Phenquestions
Introduktion
Förra gången behandlade vi 14 kriminaltekniska verktyg som finns i Kali Linux och förklarade deras syfte och specialfunktioner. Idag ska vi presentera 14 kriminaltekniska verktyg, som kommer från ett berömt bibliotek, "The Sleuth Kit" (TSK), förpackat i 2020-uppdateringen av Kali Linux. Du hittar dessa verktyg i rullgardinsmenyn Forensics under namnet Sleuth Kit Suite-verktyg i Kali Whisker-menyn.
blkcalc
Blkcalc-verktyget är ett kriminaltekniskt verktyg som konverterar icke-allokerade skivpunkter till vanliga skivpunkter. Detta program skapar ett punktnummer som kartlägger två bilder. En av dessa bilder är normal och den andra innehåller odelade punktnummer för den första bilden. Detta verktyg kan stödja många filsystemstyper. Om ett filsystem inte definieras i början har blkcalc den unika funktionen för autodetektionsmetoder för att hitta filsystemstypen.
tsk_comparedir
Med hjälp av verktyget tsk_comparedir jämförs innehållet i bilden med innehållet i jämförelsekatalogen. Detta är det bästa verktyget i testfasen för att identifiera rootkits (skadlig kod eller filer). Rootkit-testet utförs genom att jämföra innehållet i den lokala katalogen med en lokal rå enhet. Dessa rootkits döljs inte när de nås och läses från en rå enhet.
tsk_gettimes
Det kriminaltekniska verktyget tsk_gettimes är baserat på ett bibliotek med sleuth kit. Det här verktyget samlar in MAC-tiderna (bitar av filsystemets metadata) från en viss diskavbildning och konverterar tiderna till en kroppsfil. Verktyget tsk_gettimes undersöker varje filsystem i en diskpartition eller bild och bearbetar data inuti. Resultatet av detta verktyg är skivavbildningsdata i ett MAC-tidsinställningsformat, som sedan kan användas som en ingång till systemet för att generera en kronologi över filaktiviteten. Data skrivs sedan ut som en fil via STDOUT-kommandot.
blkcat
Blkcat-verktyget är ett snabbt och effektivt kriminaltekniskt verktyg som är förpackat i Kali. Syftet med detta verktyg är att visa innehållet i den data som lagras i ett filsystems skivavbild. Utdata visar antalet dataenheter, från och med enhetens huvudadress och utskrifter, i olika format som kan specificeras och sorteras. Som standard är utdataformatet rå, och det kallas också dcat.
tsk_loaddb
Verktyget tsk_loaddb laddar metadata från diskavbildningen till en SQLite-databas, som är en användbar databas för analys av andra programverktyg. Databasen lagras i bildkatalogen för enkel åtkomst. Detta verktyg stöder många filsystem och kan beräkna MD5-hashvärdet för varje fil.
blkstat
Sleuth kit-verktyget blkstat visar all information om dataenheterna i ett filsystem. Detta verktyg returnerar data om tilldelningsstatus för ett block eller en sektor i ett filsystem. Detta verktyg kan använda kommandot addr, som visar statistiken för en bit data, och kallas också dstat.
hitta
Ffind-verktyget använder en inod för att söka efter namnet på katalogen eller filen i en skivavbild. Filerna som tilldelats en inodefilidentifierare på en diskpartition har namn; som standard returnerar det här verktyget bara det förnamn det hittar. Ffind-verktyget kan till och med hitta borttagna filnamn, vilket är den speciella funktionen för detta verktyg. Dessutom kan ffind-verktyget också hitta flera filnamn.
hfind
Hfind-verktyget söker efter hashvärden i hash-databaser. Hashvärdena söks med den binära sökalgoritmen. Syftet med att använda denna algoritm är att låta användare enkelt skapa hash-databaser och snabbt identifiera en fil, oavsett om den är känd eller okänd. Detta verktyg använder NSRL-biblioteket och returnerar md5sum. Det här verktyget är mycket effektivt eftersom det skapar en indexfil som redan är sorterad och har poster med fast längd, vilket gör sökningen väldigt snabbt.
fls
Namnet fls involverar termen "ls", vilket står för att lista ut innehållet i en mapp. Verktyget fls listar alla filnamn och kataloger i en bildfil och kan till och med visa namn på filer som nyligen togs bort. Om filidentifieraren eller inoden inte används används rotkatalogen.
mmcat
MMcat-verktyget är ett kriminaltekniskt verktyg som returnerar innehållet i en partition genom utskriftsfunktionen. Detta verktyg extraherar all data i en partition till en separat fil.
sigfind
Detta verktyg hittar den binära signaturen som finns i en fil. Denna binära signatur kallas hex_signature, som finns i varje fil. Detta verktyg kan användas för att hitta förlorade superblock, partitioner eller bildtabeller och startsektorer. Det hexadecimala formatet ska användas för att hitta den binära signaturen.
jag hittar
Detta verktyg letar upp rådatastrukturen för en fil, som tilldelas i en specifik skivenhet eller ett filnamn. Ibland kan någon av dessa metadatastrukturer inte fördelas, men det här verktyget kommer fortfarande att få resultaten.
sorterare
Sorterarverktyget är ett "perl" -skriptverktyg som utför sortering i ett filsystem för att ordna det i allokerade och oallokerade filer, baserat på filtypen. Detta verktyg kör ett kommando på varje fil och sorterar filerna enligt konfigurationsfilerna. Filtyper inkluderar dolda filer, hash-filer för hash-databaser, filer som är kända för att vara bra och de som ska ändras. Konfigurationsfilerna som används är som standard hämtade från var verktyget är installerat, men detta kan ändras med körtidsbeslut.
tsk_recover
Detta verktyg överför filer från en diskpartition till en lokal rotkatalog. De återställda filerna är som standard endast odelade filer. Genom vissa kommandon kan alla filer exporteras.
Slutsats
Dessa 14 verktyg levereras med Kali Linux live, liksom installationsbilder, och de är öppen källkod och fritt tillgängliga. Dessa verktyg finns i Kali whisker-menyn i en mapp som heter Sleuth Kit Suite. Verktygen får frekventa uppdateringar från TSK för mindre buggfixar.
