Friday, September 23, 2016

Digital Forensics: hiberfil.sys

Digital Forensics: hiberfil.sys

 Hybernate เป็น Functionที่มีมาพร้อมกับระบบ Windows โดยหน้าที่ของ Function นี้คือระบบ Windows จะทำการ Snap shot สถานะการทำงานล่าสุดที่เราได้ทำไว้โดยทำการบันทึกลงไปในไฟล์ hiberfil.sys
 
ข้อดีของ Hibernate คือช่วยให้การ shutdown และเปิดระบบใหม่ เป็นไปได้เร็วขึ้นในกรณีที่เราทำงานค้างอยู่แล้วต้องการเปิดเครื่องให้กลับมาพร้อมในสถานะเหมือนเดิมทุกอย่าง
ข้อเสียของ Hibernate คือจะต้องการพื้นที่จำนวนหนึ่งสำหรับสำรองข้อมูลเพื่อเปิดระบบให้กลับสู่สถานะปัจจุบัน
 
ในทาง Digital Forensics นั้นพบว่า พบข้อมูลสำคัญใน hiberfil.sys วันนี้เราจะทำการทดสอบดูว่าเราพบอะไรอยู่บ้าง
ทดลอง เข้า website http://www.sans.org  และ login  ในเครื่องคอมพิวเตอร์ Windows 7 ที่เปิดการทำงาน Hibernate

1.    User ทำการ Login User pass   “ Windows 7
2.    User, Pass เข้า website http://www.sans.org  และ login  หลายเว็ป 
3.   ทำการปิดเครื่องตอมพิวเตอร์แบบ Hibernate
4.    ทำ forensic Image (สำเนาข้อมูล) จาก  Hiberfil.sys จาก User ทำการ Hibernate  เครื่องไว้ 
5.    ทำการค้นหา จาก Image  โดยใช้ FTK Imager  ค้นหา  key search  user password
6.    พบ user และ  password  ที่login เข้า website ที่เก็บอยู่ใน  Hiberfil.sys
6.    ทำการค้นหา user และ  password  ของwindows จาก Image  โดยใช้ FTK Imager  ค้นหา  key search  HEX
7.    พบ user และ  password  ที่เก็บอยู่ แบบ NTLM Hash  คือ  A0 3E 9F F1 A9 FF -- -- FE E2 BE 88 0E 62 07 62
 
8.     ทำการทดสอบ password ที่ได้มาว่า ถูกหรือไม่   โดยพิมพ์ clear text password  ที่ login windows  ในช่อง Enter password  ลงไปแล้ว gen  และเปรียนเทีบยค่าที่ได้   ค่าตรงกับ LM Hash ตามการทดลอง 
    สรุป พบว่า ข้อมูลที่พบใน Hiberfil.sys เป็นข้อมูลที่อยู่ใน memory ขณะเครื่องคอมพิวเตอร์เปิดอยู่จึงมีข้อมูลสำคัญถูกเก็บเมื่อทำการปิดเครื่องแบบ  Hibernate  ผู้ตรวจสอบจึงไม่ควรมองข้ามที่จะตรวจสอบและพบข้อมูลสำคัญๆในไฟล์นี้

Referent
http://www.mvpskill.com/kb/%E0%B8%A7%E0%B8%B4%E0%B8%98%E0%B8%B5%E0%B8%A5%E0%B8%9A%E0%B9%84%E0%B8%9F%E0%B8%A5%E0%B9%8C-hiberfil-sys.html
https://technical.nttsecurity.com/post/102dwiw/hibernation-and-page-file-analysis
http://www.hackingarticles.in/forensics-analysis-of-pagefile-and-hibersys-file-in-physical-memory/
https://asecuritysite.com/encryption/lmhash


หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud#DForensics-Examiner

Tuesday, September 20, 2016

Digital Forensics: คำศัพท์เฉพาะทางทางด้านพิสูจน์พยานหลักฐานดิจิทัล Digital Forensics

Digital Forensics: คำศัพท์เฉพาะทางทางด้านพิสูจน์พยานหลักฐานดิจิทัล 

คำศัพท์เฉพาะทางทางด้านพิสูจน์พยานหลักฐานดิจิทัล 

 
A

accounting fraud การทุจริตทางการเงิน
advances ความก้าวหน้า
alterations การแก้ไข
analysis การวิเคราะห์
authentication systems ระบบการยืนยันบุคคลตัวจริง 
authenticity verification ความเป็นเจ้าของ 
Admissibility of Evidence การรับฟังพยานหลักฐาน
automated fingerprint ลายพิมพ์นิ้วมืออัตโนมัติ 
Authentication of Evidence การยืนยันว่าเป็นพยานหลักฐานที่แท้จริง ,
การพิสูจน์ความถูกต้องของหลักฐาน
Anti-Static Bag ถุงป้องกันไฟฟ้าสถิต  

B

backdoor  ใน ทางความมั่นคงของระบบคอมพิวเตอร์ หมายถึง รูรั่วของระบบรักษาความมั่นคง ที่ผู้ออกแบบหรือผู้ดูแลจงใจทิ้งไว้ โดยเป็นกลไกลลับทางซอฟต์แวร์หรือฮาร์ดแวร์ที่ใช้ข้ามผ่านการควบคุมความมั่นคง แต่อาจเปิดทางให้ผู้ไม่ประสงค์ดีสามารถเข้ามาในระบบและก่อความเสียหายได้

C
case studies. กรณีศึกษา
characteristics ลักษณะ
civil law กฎหมายแพ่ง
civil procedure law กฎหมายวิธีพิจารณาความแพ่ง
collection การเก็บรวบรวม
collisions การชน
commission of a crime การประกอบอาชญากรรม
comparative automated fingerprint การตรวจเปรียบเทียบลายพิมพ์นิ้วมืออัตโนมัติ
compare evidence เปรียบเทียบพยานหลักฐาน
computer fraud การฉ้อโกงทางคอมพิวเตอร์
computer network systems ระบบเครือข่ายคอมพิวเตอร์
computer security system ระบบความปลอดภัยคอมพิวเตอร์
conclusion การสรุปผล
connections การเชื่อมโยง
control of criminal justice agencies การควบคุมหน่วยงานในกระบวนการยุติธรรม
conviction การลงโทษ
court ศาล
crime อาชญากรรม
crime analysis การวิเคราะห์อาชญากรรม
crime patterns รูปแบบอาชญากรรม
crime scene analysis การวิเคราะห์ในสถานที่เกิดเหตุ
crime scene investigation การตรวจสถานที่เกิดเหตุ
crime scene photography การถ่ายภาพในสถานที่เกิดเหตุ
crime scene protection การรักษาสถานที่เกิดเหตุ
crime scene reconstruction การประมวลเหตุการณ์ในสถานที่เกิดเหตุ
crime scene search การค้นหาในสถานที่เกิดเหตุ
criminal law กฎหมายอาญา
criminal justice administration การบริหารงานยุติธรรมทางอาญา
criminal procedures กระบวนการทางอาญา
criminal procedure law กฎหมายวิธีพิจารณาความอาญา
criminalistics การพิสูจน์หลักฐาน
cryptographic system ระบบการเข้ารหัส

Computer Forensic คือ การ ค้นหา และเก็บหลักฐานทางดิจิตอลที่อยู่ในอุปกรณ์คอมพิวเตอร์ เช่น ไฟล์ที่อยู่ใน พีซี โน้ตบุ๊ก หรือพีดีเอเป็นต้น หรือหลักฐานดิจิตอลที่ถูกสร้างจากระบบคอมพิวเตอร์ เช่น บันทึกการใช้งานโทรศัพท์ ข้อมูลของการใช้อินเทอร์เน็ตเป็นต้น ซึ่งหลักฐานทั้งหมดนี้จะถูกนำมาวิเคราะห์ว่าหลักฐานนี้เกิดขึ้นเมื่อไหร จากอะไร ตอนนี้ใช้ทำอะไร และถูกใช้โดยใครเป็นต้น โดยการทำ Computer Forensic จะประกอบไปได้ด้วย การเก็บหลักฐาน การพิสูจน์ความถูกต้องของหลักฐาน และการวิเคราะห์หลักฐานเพื่อนำเสนอในชั้นศาล 

Compliance คือ การปฏิบัติตามกฎระเบียบข้อบังคับ และ กฎหมาย ตลอดจนการปฏิบัติตามนโยบายด้านสารสนเทศและความปลอดภัยขององค์กรอย่างถูกต้อง ได้ตามมาตรฐาน ยกตัวอย่าง เช่น การปฏิบัติตามประกาศมาตรฐานการรักษาความมั่นคงปลอดภัยในการประกอบธุรกรรมอิเล็กทรอนิกส์โดยคณะกรรมการธุรกรรมอิเล็กทรอนิกส์ และ การจัดทำแผน เพื่อรองรับ พรบ.และพรฎ. ด้านความปลอดภัยทางอิเล็กทรอนิกส์ 

 
 Cloud คลาวด์ หมายถึง เซิร์ฟเวอร์ของผู้ให้บริการบนอินเทอร์เน็ต ซึ่งกระจายอยู่ตามที่ต่าง ๆ ทั่วโลก จะให้พื้นที่กับผู้ใช้เพื่อเก็บข้อมูลต่าง ๆ ไว้บนเน็ต แล้วดึงมาใช้งานได้ในทุกอุปกรณ์และทุกเวลา

Cybercrime (อาชญากรรมทางไซเบอร์) หมายถึง การกระทำผิดใด ๆ ที่เกี่ยวข้องกับคอมพิวเตอร์และเครือข่ายคอมพิวเตอร์ หรือการใช้คอมพิวเตอร์เพื่อกระทำผิดทางอาญา เช่น ทำลาย เปลี่ยนแปลง หรือขโมยข้อมูลต่าง ๆ รวมถึงระบบเครือข่ายที่ถูกเชื่อมโยงทุกสิ่งทุกอย่างเข้าสู่โลกอินเทอร์เน็ต เพื่อแสวงหาผลประโยชน์อย่างผิดกฎหมายโดยทางตรงและทางอ้อม

D
data mining เหมืองข้อมูล
data representation การแทนค่าข้อมูล
database system ระบบฐานข้อมูล
data warehouse คลังข้อมูล
deciphering indent impressions of writing การอ่านรอยกดเขียน
detecting สืบหา
determination การตรวจหา
diagnosis การวินิจฉัย
diagnostic methods for DNA วิธีการวินิจฉัยดีเอ็นเอ
digital image processing การประมวลผลภาพดิจิตัล
digital photography system ระบบการถ่ายภาพดิจิตัล
dimensions มิติ
document processing การประมวลผลเอกสาร

Data Forensic การพิสูจน์หลักฐานข้อมูลซึ่งมักใช้แทนกันได้กับการพิสูจน์หลักฐานทางคอมพิวเตอร์เป็นการศึกษาข้อมูลดิจิทัลและวิธีการสร้างและใช้งานเพื่อการสอบสวน

E

electric circuits วงจรไฟฟ้า
electromagnetic waves คลื่นแม่เหล็กไฟฟ้า
electron microscope กล้องจุลทรรศน์อิเล็กตรอน
emphasized เน้น
erasure การขูดลบ
estimation การประมาณค่า
ethical จริยธรรม
ethics จริยธรรม
evaluation การประเมิน
events เหตุการณ์
events surrounding เหตุการณ์แวดล้อม
evidence หลักฐาน
evidence identification พยานหลักฐาน
evidence, documentary    พยานเอกสาร 
Evidence Collection Form บันทึกการยึดหลักฐาน 
Evidence preservation    การสงวนและรักษาวัตถุพยาน
Evidence, Criminal    พยานหลักฐานในคดีอาญา
Evidence, Expert    พยานหลักฐานจากผู้เชี่ยวชาญ
evidence in rebuttal    พยานหลักฐานเพื่อหักล้าง
examination of handwriting การตรวจพิสูจน์ลายมือ
expert witness พยานผู้ชำนาญการ
expert witness in court พยานผู้ชำนาญการในชั้นศาล
exploratory เชิงการตรวจสอบ
exploratory data analysis การวิเคราะห์ข้อมูลเชิงการตรวจสอบ

F

financial fraud การทุจริตทางการบัญชี
fingerprint ลายพิมพ์นิ้วมือ
fingerprint classification การจำแนกประเภทของลายพิมพ์นิ้วมือ
fingerprint identification การตรวจเปรียบเทียบลายพิมพ์นิ้วมือ
fingerprint ลายนิ้วมือ
fingerprint collection การเก็บรวบรวมลายพิมพ์นิ้วมือ
forecasting of crime patterns การพยากรณ์รูปแบบอาชญากรรม
forensic accounting การบัญชีทางนิติวิทยาศาสตร์
forensic finance การเงินทางนิติวิทยาศาสตร์
forensic science นิติวิทยาศาสตร์
forensic science history ประวัตินิติวิทยาศาสตร์
forensic scientists นักนิติวิทยาศาสตร์
forgery การปลอมแปลงเอกสาร
forgery detection การตรวจการปลอมแปลง
foundations กระบวนการ
fraud การฉ้อโกง
fraud examination techniques เทคนิคการตรวจสอบการทุจริต 
fundamental biometric systems ระบบไบโอเมทริกซ์เบื้องต้น 
fundamentals of fingerprint ความรู้พื้นฐานของลายพิมพ์นิ้วมือ
Forensic Duplicator ชุดทำสำเนาข้อมูล
Faraday Bag ถุงป้องกันคลื่นแม่เหล็กไฟฟ้า
Forensic Artifact :ข้อมูลใด ๆ ที่อยู่ในสื่อบันทึก หรือร่องรอยทางกายภาพใด ๆ ที่เกิดจากการปฏิสัมพันธ์ระหว่างสิ่งสองสิ่งและสามารถใช้ในการประกอบการทานิติวิทยาศาสตร์เพื่อพิสูจน์ข้อเท็จจริงหรือหาความกระจ่างให้กับเรื่องที่กาลังสนใจอยู่ได้


G
gather รวบรวม

H
handwriting ลายมือเขียนข้อความ
hot spots พื้นที่เสี่ยงภัย
hypotheses สมมติฐาน
hypotheses testing การทดสอบสมมติฐาน

 
I
identification การตรวจพิสูจน์
identification of individual การพิสูจน์เอกลักษณ์บุคคล
image attribute การใช้ภาพอ้างอิง
image capture devices อุปกรณ์ในการจับภาพ
image enhancements การทำภาพให้ชัดเจน
indented impressions การตรวจอ่านรอยกดบนกระดาษ
indexing การทำดรรชนี
individual project โครงการศึกษารายบุคคล
information systems ระบบสารสนเทศ
information technology เทคโนโลยีสารสนเทศ
information technology security ความปลอดภัยของเทคโนโลยีสารสนเทศ
information technology security laws กฎหมายเกี่ยวกับความปลอดภัยของเทคโนโลยีสารสนเทศ
integrity ความเป็นหนึ่งเดียว
internet อินเตอร์เน็ต
internet crime อาชญากรรมทางอินเตอร์เน็ต
interpretation of results การแปลผล
investigation การสืบสวน
investigation techniques เทคนิคการสืบสวน


L
laboratory ห้องปฏิบัติการ
latent fingerprint ลายพิมพ์นิ้วมือแฝง
latent fingerprint collections from evidence การเก็บลายพิมพ์นิ้วมือแฝงจากพยานหลักฐาน
laws กฎหมาย
legal เชิงนิติศาสตร์
linking the suspect document การเชื่อมโยงเอกสารพิรุธ


M

management การจัดการ
manners พฤติการณ์
mapping crime investigation การทำแผนที่ในการสืบสวนทางอาชญากรรม
method วิธี
models แบบจำลอง
motion การเคลื่อนที่
Memory Dump Tool เครื่องมือทำสำเนาหน่วยความจำ
Mobile Phone Forensics Tool เครื่องมือตรวจวิเคราะห์โทรศัพท์เคลื่อนที่
Malware  (malicious software) หมายถึง ไวรัส หนอนอินเตอร์เน็ต และโทรจัน ที่มีพฤติกรรมรบกวนและสร้างความเสียหายแก่ระบบเครื่องคอมพิวเตอร์


N

network systems ระบบเครือข่าย
network security ความปลอดภัยของเครือข่าย
Net (เน็ต) มาจากคำว่า อินเทอร์เน็ต (Internet) หมายถึง ระบบเครือข่าย ขนาดใหญ่ที่เชื่อมโยงกันทั่วโลก เมื่ออุปกรณ์ต่างๆ เชื่อมต่อเข้ามาใน ระบบเครือข่ายอินเทอร์เน็ตก็จะสามารถสื่อสารกันได้จากทุกมุมโลก ผ่านโปรแกรมหรือแอพต่างๆ


O
obliterations การลบล้าง
observation การสังเกตการณ์
obstacles อุปสรรค

P

performance ประสิทธิภาพ
perpetrator of a crime ผู้ประกอบอาชญากรรม
person identification การพิสูจน์บุคคล
photograph ภาพถ่าย
physical evidence พยานหลักฐานทางกายภาพ
preparation การเตรียม
preservation of evidence การรักษาพยานหลักฐาน
printing ลายพิมพ์
Print Out สิ่งพิมพ์ออก
privacy ความเป็นส่วนตัว
procedures research วิธีการวิจัย
processes กระบวนการ
processing algorithms อัลกอริทึมของการประมวลผล
protection การป้องกัน
professional หลักวิชาชีพ
proof การพิสูจน์
Print Out สิ่งพิมพ์ออก
public safety ความปลอดภัยของสาธารณะ
Phishing คือ การปลอมแปลง e-mailหรือ web site รูปแบบหนึ่ง โดยส่วนใหญ่จะมีวัตถุประสงค์ที่จะต้องการข้อมูลข่าวสารต่างๆ โดยส่วนมากข่าวสารที่คนส่ง phishing ต้องการมาก คือ user,  Password และหมายเลขบัตรเครดิต โดย phishing ส่วนมากจะเสแสร้งว่ามาจากบริษัทที่มีความน่าเชื่อถือหรือว่ามาจากบริษัทที่เหยื่อเป็นสมาชิกอยู่ โดยบริษัทที่มักจะโดนบ่อยก็ได้แก่  eBay.com,  PayPal.com  และonline banks ต่าง ๆ
ฟิชชิ่ง (Phishing) หมายถึง การหลอกโดยใช้เหยื่อล่อ (เปรียบกับการตกปลา (Fishing)) ให้ไปที่หน้าเว็บปลอมแล้วกรอกชื่อและรหัสผ่านของบริการต่างๆ แล้วดักจับเอาไป


R
research design การออกแบบการวิจัย
research hypothesis การตั้งสมมติฐานการวิจัย
research methodology ระเบียบวิธีวิจัย
response การตอบสนอง
retrieval การสืบค้น
retrieving การค้นคืน
rules of evidence กฎของพยานหลักฐาน
rules of evidence relating to fraud กฎของพยานหลักฐานที่เกี่ยวกับการทุจริต
   

S
sample ตัวอย่าง
searching การค้นหา
security ความปลอดภัย
seminar สัมมนา
seminar in Forensic science สัมมนานิติวิทยาศาสตร์
signatures ลายมือชื่อ
source determination การกำหนดแหล่งที่มา
specific methods วิธีการตรวจพิเศษ
storage การจัดเก็บ
storing การจัดเก็บ

Spam mail   คือ การส่งข้อความที่ไม่เป็นที่ต้องการให้กับคนจำนวนมากๆจากแหล่งที่ผู้รับไม่ เคยรู้จักหรือติดต่อมาก่อน โดยมาก มักอยู่ในรูปของ E-mail ทำให้ผู้รับรำคาญใจและเสียเวลาในการลบข้อความเหล่านั้นแล้ว Spam mail ยังทำให้ประสิทธิภาพการขนส่งข้อมูลบนอินเทอร์เน็ตลดลงด้วย 

Social Network (โซเชียลเน็ตเวิร์ก) หมายถึง สังคมออนไลน์ที่ผู้คนมารวมตัวกันบนอินเทอร์เน็ตผ่านโปรแกรมหรือแอพต่าง ๆ เช่น Facebook, Twitter, Instragram

 
T
techniques used to detect เทคนิคที่ใช้สืบค้นตรวจพิสูจน์
testimony examination techniques เทคนิคการสอบปากคำ
testing การทดสอบ
training in court การฝึกในชั้นศาล


U
undercover การจารกรรม
underlying pattern recognition concepts แนวคิดทางการรู้จำรูปแบบ
unique เป็นหนึ่งเดียว

V

Virtual Private Network คือ เป็นเทคโนโลยีการเชื่อมต่อเครือข่ายนอกอาคาร (WAN – Wide Area Network) เป็นระบบเครือข่ายภายในองค์กร ซึ่งเชื่อมเครือข่ายในแต่ละสาขาเข้าด้วยกัน โดยอาศัย Internetเป็นตัวกลาง มีการทำ Tunneling หรือ การสร้างอุโมงค์เสมือนไว้รับส่งข้อมูล มีระบบเข้ารหัสป้องกันการลักลอบใช้ข้อมูล เหมาะสำหรับองค์กรขนาดใหญ่ ซึ่งต้องการความคล่องตัวในการติดต่อรับส่งข้อมูล

เครือข่ายเสมือนที่ยอมให้กลุ่มของ site สามารถสื่อสารกันได้ นโยบายในการใช้งานใน VPN ถูกกำหนดโดยชุดของ admin policies ที่จุดทำขึ้นโดยสมาชิกในกลุ่มนั้น หรือถูกกำหนดอย่างเบ็ดเสร็จโดย Service Provider (SP) site ดังกล่าวอาจอยู่ภายในองค์กรเดียวกันหรือต่างองค์กรก็ได้ หรือ VPN อาจเป็น intranet หรือ extranet site ดังกล่าวอาจอยู่ในมากกว่าหนึ่ง VPN ก็ได้หรือ VPN อาจทับกัน, ทุก site ไม่จำเป็นต้องอยู่ภายใต้ SP เดียวกัน, VPN อาจกระจายอยู่หลาย SP  

ทีมา :  
:คำศัพท์เฉพาะทางทางด้านนิติวิทยาศาสตร์ (Forensic Science) คณะนิติวิทยาศาสตร์ Forensic Science RPCA
บทที่ 9 หน้า 206 มีอธิบายคำศัพท์ "คู่มือ Cyber Security สำหรับประชาชน"

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud


DIGITAL FORENSICS: BINWALK CTF

 DIGITAL FORENSICS: BINWALK CTF วันนี้แอดมาแนะนำหลักสูตร ด้านความมั่นคงปลอดภัยไซเบอร์ (Basic Cyber security) สำหรับผู้เริ่มต้นศึกษามี Lab ให...