@port139 Blog

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

Timestamp and USN_REASON_BASIC_INFO_CHANGE

Note:I translated Japanese into English using Google Translate.Thank you, Google. My question is Can I find timestamp changes using USN Journal? Let's try it.Enable USN Journal with volume E :. Copy the sample JPEG file to the E: drive, us…

Autopsy and Realloc

Note:I translated Japanese into English using Google Translate.Thank you, Google. Let's create a record labeled (realloc). Create Example folder and create several files in the folder. In the following, a long file name is set to create In…

Esentutl and File copy

Note:I translated Japanese into English using Google Translate.Thank you, Google. FireEye has released a report on APT 10's TTPs. I was interested in the method using ESENTUTL tool. https://www.fireeye.com/blog/threat-research/2018/09/apt1…

NTFS $ObjID and ObjectID

Note:I translated Japanese into English using Google Translate.Thank you, Google. Let's check NTFS $ObjID:$O and the deleted ObjectID. There is image files on the sample E: drive, but these files do not have an ObjectID. Browse the image f…

NTFS $LogFile and ObjectID

Note:I translated Japanese into English using Google Translate.Thank you, Google. Check the record of $LogFile when setting ObjectID.E: drive used for verification is newly formatted with NTFS. Copy the sample JPEG file to the E drive. Thi…

NTFS $LogFile and DataRun

Note:I translated Japanese into English using Google Translate.Thank you, Google. Use $LogFile to check overwriting of the cluster. Two images are used for the test. These two image files are almost the same size. Copy Dragonfly.jpg to for…

NTFS USN Journal and ObjectID

Note:I translated Japanese into English using Google Translate.Thank you, Google. Enable USN Journal on sample NTFS volumes and Copy Example.jpg to the Pictures folder. Check the status of ObjectID, ObjectID is not set. Using USN Analytics…

Jumplist and Clear File Explorer history

Note:I translated Japanese into English using Google Translate.Thank you, Google. Hop Step Jumplist. Display file 5f7b5f1e01b83767.automaticDestinations-ms with HEX.Only 'DestList' exists in this file. I started explorer and I looked up 4 …

Jumplist and File copy

Note:I translated Japanese into English using Google Translate.Thank you, Google. I did not know about the artifacts in the Jumplist mentioned below. http://www.hecfblog.com/2018/07/daily-blog-426-directory-copy-and-paste.html So new as of…

NTFS $REPARSE_POINT and Symbolic link(2)

Note:I translated Japanese into English using Google Translate.Thank you, Google. Last week I checked the symbolic link using the mklink command. The Symbolic link reparse data has a field of Print name, but the mklink command can not set …

NTFS $REPARSE_POINT and Symbolic link

Note:I translated Japanese into English using Google Translate.Thank you, Google. Today, I would like to confirm the NTFS symbolic link.Copy the JPEG file to the sample VHD Disk. Use the mklink command for this JPEG file to create a symbol…

$ATTRIBUTE_LIST and deleted record

Note:I translated Japanese into English using Google Translate. Thank you, Google. I will use the sample VHD Disk created last week. $ATTRIBUTE_LIST of FILE record 39 is as follows. Several $FILE_NAME saved in FILE record number 40. Filena…

$MFT と $ATTRIBUTE_LIST

Note:For experimental purposes, I use Google Translate to convert Blog to English.Unfortunately, I do not know whether it was translated into an appropriate English expression. Please let me know if there is a more appropriate expression. …

MFTECmd と $EA

NTFSの$MFTファイルをパースするツール”MFTECmd”をEricさんがリリースしています。素晴らしいツールをありがとうございます! <2018/6/27 Add>v0.2.6.0がリリースされています</add> セキュリティキャンプ2018でE6トラックを選択する若者達には、ぜひ調査で利用し…

ActivitiesCache.dbとアクティビティ削除(3)

先週の続きです。 OSの日付を6月25日へ変更し、レコード削除を発生させます。 OSを再起動し、-wal ファイルがActivitiesCache.dbへ反映された状態にします。 ActivitiesCache.dbファイルをHEXで参照し、ファイル名を検索してみます。 DeleteSample.jpgを発見…

ActivitiesCache.dbとアクティビティ削除(2)

先週の続きです。 テスト環境は先週からずっとシャットダウンしていましたので、先ほど起動しました。 アクティビティの状態を確認します、アクティビティには何も表示されません。 ActivitiesCache.dbファイルをエクスポートします。ActivitiesCache.dbファ…

ActivitiesCache.dbとアクティビティ削除

アクティビティを削除し、ActivitiesCache.db内でどのような変化が発生するかを確認します。テスト環境は Win 10 1803 です。 サンプルのJPEG画像ファイルを参照し、アクティビティを作成します。 Activityテーブルでレコードを確認します。38番レコードにJP…

Win 10 1803 とActivitiesCache.db

Windows 10 Ver 1803 の Timeline 機能が利用している ActivitiesCache.db を確認したいと思います。 サンプルのアクティビティを作成します。Photosアプリケーションでサンプル画像を参照します。 ActivitiesCache.db ファイルは下記フォルダにあります。(…

JumpList と DestList

JumpList 内の DestList を確認します。DestListのDirectory entry(128byte)は下記になります。 44006500730074004C00690073007400000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000 ⇒ DestList12 00 ⇒ 18…

JumpList と Stream

「JumpList と The allocation table」の続きです。 次のDirectory entry(128byte)をパースしてみます。 31000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000 ⇒ 1 04 00 ⇒ …

JumpList と The allocation table

JumpListのファイル構造続き。SAT(Sector Allocation Table)を確認します。 「Object Linking and Embedding (OLE) Compound File (CF) format specification」を参照しています。 Master Sector Allocation Table (MSAT)はオフセット76から開始されており、…

JumpList と OLECF file header

これも古い話題ですが :-)、JumpListのファイル形式について確認します。JumpListファイルの詳細については、参考URLの記事を参照してください。 下記図は、Windows 10環境でAutomaticDestinationsフォルダ配下にあるf01b4d95cf55d32a.automaticDestinations…

Registry MinerとTime stamp

Registry Miner を利用し、レジストリファイルからタイムスタンプを採掘します。 サンプルのSYSTEMハイブに対して、Registry Miner を実行します。”starting timestamp”で指定した日時以降の、タイムスタンプを含むキーや値が採掘されます。 # ./registry-mi…

LNK と Time stamp (FAT date and time)

LNKファイル内のShell Itemに含まれる、タイムスタンプ形式を確認します。 LEcmdを利用し、LNKファイルに含まれるタイムスタンプを確認します。フォルダCaseと、P1060117.jpgのタイムスタンプ情報を確認できます。 「LNKとShell item」を参考に、Caseフォル…

LNK と Property Store

LNKファイルのProperty Store構造を確認します。 サンプルJPEGファイルを準備します。このJPEGファイルはEXIF情報を含んでいます。 サンプルJPEGファイルのショートカットを作成します。 作成したショートカットファイルを LEcmd でパースし、Property store…

LNKとShell item

LNKファイルのShell item構造を確認します。 USBメモリ上にある、Example.jpgを参照し、RecentフォルダにLNKファイルを生成します。 Windows Shortcut File format specification を参考に、LNKファイルのFile headerを確認します。オフセット20からの4バイ…

RegistryとAccess bits

レジストリファイルのAccess Bitsを確認します。検証環境はWindows 10 1709です。 サンプルのレジストリキーをHKCU(NTUSER.DAT)配下に作成します。 yarp-printを利用し、Exampleキーを作成したNTUSER.DATをパースします。ExampleキーのAccess Bits値は2とな…

Registry Transaction LogとPlaso

Registry Explorerを利用する事で、レジストリのトランザクションログファイルを反映したハイブファイルを作成できます。 トランザクションログを反映した、SYSTEMハイブファイルを利用し、タイムラインを作成してみます。 トランザクションログを反映したSY…

Bam KeyとTransaction Log

HKLM\SYSTEM\CurrentControlSet\Services\bam\ キーを引き続き確認します。今回はレジストリのTransaction Logを、Registry Explorer/RECmd Version 1.0.0.0を使って参照したいと思います。 Live環境でのトランザクションログの取得には、RawCopyを利用しま…

bam key と Program execution

HKLM\SYSTEM\CurrentControlSet\Services\bam\ キーに記録される、プログラム実行の痕跡について検証された記事が下記で参照できます。 padawan-4n6.hatenablog.com 私もこのレジストリキーについて検証してみたいと思います。テスト環境は Windows 10 ver 1…