読者です 読者をやめる 読者になる 読者になる

アンタイ・フォレンジック伝道者の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

SANS ポスター:Windows Artifact Analysis(17) WebCacheV01.dat

NirSoft の ESEDatabaseView を使い WebCacheV01.dat をパースすると、MSysObjects の内容を確認する事ができます。 Container_36 がダウンロードに関するテーブルになりますので、この定義情報を MSysObjects の CSV で確認すると ObjidTable 値 74、Name …

SANS ポスター:Windows Artifact Analysis(16) WebCacheV01.dat

ESENTUTLコマンドを使うことで、ESEDB の情報を確認できますが、WebCacheV01.dat ファイルについての取り扱いが下記資料 Page 15 で詳しく扱われています。 Forensic analysis of the ESE database in Internet Explorer 10http://hh.diva-portal.org/smash/…

SANS ポスター:Windows Artifact Analysis(15) WebCacheV01.dat

esentutl /m /p1921 WebCacheV01.dat コマンドの出力結果では、Page Tagをパースして結果を表示してくれています。実際のデータ構造としては、ページの最後からページ先頭に向かって 4バイトづつ Page Tag が記録されています。 TAG 0 cb:0x0010 ib:0x0000 o…

SANS ポスター:Windows Artifact Analysis(14) WebCacheV01.dat

WebCacheV01.dat ファイルに対して RAW で KW 検索を実施すると、ESEDatabaseView から出力した CSV ファイルでは HEX 文字列?として出力されてくるデータがヒットしてきます。該当データ部分の詳細を確認する為、ESEデータベースの構造を少し確認しておき…

SANS ポスター:Windows Artifact Analysis(13) WebCacheV01.dat

WebCacheV01.datファイルをESEDatabaseViewまたはEseDbViewerでパースし、CSVデータとして出力するとかなり多くのファイルが作成されます。 出力されるCSVファイルの中に Containers.csv があり、この内容を確認するとContainer_数字のファイルの役割につい…

SANS ポスター:Windows Artifact Analysis(12) WebCacheV01.dat

WebCacheV01.datファイルは Extensible Storage Engine (ESE) Database File (EDB) 形式ですが、EseDbViewer で読み込む時にはページサイズを指定する必要があります。(EseDbViewerは管理者権限で実行しないと.datを読み込ませた時にエラーになるので注意が…

SANS ポスター:Windows Artifact Analysis(11) Index.dat

IE 10のWebCacheV01.dat ファイル内でダウンロード情報がどの様に管理されているかを確認してみたいと思います。ESEDB形式ファイルを閲覧できるツールとしては下記があります。(専用ツールという意味ではIEFがありますが) ESEDatabaseViewhttp://www.nirso…

SANS ポスター:Windows Artifact Analysis(10) Index.dat

SANS Windows Artifact Analysis: Evidence of..ポスターの File Download の項目として Index.dat/Places.sqlite が項目として出てきます。 IE では Ver9 でダウンロードマネージャが搭載され、(通常の履歴以外に)このダウンロードマネージャ用の Index.d…

SANS ポスター:Windows Artifact Analysis(9) E-Mail Attachments

SANS Windows Artifact Analysis: Evidence of..ポスターの File Download の項目として E-Mail Attachments が2番目の項目として出てきます。 ここではOutlookを対象として書かれていますので、Outlookのメールボックスが通常置かれているパスとして以下が…

SANS ポスター:Windows Artifact Analysis(8) Windows Shell Item

LastVisitedPidlMRU をサンプルで一つパースしてみましたが、Excelなどオフィス製品からファイルを保存した際には少し異なる値が出力されるようです。下記は Excel からファイルを名前を付けて保存した後に出来た値の先頭部分の抜粋になります。 7B 00 43 00…

SANS ポスター:Windows Artifact Analysis(7) Windows Shell Item

SANS Windows Artifact Analysis: Evidence of..ポスターの最初の項目は File Download となっており、Open/Save MRU に含まれている OpenSavePIDlMRU を確認してみました。 ファイルダウンロードカテゴリには含まれていませんが、似たカテゴリにファイルオ…

SANS ポスター:Windows Artifact Analysis(6) Windows Shell Item

更に続きのデータとしては、Page 5 2.2.4. Users 0x00 shell item が続きます。先頭2バイトがアイテムのサイズ、クラスタイプがあり、データサイズがかなり長いことが分かります。(ファイル名などはこのデータ範囲内に入ってきています)Page 5に従ってパー…

SANS ポスター:Windows Artifact Analysis(5) Windows Shell Item

2.2.4. Users 0x00 shell item のデータをパースしてきていますが、下記のデータ部分は extension Block という事が分かりました。 2A 00 00 00 00 00 EF BE 00 00 00 20 00 00 00 0000 00 00 00 00 00 00 00 00 00 00 00 00 00 00 0000 00 00 00 01 00 00 0…

SANS ポスター:Windows Artifact Analysis(4) Windows Shell Item

2.2.4. Users 0x00 shell itemのデータをパースしてみます。 先のデータ構造により、{031e4825-7b94-4dc3-b131-e946b44c8dd5}(Users Libraries) が指定されていますので、この続きのデータについては 2.2.4. Users 0x00 shell item でパースしていきます。…

SANS ポスター:Windows Artifact Analysis(3) Windows Shell Item

昨日のレジストリキー OpenSavePidMRU ですが、バイナリデータの構造となっており、その内容は Windows Shell Item 構造となっています。 一部パースするツールがこの構造をうまく読めず、正しく結果を得られないようですので内容を確認しておきたいと思いま…

SANS ポスター:Windows Artifact Analysis(2)

SANS Windows Artifact Analysis: Evidence of..ポスターの最初の項目は File Download となっています。このカテゴリでは Open/Save MRU、E-mail Attachments、Skype History、Index.dat/Plases.sqlite、Download.sqlite と 6個のデータがリストアップされ…

SANS ポスター:Windows Artifact Analysis(1)

SANSが提供しているポスターの一つに、Windows Artifact Analysis: Evidence of..というものがあります。 Community: Cheat Sheets DFIR "Evidence of..." Poster http://digital-forensics.sans.org/media/poster_fall_2013_forensics_final.pdf このポスタ…

Log2timeline タイムラインの可視化 Splunk

Excelでタイムラインを扱うのは簡単ですが、もう少し可視化する方法としてSplunkを使う方法について詳細が下記URLの記事で紹介されています。 Forensic timeline Splunking Fast and powerful searching of timeline data http://kleinco.com.au/thoughts-ev…

Log2timeline(Ver 0.66)によるタイムラインの作成 ftk_dirlisting

Log2timeline Ver 0.66 に含まれているパーサとして ftk_dirlisting(Parse the content of a CSV file that is exported from FTK Imager (dirlisting))があります。 FTK Imagerでディレクトリリストを作成し、それをパースする事が出来るようですので、確…

Log2timeline(Ver 0.66)によるタイムラインの作成 mft

Log2timeline Ver 0.66 に含まれているパーサとして mft(Parse the content of a NTFS MFT file)があります。NTFS のマスターファイルテーブルをパースする為のものですが、単体で使った場合の状況を確認しておきたいと思います。 サンプルとして、NTFSフ…

Log2timeline.py(Plaso)によるタイムラインの作成(30)

Log2timeline.py(Plaso)または Ver 0.66 のパーサをこれまで試してきました。 全てのパーサをテストしてはいませんが、ここまでテストした結果を整理しておきたいと思います。 なお、SIFT 3.0 環境とテストデータによる結果ですので、処理するデータや環境…

Log2timeline.py(Plaso)によるタイムラインの作成(29)

Log2timeline.py(Plaso)または Ver 0.66 で作成した CSV 形式のタイムラインは Excel などで開く事が出来ます。そのまま Excel で取り扱う事もできますが、SANS から項目により色分けし見やすくするためのExcel テンプレートファイルが提供されています。 D…

Log2timeline.py(Plaso)によるタイムラインの作成(28)

Log2timeline.py(Plaso)のパーサリストの所在を確認しておきたいと思います。 log2timeline.py --info でパーサのリストを取得できます。このリストには個別のパーサだけでなく、事前に定義されている linux や win7、winxp といったものがあります。複数の…

Log2timeline.py(Plaso)によるタイムラインの作成(27)

SIFT 3.0 に含まれている l2t_process ver 0.2 の具体的な実行結果について確認してみたいと思います。(l2t_process.pyではないので注意してください) 読み込み時の日付フォーマットをMM-DD-YYYYではなくyyyy-mm-ddで読む形式に変更する(-y) Keywordファイ…

Log2timeline.py(Plaso)によるタイムラインの作成(26)

Log2timeline(Plaso)のパーサモジュールではなく、出力結果の取り扱いについて確認しておきたいと思います。Plaso には psort.py が提供されており、Plasoストレージを対象にソート処理などを行う事ができます。これはすでに試してみていますので、以下 l2…

Log2timeline.py(Plaso)によるタイムラインの作成(25)

Log2timeline(Plaso)には含まれていませんので脱線した話題になりますが、Ver 0.66 には jp_ntfs_change(Parse the content of a CSV output file from JP (NTFS Change log) というパーサが提供されています。 これは、NTFS のジャーナルファイル $UsnJr…

Log2timeline.py(Plaso)によるタイムラインの作成(24)

Log2timeline(Plaso)にはWindows FireWallのログファイルをパースする WinFirewallParser(Parses the Windows Firewall Log file)が、Ver 0.66 には xpfirewall(Parse the content of a XP Firewall log)が提供されています。 まずPlasoの WinFirewall…

Log2timeline.py(Plaso)によるタイムラインの作成(23)

Log2timeline(Plaso)にはタスクスケジューラのジョブファイルをパースする WinJobParser(Parse Windows Scheduled Task files for job events)が提供されています。このパーサは Ver 0.66 では提供されていないものです。 タスクスケジューラのジョブフ…

Log2timeline.py(Plaso)によるタイムラインの作成(22)

Log2timeline(Plaso)の SkyDrive(現在のOneDrive)のパーサ SkyDriveLogParser(Parse SkyDrive log files.)を試してみたいと思います。 SkyDrive(現在はOneDrive)については、データ同期用のフォルダが C:\Users\<ユーザー名>\OneDrive に作成されます…

Log2timeline.py(Plaso)によるタイムラインの作成(21)

Log2timeline(Plaso)には、クラウドストレージに対応したプラグインとして、GoogleDriveParser(Parser for Google Drive snapshot.db files)と、SkyDriveLogParser(Parse SkyDrive log files)の二つが提供されています。これら二つのパーサは Ver 0.66…

Log2timeline.py(Plaso)によるタイムラインの作成(20)

Log2timeline(Plaso)の PcapParser(Parses PCAP files)に続き、Ver 0.66 の pcap パーサについても試してみたいと思います。 root@siftworkstation:/cases# log2timeline -f pcap -r -o csv -z UTC -log out1.log -w pcaptimeline066.txt /cases/pcap/ …

Log2timeline.py(Plaso)によるタイムラインの作成(19)

Log2timeline(Plaso)と Ver0.66 には、PCAPファイルをパースする PcapParser(Parses PCAP files)、pcap が提供されています。 これまでに試したパーサはいずれもディスク上に存在しているデータがパース対象になっていましたが、これらはネットワーク上…

Log2timeline.py(Plaso)によるタイムラインの作成(18)

Log2timeline(Plaso)の WinRegistryParser 後半部分のプラグインになります。Plaso のプラグインが確認していないレジストリ内のアーティファクトについては、Regripper など別ツールでパースしていく必要があります。 MsieTypedURLsPlugin : Gathers the …

Log2timeline.py(Plaso)によるタイムラインの作成(17)

Log2timeline(Plaso)の WinRegistryParser ですが、複数のプラグインが含まれています。Registry Plugins としてリストアップされる項目について、それぞれが参照しているレジストリキーについて確認してみます。数がありますので、まずは前半部分のプラグ…

Log2timeline.py(Plaso)によるタイムラインの作成(16)

Log2timeline(Plaso)と Ver 0.66 いずれにも含まれているパーサーとしては、レジストリファイルがあります。 Plasoでは WinRegistryParser(Parses Windows NT Registry (REGF) files.)、Ver 0.66 では sam、security、system、software、ntuser が対応し…

Log2timeline.py(Plaso)によるタイムラインの作成(15)

Log2timeline(Plaso)にはゴミ箱ファイル関連のパーサとして、Windows Vista以降で使われている$Iファイル形式のパースに対応した WinRecycleParser(Parses the Windows $I recycle files)が含まれています。 Windows Vista/7 ではゴミ箱にファイルを移動…

Log2timeline.py(Plaso)によるタイムラインの作成(14)

Log2timeline(Plaso)と Ver 0.66 いずれにも含まれているパーサーとしては、Windows XPのゴミ箱ファイル(Info2)に対応したものがあります。 Plasoでは WinInfo2Parser(Parses the Windows INFO2 recycle bin file.)、Ver 0.66 では recycler が対応し…

Log2timeline.py(Plaso)によるタイムラインの作成(13)

Log2timeline(Plaso)と Ver 0.66 いずれにも含まれているパーサーとして IE のヒストリとキャッシュのパーサがあります。Plasoでは MsiecfParser(Parses MSIE Cache Files (MSIECF))が提供されており、説明文からすればキャッシュの Index.dat をパース…

Log2timeline.py(Plaso)によるタイムラインの作成(12)

Log2timeline(Plaso)と Ver 0.66 いずれにも含まれているパーサーとして WinPrefetchParser があります。Windows が作成するプリフェッチファイル(.pf)をパースしてくれるはずですが、日本語のファイル名などの扱いがどうなっているのか確認してみたいと…

Log2timeline.py(Plaso)によるタイムラインの作成(11)

Log2timeline(Plaso)にも、0.66 にも含まれているパーサーとして WinLnkParser があります。いわゆるショートカットファイル(.LNK) をパースしてくれるはずですが、LNK ファイルは内部構造として日本語文字列が含まれている部分もあります。 まずは、Plas…

Log2timeline.py(Plaso)によるタイムラインの作成(10)

SIFT 3.0 に入っている log2timeline は 2種類ありますが、Plaso と version 0.66 でのような差異があるかを確認してみたいと思います。 Plasoと比較すると 0.66 はパーサーが豊富です。Plasoではパーサのリストを表示するには --info でしたが、0.66 では -…

Log2timeline.py(Plaso)によるタイムラインの作成(9)

これまでplasoベースの log2timeline.py を使ってきてみましたが、イベントログのパースが期待した内容と少しずれている気がする為、SIFT 3.0 に入っている log2timeline version 0.66 を試してみたいと思います。 root@siftworkstation:/cases# log2timelin…

Log2timeline.py(Plaso)によるタイムラインの作成(8)

WinEvtxParser(Parses Windows XML EventLog (EVTX) files)を試してみましたが、出力形 L2tcsv では読みにくいと感じています。そこで、今回は psort で加工する方法について確認してみます。 まず、log2timelineのアウトプットモジュールについては、(--in…

Log2timeline.py(Plaso)によるタイムラインの作成(7)

WinEvtxParser(Parses Windows XML EventLog (EVTX) files)を試してみたいと思います。EVTX形式ですのでWindows Vista以降で使われている現時点では最新のイベントログファイル形式になります。 C:\Windows\System32\winevt\Logs\System.evtx ファイル単体を…

Log2timeline.py(Plaso)によるタイムラインの作成(6)

WinEvtParser(Parses Windows EventLog (EVT) files)を試してみたいと思います。EVT形式ですのでWindows XPなどで使われていたイベントログファイル形式になります。 root@siftworkstation:/cases# log2timeline.py --parsers WinEvt --output L2tcsv --logf…

Log2timeline.py(Plaso)によるタイムラインの作成(5)

OpenXMLParser(Parse metadata from OXML files)を試してみたいと思います。 昨日は2003形式まででしたが、こちらはそれ以降の2007形式、docx,xlsx,pptx などがパースの対象になると思われます。(OpenOfficeとかも対応しているのかは未確認です) root@sift…

Log2timeline.py(Plaso)によるタイムラインの作成(4)

OleCfParser(Parses OLE Compound Files (OLECF))を試してみたいと思います。OLE複合ファイルのタイムスタンプを取るという事ですので、いわゆるOffice 2003までの形式ファイル、doc,xls,ppt などがパースの対象になると思われます。 root@siftworkstation:/…

Log2timeline.py(Plaso)によるタイムラインの作成(3)

Log2timeline(Plaso)で引き続きパース結果を確認したいと思います。 SQlite3 DB を使っているアプリケーションとしては、Google Chromeもありますので試しに Chrome ブラウザのデータをパースしてみたいと思います。 パーサーとしては --parsers ChromeHisto…

Log2timeline.py(Plaso)によるタイムラインの作成(2)

Log2timelineを使って個別アーティファクトのタイムラインを CSV 形式で確認していきたいと思います。 日本語の扱いが気になりますので、まずは試しに Skype のデータをパースしてみたいと思います。準備したのは日本語版Windows上で使っているSkypeデータベ…

Log2timeline.py(Plaso)によるタイムラインの作成(1)

SANS SIFT Workstation 3.0をやっとダウンロードできましたので、最近 sonodam さんと話題になったタイムラインについて少し確認したいと考えています。 SIFTにはMantarayが入っていますので、イメージファイル(例えば E01ファイル)を指定して Super Timel…