Phenquestions
Live CD o DVD offrono un modo per avviare l'unità di sistema, nonché l'unità del supporto rimovibile o fissa, consentendo di utilizzare il file manager o il software per caricare il file. Un server del disco può corrompere questi casi e archiviare file di dati preziosi o proprietari in compartimenti separati nei file del sistema operativo.
File Carving è una procedura utilizzata nelle indagini sulla scena del crimine del PC per estrarre informazioni da un disco rigido o altri dispositivi di archiviazione senza l'aiuto della tabella del file system che ha creato il file originale in primo luogo. File Carving è una strategia che assume il controllo dei documenti in uno spazio non allocato senza dati e viene utilizzata per recuperare informazioni per svolgere un esame clinico computerizzato. Questo processo è stato inizialmente chiamato "progettazione", che è un termine generale per rimuovere le informazioni organizzate dalle informazioni grezze, alla luce degli attributi particolari del modello di organizzazione delle informazioni memorizzate.
Un metodo forense che recupera i documenti dipende dalla struttura e dal contenuto dei file senza i metadati del file system appropriati. Il file carving ti consente di recuperare i file dallo spazio non allocato in qualsiasi unità. L'area dell'unità indicata dalla struttura del file system (tabella dei file) che non contiene alcuna informazione sul file system è chiamata spazio non allocato.
Strutture del file system mancanti o danneggiate possono interessare l'intera unità. In poche parole, molti file system non eliminano i dati quando vengono eliminati. Invece, elimina semplicemente la conoscenza di dove proviene. Scansionare i byte grezzi e metterli in ordine è il processo di base di File Carving. Questo processo viene eseguito da esaminare l'intestazione (primi byte) e il piè di pagina (ultimi byte) di un file.
Il file carving è un modo eccellente per recuperare file e frammenti di file quando il testo è danneggiato o mancante. Viene spesso utilizzato dai professionisti nella risoluzione dei problemi per riesaminare le prove. Un esempio del divieto e della possibilità di evacuare i media si è verificato quando le informazioni sono state rimosse dai campi di Osama Bin Laden durante l'attacco della US Seals Navy. Gli investigatori forensi hanno utilizzato metodi di recupero file per recuperare i dati dalle unità e dai sistemi utilizzati nei campi.
Panoramica dei file system
UN file system ioè un tipo di database utilizzato per archiviare, aggiornare e recuperare file o diversi numeri di file. È un modo in cui i file vengono archiviati logicamente e denominati per l'archiviazione e il ripristino. Esistono diversi tipi di file system menzionati di seguito:
File system di Windows Windows: Microsoft Windows utilizza solo due tipi di FAT e NTFS.
- GRASSO, che significa "tabella di allocazione dei file", è il tipo più semplice di file system contenente un settore di avvio, una tabella di allocazione dei file e un semplice spazio di archiviazione per la memorizzazione di file e cartelle. Di recente, FAT è arrivato in FAT16, FAT12 e FAT32. FAT32 è compatibile con i dispositivi di archiviazione basati su Windows. Windows non può creare un file system FAT32 con un file più grande di 32 GB.
- NTFS, l'abbreviazione di "New Technology File System" è ora un file system predefinito per file di dimensioni superiori a 32 GB. La crittografia e il controllo degli accessi sono alcune delle proprietà principali di questo file system.
File system Linux: Linux è un sistema operativo open source ampiamente utilizzato ed è stato sviluppato per il test e lo sviluppo. Questo sistema operativo aveva lo scopo di utilizzare diversi concetti di file system. In Linux esistono diversi tipi di file system.
- Est2, Est3, Est4 - Questo è il file system Linux locale o predefinito. Il filesystem di root è generalmente limitato all'intera distribuzione Linux. Il file system Ext3 è un eccellente aggiornamento del file system Ext2 precedentemente utilizzato; utilizza l'operazione di scrittura del file transazionale. Ext4 è un file di estensione che supporta le informazioni Ext3 e l'attribuzione dei file.
- ReiserFS - Il problema del file system viene risolto salvando molti piccoli file contemporaneamente. C'è una bella risata da parte del file manager e l'autorizzazione del file compatibile, l'archiviazione del codice del file, il file contiene metadati nella modalità di non utilizzo del file system di grandi dimensioni a causa delle sue dimensioni.
- XFS - Il file system XFS funziona bene ed è ampiamente utilizzato per l'archiviazione dei file. Questo tipo di file system è popolare sui server IRIX.
- JFS - IBM ha sviluppato questo file system ed è diventato un file system utilizzato su quasi tutte le distribuzioni Linux
Sistema di file macOS: Il sistema operativo Apple Macintosh utilizza solo il HFS + file system senza l'estensione del file system HFS. MacOS, iPhone, iPad e tutti gli altri prodotti Apple utilizzano il HFS + file system. Alcuni prodotti Apple Server utilizzano il file system Hscan. Questo rinomato file system tiene traccia delle informazioni relative alla visualizzazione delle directory, alla posizione di Windows, ecc.
Tecniche di intaglio della lima
Durante l'indagine digitale, è necessario analizzare i diversi tipi di media. Le informazioni applicabili possono essere trovate su diversi dispositivi di archiviazione e nella memoria del PC. Potrebbero essere scomposti vari tipi di informazioni, ad esempio e-mail, report elettronici, log del framework e record multimediali. Il file carving è una tecnica di recupero in cui vengono considerati solo il contenuto e la struttura del file anziché i metadati del file utilizzati nell'organizzazione dei dati sul supporto di memorizzazione.
Di seguito sono riportate alcune terminologie di intaglio dei file da ricordare:
- Bloccare - La dimensione più piccola delle unità di dati che possono essere scritte nella memoria
- Intestazione - Il punto di partenza del file.
- piè di pagina - Gli ultimi byte del file.
- Frammento - Uno o più blocchi appartengono a un singolo file.
- Frammento di base - Primo frammento del contenitore di file, l'intestazione del file.
- Punto di frammentazione - L'ultimo blocco appena prima che avvenga la frammentazione. Frammenti multipli in qualsiasi file provocano diversi punti di frammentazione.
Le principali tecniche di intaglio della lima universale aziendale sono le seguenti:
- Tecnica intestazione-piè di pagina (o intestazione-"dimensione massima del file") - La strategia di base qui è ritagliare i file in base al titolo e alla grafia o ai file totali.
- File con estensione JPG o JPEG - “\ xFF \ xD8” e “\ xFF \ xD9."
- GIF - intitolato "\ x47 \ x49 \ x46 \ x38 \ x37 \ x61" e "\ x00 \ x3B" piè di pagina.
- PST: “! Intestazione BDN” senza piè di pagina.
- Se il file system non ha una base, il numero massimo di file utilizzati nel programma di intaglio.
- Intaglio basato sulla struttura del file
- Il layout interno del file viene utilizzato come tecnica di base.
- Intestazione, piè di pagina, stringhe ID e informazioni sulle dimensioni sono elementi di base.
- Intaglio basato sul contenuto
La struttura dei contenuti è gratuita (MBOX, HTML, XML)
- Caratteristiche del materiale
- Conta i caratteri
- Riconoscimento testo/lingua
- Elenco dati in bianco e nero
- Entropia dell'informazione
- Caratteristiche statistiche (Chi2)
Intaglio di un file (senza utilizzare alcuno strumento)
Successivamente, vedremo come intagliare un .jpeg senza utilizzare uno strumento. Per prima cosa dobbiamo conoscere la struttura di .jpeg (intestazione e piè di pagina, ecc.). Per fare questo, apriremo un .immagine jpeg nel Esadecimale editor per esaminare quali sono l'intestazione e il piè di pagina del .file jpeg simile look.
Qui abbiamo trovato l'intestazione del file ( FFD8FFE0). Ora, per trovare il piè di pagina, esamineremo gli ultimi byte nel file.
Qui abbiamo il piè di pagina o il trailer del file (FFD9).
Se hai un documento con un'immagine, puoi ritagliare l'immagine conoscendone l'intestazione e il piè di pagina.
Ora abbiamo un file word con un'immagine dentro. Ritaglieremo l'immagine usando questa tecnica.
La prima cosa che dobbiamo fare è aprire questo documento word con il Esadecimale editore facendo clic su File >> Apri.
Qui possiamo vedere una figura che mostra i dati del file word in forma esadecimale. Come già sappiamo, il .jpeg ha un valore di intestazione di FFD8FFE0, quindi cercheremo l'intestazione del file premendo Ctrl + F o Cerca >> File e inserendo il valore di intestazione noto (selezionare il tipo di dati del valore esadecimale è molto importante in questo passaggio).
Troveremo un valore di firma a Offset 14FD.
Successivamente, dobbiamo cercare un piè di pagina o un trailer. Sappiamo che il .jpeg ha un valore di piè di pagina di FFD9, quindi cercheremo il piè di pagina del file premendo Ctrl + F o Cerca >> File e inserendo il valore noto del piè di pagina (è molto importante selezionare il tipo di dati del valore esadecimale.
Troveremo un valore di piè di pagina in Offset 2ADB.
Attualmente abbiamo l'intestazione e il piè di pagina di un documento jpeg e, come abbiamo affermato di recente, tra l'intestazione e il piè di pagina ci sono le informazioni di un record jpeg. Qui duplichiamo l'intero riquadro di informazioni con intestazione e piè di pagina e lo memorizziamo come un altro file.
Vai a MODIFICA >> Seleziona Blocco e inserisci entrambi i seguenti termini:
Scostamento intestazione file: 14FD
Scostamento piè di pagina file: 2ADB
Dopo aver inserito questi valori, l'intero .jpeg sarà contrassegnato in blu. Per salvarlo come dfile, copialo facendo clic con il pulsante destro del mouse e selezionando copia, o premendo Ctrl + C. Successivamente, incolleremo le informazioni in un nuovo file. Apparirà una finestra di dialogo e faremo clic su ok. Ora siamo pronti per salvare il file facendo clic su File >> Salva con nome o premendo Ctrl + S. Se apri questo file copiato, vedrai la stessa immagine del documento originale. Questa è la tecnica di base per intagliare i file multimediali.
Strumenti per l'intaglio dei dati
Gli strumenti di recupero dati svolgono un ruolo importante nella maggior parte delle indagini forensi, poiché gli aggressori intelligenti cercano sempre di cancellare le prove dei loro crimini. Di seguito sono elencati alcuni importanti strumenti di recupero dati in Linux e finestre.
- Primo (strumento per intagliare file)
Per recuperare file persi a causa delle loro strutture dati interne, intestazioni e piè di pagina, prima di tutto, può essere utilizzato. Il primo di solito accetta input in vari formati di immagine, come AFF o formati raw, che possono essere generati utilizzando una varietà di strumenti, come FTK Imager, DD, encase, ecc. Puoi accedere alla pagina di aiuto di above per apprendere ed esplorare i suoi potenti comandi utilizzando il seguente comando:
[email protected]:~$ above -h Recupera i file da un'immagine disco in base ai tipi di file specificati dautente che utilizza l'opzione -t.
jpg Supporto per i formati JFIF ed Exif, incluse le implementazioni
utilizzato nelle moderne fotocamere digitali.
gif
png
bmp Supporto per il formato bmp di Windows.
avi
exe Il supporto per i binari di Windows PE estrarrà i file DLL ed EXE
insieme ai loro tempi di compilazione.
mpg Supporto per la maggior parte dei file MPEG (deve iniziare con 0x000001BA)
onda
riff Questo estrarrà AVI e RIFF poiché usano lo stesso file per
tappetino (RIFF). nota più velocemente rispetto all'esecuzione ciascuno separatamente.
wmv Note può anche estrarre file wma in quanto hanno un formato simile similar.
ole Questo prenderà qualsiasi file usando la struttura del file OLE. Questo
include PowerPoint, Word, Excel, Access e StarWriter
doc Nota che è più efficiente eseguire OLE man mano che ottieni più bang per
il tuo dollaro. Se desideri ignorare tutti gli altri file ole, usa
Questo.
zip Nota che verrà estratto .jar anche perché usano un simile
formato. I documenti di Open Office sono solo file XML zippati, quindi
vengono estratti anche. Questi includono SXW, SXC, SXI e SX? per
file OpenOffice indeterminati. Anche i file di Office 2007 sono XML
basato su (PPTX, DOCX, XLSX)
raro
htm
cpp C rilevamento del codice sorgente, si noti che questo è primitivo e potrebbe generare
documenti diversi dal codice C.
mp4 Supporto per file MP4.
all Esegui tutti i metodi di estrazione predefiniti. [Predefinito se no -t è
specificato]
- BinWalk
BinWalk viene utilizzato per gestire le librerie binarie ed estrarre dati importanti dalle immagini del firmware. Questo strumento è ottimo per coloro che sanno come usarlo. BinWalk è considerato uno dei migliori strumenti disponibili per il reverse engineering e l'estrazione di immagini del firmware. BinWalk è facile da usare ed è dotato di enormi capacità. Puoi navigare nella pagina di aiuto di binwalk per saperne di più usando il seguente comando:
[email protected]:~$ binwalk --help Opzioni di scansione della firma:-B, --signature Scansiona i file di destinazione per le firme dei file comuni
-R, --raw= Scansiona i file di destinazione per la sequenza di byte specificata
-A, --opcodes Scansiona i file di destinazione per le firme di codici operativi eseguibili comuni
-m, --magic= Specifica un file magico personalizzato da usare
-b, --dumb Disabilita le parole chiave per la firma intelligente
-I, --invalid Mostra i risultati contrassegnati come non validi
-x, --exclude= Escludi risultati che corrispondono
-y, --include= Mostra solo i risultati che corrispondono
Opzioni di estrazione:
-e, --extract Estrae automaticamente i tipi di file conosciuti
-D, --dd= Estrai le firme, dai ai file un'estensione di , ed esegui
-M, --matryoshka Scansiona ricorsivamente i file estratti
-d, --depth= Limita la profondità di ricorsione della matrioska (predefinito: 8 livelli di profondità)
-C, --directory= Estrai file/cartelle in una directory personalizzata (predefinito: directory di lavoro corrente)
-j, --size= Limita la dimensione di ogni file estratto
-n, --count= Limita il numero di file estratti
-r, --rm Elimina i file intagliati dopo l'estrazione
-z, --carve Scolpisce i dati dai file, ma non esegue le utilità di estrazione
Opzioni di analisi dell'entropia:
-E, --entropia Calcola l'entropia del file
-F, --fast Usa un'analisi dell'entropia più veloce, ma meno dettagliata
-J, --save Salva il grafico come PNG
-Q, --nlegend Omette la legenda dal grafico del grafico dell'entropia
-N, --nplot Non genera un grafico del grafico dell'entropia
-H, --high= Imposta la soglia di attivazione dell'entropia del fronte di salita (predefinito: 0.95)
-L, --low= Imposta la soglia di attivazione dell'entropia del fronte di discesa (predefinito: 0.85)
Opzioni di differenziazione binaria:
-W, --hexdump Esegue un hexdump / diff di uno o più file
-G, --green Mostra solo le righe contenenti byte uguali tra tutti i file
-i, --red Mostra solo le righe contenenti byte che sono diversi tra tutti i file
-U, --blue Mostra solo le righe contenenti byte che sono diversi tra alcuni file
-w, --terse Differisce tutti i file, ma mostra solo un dump esadecimale del primo file
Opzioni di compressione grezza:
-X, --deflate Cerca flussi di compressione sgonfi non elaborati
-Z, --lzma Scansiona flussi di compressione LZMA non elaborati
-P, --partial Eseguire una scansione superficiale, ma più veloce
-S, --stop Stop dopo il primo risultato
Opzioni generali:
-l, --length= Numero di byte da scansionare
-o, --offset= Avvia la scansione a questo offset di file
-O, --base= Aggiunge un indirizzo di base a tutti gli offset stampati
-K, --block= Imposta la dimensione del blocco del file
-g, --swap= Inverte ogni n byte prima della scansione
-f, --log= Registra i risultati su file
-c, --csv Registra i risultati in un file in formato CSV
-t, --term Formatta l'output per adattarlo alla finestra del terminale
-q, --quiet Sopprime l'output su stdout
-v, --verbose Abilita l'output dettagliato
-h, --help Mostra l'output della guida
-a, --finclude= Scansiona solo i file i cui nomi corrispondono a questa regex
-p, --fexclude= Non scansionare i file i cui nomi corrispondono a questa regex
-s, --status= Abilita il server di stato sulla porta specificata
Recupero di dati da dischi formattati
Gli strumenti di recupero dati devono essere selezionati con attenzione per recuperare le informazioni da dischi formattati, unità flash USB e schede di memoria. Gli strumenti progettati per completare varie attività possono produrre risultati inaspettati. Di seguito, esamineremo alcune delle differenze tra i vari strumenti di recupero dati per la correzione dei dati in unità formattate.
Unformat
Il primo errore fatale che molti utenti di computer commettono durante la formattazione accidentale delle unità è quello di trovare, installare e utilizzare strumenti "non formattati". Ci sono molti di questi strumenti sul mercato; alcuni sono commerciali e altri sono beni gratuiti. Lo scopo di questi strumenti è ricostruire o ricreare il disco preformattato ripristinando il file system.
Anche se questo può sembrare un approccio praticabile per gli inesperti, potrebbe finire per essere un errore più grande della perdita dei file in primo luogo. La formattazione del disco cancella il file system originale, sostituendolo almeno in parte, di solito all'inizio. Quando provi a ripristinare il tuo vecchio file system, il meglio che puoi ottenere è un disco leggibile con alcuni dei tuoi file. Non è possibile recuperare tutto esattamente com'era in questo modo e i file più preziosi potrebbero essere compromessi, con solo campioni casuali dei file originali sul disco. Quando pensi di "formattare" un'unità di sistema, dimenticalo; almeno alcuni file di sistema saranno spariti. Anche se puoi avviare il sistema operativo, non otterrai mai un sistema stabile.
Annulla cancellazione
Il secondo errore che commetteranno molti utenti di computer è utilizzare strumenti di ripristino. Sebbene questi strumenti esistano e tendano a svolgere il proprio lavoro in buona fede, non sono progettati per gestire dischi con un file system escluso. Anche con alcuni dei migliori strumenti di recupero, come RS File Recovery, puoi eliminare più file, ma questo è tutto.
Recupero della partizione
Per recuperare i file, dovresti cercare uno strumento di recupero delle partizioni come RS Partition Recovery. Progettato per gestire dischi distribuiti, formattati e danneggiati, questo strumento può scansionare l'intera superficie di un disco o partizione per recuperare tutto ciò che riesce a trovare. Anche se il file system è vuoto o cancellato, questo strumento può recuperare molti tipi di file, come documenti, immagini e video, attraverso la sua funzione di firma. Tuttavia, sebbene gli strumenti di recupero segmentati siano di prim'ordine per il recupero dei dati, di solito sono piuttosto costosi. Se vuoi solo recuperare un disco formattato, può essere utile cercare e salvare invece.
Recupero FAT e NTFS
Puoi risparmiare fino al 40% sul costo del ripristino di Partition RS scegliendo uno strumento che recupera solo dischi formattati FAT o NTFS. Ricorda che dovrai acquistare uno strumento adatto al file system originale e non quello scritto sopra. Se l'unità originale è NTFS, procurati NTFS Recovery RS. Se è FAT o FAT32, ottieni il FAT Recovery RS. In questo modo, otterrai gli stessi strumenti di qualità, ma sarai limitato alla formattazione FAT o NTFS. Questa è la scelta perfetta per un lavoro unico.
Carving Files (usando uno strumento)
PhotoRec è un fantastico software utilizzato per ritagliare file e soprattutto jpeg o file di immagine (ecco perché si chiama Photo Recovery). PhotoRec trascura il framework del documento e persegue le informazioni di base, quindi funzionerà indipendentemente dal fatto che il framework dei record del tuo supporto sia stato seriamente danneggiato o riformattato. Fotoregistrazione è facilmente accessibile sui sistemi operativi Windows.
Ad esempio, recupereremo i file di immagine da un'unità flash da 8 GB utilizzando questo strumento.
Per prima cosa, esegui il PhotoRec.EXE file e avvia l'applicazione. Vedremo una schermata come questa:
Qui, abbiamo tutte le partizioni che mostrano. noi selezioneremo /K come il nostro obiettivo desiderato da cui recuperare i dati.
Possiamo vedere quale file system sta usando questa partizione qui e ci sono quattro opzioni in basso.
Ricerca - Questo cercherà la partizione che contiene i file per il ripristino.
Opzioni - Utilizzato per modifiche minori nelle opzioni.
File Opz - Utilizzato per modificare i tipi di file da recuperare.
Smettere - Esce dal processo.
noi selezioneremo File Opz (Opzioni file):
Questo ci darà le opzioni per selezionare i file che vogliamo recuperare dalla partizione desiderata. premendo S deseleziona tutte le opzioni. noi selezioneremo Immagini JPG, poiché vogliamo solo recuperare i file di immagine dall'unità. Successivamente, premeremo B.
Per selezionare il File System, torna alle opzioni principali e seleziona Altro. Per quanto riguarda le opzioni di ripristino, abbiamo due scelte:
- recuperare dal intera partizione
- recupero da solo spazio non allocato (FAT12, FAT16, FAT32, EXT1, EXT2, EXT3, ecc.).). Usando questa opzione, verranno recuperati solo i file che sono stati cancellati.
Ora, tutto ciò che dobbiamo fare è impostare la posizione in cui verranno recuperati i file eliminati. Successivamente, il processo di ripristino inizierà e terminerà dopo aver impiegato un po' di tempo. Quindi, cercheremo i file recuperati nella posizione impostata. I file di immagine recuperati saranno lì.
Conclusione
File Carving è un noto termine informatico forense per descrivere l'identificazione dei tipi di file e la loro rimozione da cluster non subordinati utilizzando le firme dei file. Una firma di file, nota anche come numero magico, è un valore di testo numerico o permanente utilizzato per identificare il formato del file. Estrazione di file o dati è un termine usato nel campo dell'informatica forense. Un computer indagine forense è un'acquisizione, verifica, analisi e documentazione di prove contenute in un sistema informatico, una rete di computer o altre forme di media digitali. Viene chiamato l'estrazione di dati significativi dai dati grezzi intaglio.
Scultura di file è l'identificazione e il recupero dei file sulla base dell'analisi del formato. Nell'informatica forense, la scultura è un modo utile per trovare file nascosti o cancellati sui media digitali. I file possono essere nascosti in aree come cluster persi, cluster non allocati e riproduzione di dischi o media digitali. Per utilizzare questo metodo di estrazione, un file deve avere una firma standard, chiamata a intestazione del file, all'inizio del file. Per ottenere l'intestazione del file, lo strumento di ripristino continuerà a interrogare fino a raggiungere il piè di pagina del file alla fine del file. I dati tra l'intestazione e il piè di pagina vengono estratti e analizzati per garantire l'integrità. Nei suoi algoritmi vengono utilizzati diversi metodi di scultura, a seconda del tipo di file.
I moderni sistemi operativi non eliminano completamente i file eliminati senza il permesso dell'utente. I file eliminati possono essere recuperati tramite vari strumenti e tattiche forensi se i file eliminati non vengono aggiunti a un altro file. I file danneggiati possono essere recuperati se i dati non sono danneggiati oltre il riconoscimento.
C'è molta differenza tra il recupero di file e il file carving. Il ripristino dei file utilizza le informazioni dal file system; utilizzando queste informazioni, è possibile recuperare diversi file. Se le informazioni non sono corrette, non funzionerà. Con l'avvento del file carving, le forze dell'ordine, i professionisti della tecnologia e i professionisti forensi hanno trovato un altro strumento che può essere utilizzato per recuperare i dati cancellati. Sebbene non sia sempre perfetto e raffinato, strumenti come Primo, bisturi, e Fotoregistrazione hanno reso la ricreazione dei file più facile che mai.
