Guide to converting a VirtualBox Virtual Disk Image (.vdi) into a raw forensic image format

The step-by-step guide to converting a VirtualBox Virtual Disk Image (.vdi) into a raw forensic image format (.img/.dd) and verifying data integrity using MD5 and SHA256 hashing algorithms, based on your forensic lab artifacts.

Step 1: Navigate to the VirtualBox Directory

VirtualBox includes a powerful command-line utility called VBoxManage.exe. To use it, open your Command Prompt (cmd) as an Administrator and change the directory (cd) to the default VirtualBox installation path:

cd "C:\Program Files\Oracle\VirtualBox"

Step 2: Calculate Source File Hashes (Pre-Conversion)

Following digital forensic best practices, you must baseline the integrity of the original evidence file (FT4A.vdi) before performing any processing. Use the built-in Windows certutil tool to generate the baseline hashes:

Verify md5 Hash:

certutil -hashfile "G:\Virtual Machine\FT4A\FT4A.vdi" md5

Result: 3f 1a 68 7c da 78 fa cc f7 ae ca 01 c3 56 8e 5a

Verify SHA256 Hash:

certutil -hashfile "G:\Virtual Machine\FT4A\FT4A.vdi" sha256

Result: f5 70 a4 14 11 71 5b 44 ef 0b f7 63 16 91 0d 9c 12 6a 3c 5c 7f a2 47 c3 5c e3 37 27 fe 56 7a 3f




Step 3: Convert the .VDI File to Raw .IMG Format

Execute the clonehd or convertfromraw block manipulation command structure natively via VBoxManage. Pass your target virtual drive container path as the input source and point your final destination path to the uncompressed raw output sector target (--format raw):

VBoxManage convertfromraw "G:\Virtual Machine\FT4A\FT4A.vdi" "G:\Image from VDI.img" --format raw

Step 4: Verify Post-Conversion Evidence Integrity (Hash Matching)

To ensure that no data corruption, alteration, or bit-flipping occurred during the format migration process, calculate the cryptographic signature values of the newly generated raw output file (Image from VDI.img):

Verify MD5 Hash:

certutil -hashfile "G:\Image from VDI.img" md5

Result: 3f 1a 68 7c da 78 fa cc f7 ae ca 01 c3 56 8e 5a (Match)

Verify SHA256 Hash:

certutil -hashfile "G:\Image from VDI.img" sha256

Result: f5 70 a4 14 11 71 5b 44 ef 0b f7 63 16 91 0d 9c 12 6a 3c 5c 7f a2 47 c3 5c e3 37 27 fe 56 7a 3f (Match)

Conclusion: Because the checks for both MD5 and SHA256 line up perfectly with a 100% true identical correlation, data integrity has been verified.  

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#DataBreachCheck #คิดก่อนPrompt #AISecurity #NCSA2026

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

PowerShell Get-FileHash

เรียนรู้วิธีใช้คำสั่ง Microsoft PowerShell Get-FileHash โดยใช้ PowerShell ซึ่งจะใช้ได้กับไฟล์ทุกประเภท ไม่ว่าจะเป็น exe, msi, docx, pdf, iso และอื่นๆ

วิธีทำ  hash Checksum บน Windows (ไม่ต้องใช้แอพ)

Computes the hash value for a file by using a specified hash algorithm.

Download picture  SHA1: 9bcddbdc6e669ce7b3aaf031699fadcfed3eb6eb

PS#Get-FileHash D:\Lab\Hash\PIC1.jpg | Format-List

การใช้ Power Shell

1. กดWindows+Rเพื่อเปิดกล่องRun

2. พิมพ์powershel l แล้วคลิกตกลง

3. หน้าต่าง Windows PowerShell จะเปิดขึ้น

4. รันคำสั่งต่อไปนี้:

Examples 1: Compute the hash value for a file

This example uses the Get-FileHash cmdlet to compute the hash value for the /etc/apt/sources.list file. The hash algorithm used is the default, SHA256. The output is piped to the Format-List cmdlet to format the output as a list.

Get-FileHash /etc/apt/sources.list | Format-List Algorithm : SHA256 Hash : 3CBCFDDEC145E3382D592266BE193E5BE53443138EE6AB6CA09FF20DF609E268 Path : /etc/apt/sources.list

Example 2: Compute the hash value for a file

Compute the hash value for a PowerShell.exe file:

PS C:\> Get-FileHash $pshome\powershell.exe | Format-List

Algorithm : SHA256

Hash      : 6A785ADC0263238DAB3EB37F4C185C8FBA7FEB5D425D034CA9864F1BE1C1B473

Path      : C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

Example 3: Compute the hash value for an ISO file

This example uses the Get-FileHash cmdlet and the SHA384 algorithm to compute the hash value for an ISO file that an administrator has downloaded from the internet. The output is piped to the Format-List cmdlet to format the output as a list.

Get-FileHash C:\Users\user1\Downloads\Contoso8_1_ENT.iso -Algorithm SHA384 | Format-List Algorithm : SHA384 Hash : 20AB1C2EE19FC96A7C66E33917D191A24E3CE9DAC99DB7C786ACCE31E559144FEAFC695C58E508E2EBBC9D3C96F21FA3 Path : C:\Users\user1\Downloads\Contoso8_1_ENT.iso

Parameters

-Algorithm

Specifies the cryptographic hash function to use for computing the hash value of the contents of the specified file or stream. A cryptographic hash function has the property that it is infeasible to find two different files with the same hash value. Hash functions are commonly used with digital signatures and for data integrity. The acceptable values for this parameter are:

• SHA1
• SHA256
• SHA384
• SHA512
• MD5

Referent: https://learn.microsoft.com/

อ่านเพิ่มเติม:

• Hash function
• ค่าแฮช (hash value)

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

DIGITAL FORENSICS:Verify the integrity of files by calculating the hash value with OSForensics

OSForensics เป็นโปรแกรมที่พัฒนาโดย PassMark Software ซอฟต์แวร์นี้ช่วยให้ผู้ใช้ดึงหลักฐานทางนิติวิทยาศาสตร์ดิจิทัลออกจากคอมพิวเตอร์ด้วยการค้นหาไฟล์ขั้นสูงและการจัดทำดัชนี และช่วยให้สามารถจัดการข้อมูลนี้ได้อย่างมีประสิทธิภาพ ระบุไฟล์และกิจกรรมที่น่าสงสัยด้วยการจับคู่แฮช การเปรียบเทียบลายเซ็นของไดรฟ์ อีเมล หน่วยความจำ และข้อมูลไบนารี จัดการการตรวจสอบทางดิจิทัลของคุณและสร้างรายงานจากข้อมูลทางนิติดิจิทัลที่เก็บรวบรวมได้

มีฟังก์ชั่น Verify / Create Hash ใช้สำหรับตรวจสอบความสมบูรณ์ของไฟล์โดยการคำนวณค่าแฮช นอกจากนี้ยังสามารถใช้เพื่อสร้างแฮชของทั้งพาร์ติชัน (partition)หรือฟิสิคัลดิสก์ไดรฟ์ (physical disk drive)หรือสตริงข้อความธรรมดา

How to check the MD5 (or SHA1) hash checksum of an entire Volume.

1. Navigate to "Verify/Create Hash" from the sidebar or Start page in OSForensics
2. Select "Volume" and the disk/volume that was added in Step 2 from the dropdown list
3. Select the hash function and click the Calculate button
4. Once the hash has been calculated, copy/paste the expected hash value into the comparison hash field. If the hash matches, a green checkmark appears. Otherwise, a red cross is displayed

How to check the MD5 (or SHA1) hash checksum of file.

1. Navigate to "Verify/Create Hash" from the sidebar or Start page in OSForensics
2. Select "File"  leakage-answers.pdf
3. Select the hash function and click the Calculate button
4. Once the hash has been calculated, copy/paste the expected hash value into the comparison hash field. If the hash matches, a green checkmark appears. Otherwise, a red cross is displayed

How to check the MD5 (or SHA1) hash checksum of text.

 partition 

อ่านเพิ่มเติม

• การคัดกรองข้อมูลในหลักฐาน (Triage/Preview)
• แนะนำการ Rebuild RAID ด้วยโปรแกรม OSForensic 
• How to Wipe Hard Disk with OSforensics

Referent: Passmark

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

DIGITAL FORENSICS: MD5 conversion and reverse lookup

DIGITAL FORENSICS: MD5 conversion and reverse lookup

 

goto website  https://gromweb.com/

 

Insert MD5  71DF5A33EFFDEA5B1882C9FBDC1240C6  to Textbox

Reversed into the string:

 

Free Password Hash Cracker

 f8c83023e2d613426e3055db990aab5c48ce3764

rainbow table online tool

 

passwordsgenerator

SHA256 Hash Generator

AES Encryption and Decryption Online Tool(Calculator)

ref:

https://gromweb.com
https://crackstation.net

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

 

Digital Forensics:What changes will affect file hash value changes.

Digital Forensics:What changes will affect file hash value changes.

ปัจจัยที่ทำให้ค่า hash เปลี่ยนแปลงในไฟล์

Exercise – To identify the hash values of files and how changes to the files will make changes to the hash value.

• Create file and identify hash value

MD5:  81dc9bdb52d04dc20036dbd8313ed055

• Create copy of file and identify hash value

MD5:  81dc9bdb52d04dc20036dbd8313ed055

• Make changes to file and identify new hash value. 
  

MD5: e10adc3949ba59abbe56e057f20f883e

ใช้ SIFT Workstation ในการทำทดสอบ  Hash

SIFT Workstation

#echo "Digital Forensics Examiner" > File0
(คำสั่ง echo ในการแสดงผลบนหน้าจอ)

 #cat File0

(คำสั่ง cat เป็นคำสั่งที่เอาไว้ใช้เพื่อแสดงผล เนื้อหาของไฟล์  บน Unix,Linux )

#md5sum File0 

(คำสั่ง md5sum คำนวณหาค่า md5 ของไฟล์)

echo "Digital Forensics Examiner"

echo "dforensic.blogspot" >> File0 (เขียนข้อความเพิ่มไฟในไฟล์)

cat File0

md5sum File0  (ค่า hash เปลียนไปเมื่อข้อมูลเปลี่ยน)

Md5sum file0

#mv File0 File1     
(mv เป็นคำสั่งที่ใช้สำหรับการย้ายแฟ้มข้อมูล)
#cat File1
#md5sum File1

Compare two files with Hash

 ls -l File1
-rw-rw-r--

• r คือ read
• w คือ write
• x คือ execute

chmod o+w file1
( chmod เป็นคำสั่งบน Linux ที่ใช้สำหรับกำหนดสิทธิ์ read, write หรือ execute ให้กับ file หรือ directory ว่าจะให้มีสิทธิ์ใช้งานแบบไหน และใช้งานโดยใคร)

ls -l File1
-rw-rw-rw-
(คำสั่ง ls ย่อมาจาก List คือ คำสั่งสำหรับแสดงรายชื่อแฟ้ม ขนาดแฟ้ม และข้อมูลเบื้องต้นของแต่ละแฟ้ม)
md5sum File1

หลังจากการแก้ไขการกำหนดสิทธิ์  ค่า hash ไม่เปลี่ยน

changed permission.

ปัจจัยที่ทำให้ค่า hash เปลี่ยนแปลงในไฟล

  1. ข้อมูลเปลี่ยน(Change Content)

Change Content Actually, only need to change one bit of the content; the hash will be totally different.

So rename and change Permission also does not change content of that file.

ค่าแฮช (hash value) คือ

ทำไมต้องมีฟังก์ชันแฮช?

ที่มา:edx
poundxi
saixiii

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics: Hash function

Digital Forensics: (Hash function) ฟังก์ชันแฮช > LAB MD5

  จุดประสงค์ของ Lab MD5

   1. อะไรบ้างที่ทำให้ค่า  Hash เปลี่ยน

 ฟังก์ชันแฮช (อังกฤษ: hash function) คือวิธีการอย่างหนึ่งซึ่งทำให้ข้อมูลส่วนหนึ่งหรือทั้งหมด ให้กลายเป็นจำนวนเล็กๆ อันหนึ่งอย่างมีปฏิสัมพันธ์ ซึ่งจำนวนดังกล่าวเปรียบได้ว่าเป็น "ลายนิ้วมือ" ของข้อมูล ขั้นตอนวิธีของฟังก์ชันแฮชส่วนใหญ่จะเป็นการแบ่งย่อยข้อมูลและการผสมข้อมูลย่อยทั้งหมดเข้าด้วยกันเพื่อให้ได้ผลลัพธ์สุดท้าย ผลลัพธ์ดังกล่าวอาจเรียกว่า   ค่าแฮช (hash value)

         การสร้าง Signature นั้นอาศัยการทำHash Functionซึ่งเป็นฟังก์ชันที่มีบทบาทอย่างมากต่อการรักษาความมั่นคงปลอดภัยในเครือข่าย จากคุณสมบัติที่สำคัญหลายๆประการของฟังก์ชันแฮชนั้นพบว่า ฟังก์ชันแฮชมี คุณสมบัติหลักในการตรวจสอบความคงสภาพของข้อมูล

ทำไมต้องมีฟังก์ชันแฮช?

1. เพื่อใช้ตรวจสอบว่าข้อมูลมีการเปลี่ยนแปลงหรือไม่
2. เพื่อใช้เก็บข้อมูลสำหรับเปรียบเทียบ โดยการเปรียบเทียบข้อมูลจะทำได้รวดเร็วขึ้น
3. หากข้อมูลที่จะใช้เปรียบเทียบมีขนาดใหญ่มาก จะช่วยย่อข้อมูลให้เล็กลงได้มาก แต่ขึ้นอยู่กับวิธีของฟังก์ชันแฮช
4. อื่นๆ 

ชนิดของฟังก์ชันแฮช

1. MD5 (128bits) คิดค้นโดย Ronald Rivests
2. SHA1 (160bits) คิดค้นโดย National Security Agency : NSA
3. SHA2 (SHA-224, SHA-256, SHA-384, SHA-512) คิดค้นโดย National Security Agency : NSA
4. อื่นๆ

SHA-256 ย่อมาจาก Secure Hash Algorithmเป็นฟังก์ชันแฮชที่ถูกพัฒนาขึ้นหลังจาก MD5 แรกเริ่มพัฒนาเป็น SHA-1 ถัดมากลายเป็น SHA-256,และ SHA-512โดยปัจจุบันได้นำมาใช้แทน MD5
เนื่องจากมีความปลอดภัยที่สูงกว่าและแม่นยำกว่าซึ่งแก้ปัญหาการชนกันของค่าแฮช(Collision)ที่ข้อมูลสองข้อมูลมีค่าแฮชตรงกัน

ทำการ download Hash Tool  Hash Tool is a utility to calculate the hash of multiple files.
 1. ทำการติดตั้งโปรแกรม  Hash Tool

 

2. ทดสอบค่า MD5  hash กับไฟล์รูป ชื่อ chain of Custody.jpg
    MD5 = 4723fd6167cf3074e36981959e2b1d8e

3. ทำการ Rename ไฟล์รูป ชื่อ chain of Custody.jpg  เป็น chain.jpg
    run Hash  MD5 = 4723fd6167cf3074e36981959e2b1d8e   ค่าไม่เปลี่ยน

 

4. ทำการเพิ่มข้อมูลใน Properties Details (meta data) ในส่วน Title ,Subject ,Authors

  run Hash  MD5 = 9fd4e6c35217e30d4eaaee86a92b6939   ค่า เปลี่ยน

5. ทำการลบข้อมูลใน Properties Details (meta data) ในส่วน Title ,Subject ,Authors

  run Hash  MD5 = bf176eec3c4b2e29db1e29dfa3d7a9d5   ค่า เปลี่ยน

6 ทำการลบข้อมูล user  Account Unknown ใน Properties Security ในส่วน (permission)
  run Hash  MD5 = bf176eec3c4b2e29db1e29dfa3d7a9d5   ค่าไม่เปลี่ยน

7 ทำการเพิ่มข้อมูล user Everyoneใน Properties Security ในส่วน (permission)
  run Hash  MD5 = bf176eec3c4b2e29db1e29dfa3d7a9d5   ค่าไม่เปลี่ยน

สรุป  การทดสอบ ปัจจัยที่ทำให้ค่า  Hash เปลี่ยน

       1. แก้ไข content

  

 

อ้างอิง
https://www.thaicert.or.th/papers/technical/2012/pa2012te013.html
https://blog.inslash.com/%E0%B8%9F%E0%B8%B1%E0%B8%87%E0%B8%81%E0%B9%8C%E0%B8%8A%E0%B8%B1%E0%B8%99%E0%B9%81%E0%B8%AE%E0%B8%8A-hash-function-a985ed40351d

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #hash value  #MD5

Digital Forensics:National Software Reference Library (NSRL)

Digital Forensics:National Software Reference Library (NSRL)

           ท่านทราบมั้ยครับ ว่าหน่วยงาน NIST (US National Institute of Standards and Technology) ทำหน้า ที่รวบรวม Hash set ของ software สำคัญๆ ทั่วโลกเก็บไว้ เช่น ระบบปฎิบัติการต่างๆ หน่วยงานนี้มีชื่อว่า National Software Reference Library (NSRL) ซึ่งเป็นแหล่งข้อมูลที่สนับสนุนการสืบสวนทางนิติวิทยาศาสตร์แบบดิจิตอล จุดประสงค์เพื่อเก็บชุดข้อมูลซอฟท์แวร์ ในเวอร์ชันต่างๆมากมาย ในรูปแบบ hash set ไว้เพื่อเป็นประโยนชน์ ในการลดการตรวจสอบไฟล์ในระบบคอมพิวเตอร์  เพื่อแยกแยะและลดขั้นตอนการในการสืบสวนคดีอาชญากรรมไซเบอร์ และงานอื่นๆ

 

สำหรับใครที่ต้องใช้เครื่องมือในการตรวจสอบเทคโนโลยีทั้งหลาย ในนี้จะมีตัวอย่างในการหาเครื่องมือให้ตรงกับการใช้งาน

NIST Catalog

Computer Forensics Tools & Techniques Catalog

ทีมา: NIST
https://bit.ly/2r7nc3u

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud
หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

Digital Forensics:Hash function Lab

1.Find the md5 hash of the word "Iloveyou" MD5 Hash Generator

Ans: .................................................................................

2. Find the md5 hash of this image.  File Hash Online Calculator or  virustotal

Ans: ...................................................................................

3.Find the md5 hash of this exe file.

Ans: ...................................................................................

อ่านเพิ่มเติม: ค่าแฮช (hash value)

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #hashvalue #MD5