NTFSの$MFTファイルをパースするツール”MFTECmd”をEricさんがリリースしています。素晴らしいツールをありがとうございます！ <2018/6/27 Add>ｖ0.2.6.0がリリースされています</add> セキュリティキャンプ2018でE6トラックを選択する若者達には、ぜひ調査で利用し…

先週の続きです。 OSの日付を6月25日へ変更し、レコード削除を発生させます。 OSを再起動し、-wal ファイルがActivitiesCache.dbへ反映された状態にします。 ActivitiesCache.dbファイルをHEXで参照し、ファイル名を検索してみます。 DeleteSample.jpgを発見…

先週の続きです。 テスト環境は先週からずっとシャットダウンしていましたので、先ほど起動しました。 アクティビティの状態を確認します、アクティビティには何も表示されません。 ActivitiesCache.dbファイルをエクスポートします。ActivitiesCache.dbファ…