レジストリのバイナリ構造については追いかけてなかったので、ちょっと検索してみたところいくつか資料があるようなので、とりあえず URL のメモ。 The Windows NTRegistry File Format Version 0.4 http://sentinelchicken.com/data/TheWindowsNTRegistryF…

サンプルのマインドマップに、「6.Windows系コンピュータにおけるタイムスタンプの調査項目（案）マップ」が追加されています。タイムスタンプは幅が広いので、主にファイルシステムとレジストリなどの観点でまとめられています。若干ちゃんと埋まってない部…

今回 SANS の公開している資料がかなり役立ちました。 exFAT 構造解析 http://homepage3.nifty.com/k-takata/diary/exFAT.txtReverse Engineering the Microsoft exFAT File System http://www.sans.org/reading_room/whitepapers/forensics/reverse-enginee…

exFATではディレクトリエントリ（85タイプのレコード）に、CWA のタイムスタンプに関連してタイムゾーン情報が CWA 順に1バイトずつ保存されています。 日本のタイムゾーン（+9）の場合には、タイムゾーンの値として 0xA4 が設定されることになりますが、こ…

5バイト長の DOS タイムスタンプをデコードする場合、TimeLoad ツールを使えば簡単にデコードすることができると教えていただいたので忘れないうちにメモ。 TimeLord by Paul Tew A Time Utility for Forensic Analysts http://computerforensics.parsonage.…

exFATの作成日時については、分解能が 10ms になっているので、DOS タイムスタンプとしては 5バイト長になっています。（奇数秒まで取り扱えるようになっている）これまた EnCase の話になりますが、EnCase で exFAT の作成日時は 4バイト長の DOS タイムス…

exFAT ボリュームのフォーマット日時が識別できるか調べてみたのですが、該当するような情報は発見することができず。 ボリュームのフォーマット後、$RECYCLE.BIN フォルダが自動的に作成されるので、厳密ではないですが、$RECYCLE.BIN のタイムスタンプを確…

FNG では2回目となる exFAT の解析ですが、今回は主にディレクトリエントリにおけるタイムスタンプの取り扱いについて確認してみました。 すっかりメモをまとめるのが遅くなったので、若干失念している点があるかもしれませんが、間違っていたりすれば、きっ…

PDFファイルを暗号化（オープン時にパスワードを要求するように設定）した場合、ストリーム内容が暗号化されるので、\xFF \xD8 などのパターンがなくなり、バイナリ検索では JPEG 画像を検出することができません。 PDFファイルにパスワードを設定するコマン…

PDF にはファイルを添付する機能がありますが、この機能を使って PDF ファイルに画像ファイルが添付されている場合、どう検出するかをフォレンジック調査サンプルマインドマップに追加しておこうと思ったので、PDFHACKS 本のP244 辺りを読みながら pdftk ツ…

PDFファイル内のメタ（プロパティ）情報を編集・削除したいとか思ってツールを探していたのですが、隣の席な @fighting_pgさんに教えてもらった、下記ツールを忘れないうちにメモ。 このツールなかなか便利ですね。 BeCyPDFMetaEdit http://www.becyhome.de/…

お仕事ではOutlook使っている*1んですけど、一時ファイルの保存場所に関連したレジストリキーがあるんですね。 Blasting the blasted Outlook Secure Temporary file folder… http://grandstreamdreams.blogspot.com/2010/05/blasting-blasted-outlook-secur…

会社のセミナールームが利用中であることが判明したので、当初の予定を変更し 5/15(土)に開催したいと思います。オフラインとオンライン両方での開催になりますが、オンラインだとちょっとわかりにくいかも？ http://www.port139.co.jp/FNG/FNG13.pdf FNG13 …

今回、福島地裁は DVD にデータを保存していますけど、DVD って最近だと保存期限的には何年くらいなのかふと気になりました。使っているメディアの品質に依存する部分が大きいようですが、裁判だと数年とかすぐに経過するので、いざ使おうと思ったら経年劣化…

裁判所って「ハードディスク内蔵型のビデオカメラ」で撮影するんですね。それで取り込みか、取り込み作業段階でたぶん消してしまったのでドウシヨウモナイということなんでしょうか。ビデオカメラでライトブロック可能な装置付いているものがあればいいのか…