Digital Forensics:What changes will affect file hash value changes.

Digital Forensics:What changes will affect file hash value changes.

ปัจจัยที่ทำให้ค่า hash เปลี่ยนแปลงในไฟล์

Exercise – To identify the hash values of files and how changes to the files will make changes to the hash value.

• Create file and identify hash value

MD5:  81dc9bdb52d04dc20036dbd8313ed055

• Create copy of file and identify hash value

MD5:  81dc9bdb52d04dc20036dbd8313ed055

• Make changes to file and identify new hash value. 
  

MD5: e10adc3949ba59abbe56e057f20f883e

ใช้ SIFT Workstation ในการทำทดสอบ  Hash

SIFT Workstation

#echo "Digital Forensics Examiner" > File0
(คำสั่ง echo ในการแสดงผลบนหน้าจอ)

 #cat File0

(คำสั่ง cat เป็นคำสั่งที่เอาไว้ใช้เพื่อแสดงผล เนื้อหาของไฟล์  บน Unix,Linux )

#md5sum File0 

(คำสั่ง md5sum คำนวณหาค่า md5 ของไฟล์)

echo "Digital Forensics Examiner"

echo "dforensic.blogspot" >> File0 (เขียนข้อความเพิ่มไฟในไฟล์)

cat File0

md5sum File0  (ค่า hash เปลียนไปเมื่อข้อมูลเปลี่ยน)

Md5sum file0

#mv File0 File1     
(mv เป็นคำสั่งที่ใช้สำหรับการย้ายแฟ้มข้อมูล)
#cat File1
#md5sum File1

Compare two files with Hash

 ls -l File1
-rw-rw-r--

• r คือ read
• w คือ write
• x คือ execute

chmod o+w file1
( chmod เป็นคำสั่งบน Linux ที่ใช้สำหรับกำหนดสิทธิ์ read, write หรือ execute ให้กับ file หรือ directory ว่าจะให้มีสิทธิ์ใช้งานแบบไหน และใช้งานโดยใคร)

ls -l File1
-rw-rw-rw-
(คำสั่ง ls ย่อมาจาก List คือ คำสั่งสำหรับแสดงรายชื่อแฟ้ม ขนาดแฟ้ม และข้อมูลเบื้องต้นของแต่ละแฟ้ม)
md5sum File1

หลังจากการแก้ไขการกำหนดสิทธิ์  ค่า hash ไม่เปลี่ยน

changed permission.

ปัจจัยที่ทำให้ค่า hash เปลี่ยนแปลงในไฟล

  1. ข้อมูลเปลี่ยน(Change Content)

Change Content Actually, only need to change one bit of the content; the hash will be totally different.

So rename and change Permission also does not change content of that file.

ค่าแฮช (hash value) คือ

ทำไมต้องมีฟังก์ชันแฮช?

ที่มา:edx
poundxi
saixiii

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics:Data Carving using Foremost

Digital Forensics:Data Carving using Foremost

Foremost  คือ

Foremost เป็นเครื่องมือตัวหนึ่งที่ใช้สำหรับงานทางด้าน Digital Forensics 

ถูกพัฒนา  Jesse Kornblum และ Kris Kendallขึ้นโดยหน่วยงาน Air Force Office of Special Investigations และ  Defense Computer Forensics Lab's carvthis program ของอเมริกา ในปัจจุบัน Foremost ได้ถูกเผยแพร่ให้บุคคลทั่วไปได้นำไปใช้งาน ถึงแม้ในขั้นต้น จะถูกพัฒนาขึ้นเพื่อให้ใช้ สำหรับหน่วยงานบังคับใช้กฎหมายเป็นหลักก็ตาม แต่ด้วยประโยชน์หลากหลาย จึงถูกนำไปใช้ในด้านอื่นๆ ด้วย

Foremost เป็นโปรแกรมที่ทำงานแบบ command line ถูกพัฒนาขึ้นเพื่อใช้บน แพลตฟอร์ม Linux 

หรือเราจะติดตั้ง ให้สามารถใช้งานบน Windows ก็ได้ สำหรับ Foremost นั้น ถูกนำมาใช้ในการกู้ไฟล์คืนกลับมา โดยดูจากลักษณะ Headers, Footers และ โครงสร้างภายในของไฟล์ประเภทนั้นๆ มันสามารถกู้คืน filetypes เฉพาะรวมทั้ง jpg, gif, png, bmp, avi, exe, mpg, wav, riff, wmv, mov, pdf, ole, doc, htm  โดยสามารถกำหนดค่า (โดยปกติจะอยู่ที่ /usr/local/etc/foremost.conf) ซึ่งสามารถใช้เพื่อกำหนดประเภทไฟล์เพิ่มเติม ซึ่งเราอาจเรียกการกู้ข้อมูลในลักษณะนี้ได้ว่าเป็นการทำ Data Carving

SIFT Workstation

สร้าง โฟรเดอร์ ชื่อ  Recove สำหรับเก็บไฟล์ฺ Output

Input & Output Folder

Type the following “foremost -t jpeg,doc -i Linux Financial Case.001 -o recove –v”.
พิมพ์คำสั่ง  #foremost -t jpeg,doc -i Linux Financial Case.001 -o recove –v



To break this down “-t” is setting the file types we want to carve out of the disk image, here those are .jpeg and .png.
-t คำสั่ง ชนิดของไฟล์ที่ต้องการค้นหา เช่น   jpg, gif, png, bmp, avi, exe, mpg, wav, riff, wmv, mov, pdf, ole, doc

“-i” is specifying the input file, the “Linux Financial Case.001” that is placed on the desktop.
-i คำสั่ง ระบุตำแหน่งของสำเนาหลักฐาน( forensic image   )  *.001 ,*.E01 ,*.raw ,*.dd

“-o” is telling Foremost where we want the carved files to be stored, for that we have the “recove” folder on the desktop that we made earlier.
-o คำสั่ง ระบุตำแหน่งโฟลเดอร์ปลายทาง (destination )ที่กู้ไฟล์มาได้  Output file


“-v” is to tell Foremost to log all the messages that appear on screen as the file is being carved into a text file in the output folder (recove) as an audit report.
-v คำสั่งให้แสดง Log report

เมื่อทำงานเสร็จจะแสดงรายละเอียดข้อมูลที่กุ้ได้

 ไฟล์ที่กู้ได้จะอยู่ในโฟรเดอร์ Recove  doc  และ JPG  และไฟล์ audit.txt

Out Put & Audit file

ไฟล์ JPEG ที่กู้ได้

 audit.txt  จะแสดงรายละเอียดของไฟล์ทั้งหมดที่กู้ได้

Foremost Report

Ref:
https://en.wikipedia.org/wiki/Foremost_(software)
https://www.forensicswiki.org/wiki/Foremost
https://bit.ly/2CTp9GU

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #DataRecovery