

nome utilizando espaço em branco:

Identificar arquivos sem dono ou grupo

definido, que poderão ser arquivos instalados no

sistema de forma arbitrária:

# find /img/ -type f \(-nouser -o

-nogroup \) -exec ls -ldg {} \;

_”