PowerShell Get-FileHash

เรียนรู้วิธีใช้คำสั่ง Microsoft PowerShell Get-FileHash โดยใช้ PowerShell ซึ่งจะใช้ได้กับไฟล์ทุกประเภท ไม่ว่าจะเป็น exe, msi, docx, pdf, iso และอื่นๆ

วิธีทำ  hash Checksum บน Windows (ไม่ต้องใช้แอพ)

Computes the hash value for a file by using a specified hash algorithm.

Download picture  SHA1: 9bcddbdc6e669ce7b3aaf031699fadcfed3eb6eb

PS#Get-FileHash D:\Lab\Hash\PIC1.jpg | Format-List

การใช้ Power Shell

1. กดWindows+Rเพื่อเปิดกล่องRun

2. พิมพ์powershel l แล้วคลิกตกลง

3. หน้าต่าง Windows PowerShell จะเปิดขึ้น

4. รันคำสั่งต่อไปนี้:

Examples 1: Compute the hash value for a file

This example uses the Get-FileHash cmdlet to compute the hash value for the /etc/apt/sources.list file. The hash algorithm used is the default, SHA256. The output is piped to the Format-List cmdlet to format the output as a list.

Get-FileHash /etc/apt/sources.list | Format-List Algorithm : SHA256 Hash : 3CBCFDDEC145E3382D592266BE193E5BE53443138EE6AB6CA09FF20DF609E268 Path : /etc/apt/sources.list

Example 2: Compute the hash value for a file

Compute the hash value for a PowerShell.exe file:

PS C:\> Get-FileHash $pshome\powershell.exe | Format-List

Algorithm : SHA256

Hash      : 6A785ADC0263238DAB3EB37F4C185C8FBA7FEB5D425D034CA9864F1BE1C1B473

Path      : C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

Example 3: Compute the hash value for an ISO file

This example uses the Get-FileHash cmdlet and the SHA384 algorithm to compute the hash value for an ISO file that an administrator has downloaded from the internet. The output is piped to the Format-List cmdlet to format the output as a list.

Get-FileHash C:\Users\user1\Downloads\Contoso8_1_ENT.iso -Algorithm SHA384 | Format-List Algorithm : SHA384 Hash : 20AB1C2EE19FC96A7C66E33917D191A24E3CE9DAC99DB7C786ACCE31E559144FEAFC695C58E508E2EBBC9D3C96F21FA3 Path : C:\Users\user1\Downloads\Contoso8_1_ENT.iso

Parameters

-Algorithm

Specifies the cryptographic hash function to use for computing the hash value of the contents of the specified file or stream. A cryptographic hash function has the property that it is infeasible to find two different files with the same hash value. Hash functions are commonly used with digital signatures and for data integrity. The acceptable values for this parameter are:

• SHA1
• SHA256
• SHA384
• SHA512
• MD5

Referent: https://learn.microsoft.com/

อ่านเพิ่มเติม:

• Hash function
• ค่าแฮช (hash value)

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

How to collect network traffic logs with Wireshark

How to collect network traffic logs with Wireshark 

วิธีรวบรวมบันทึกการรับส่งข้อมูลเครือข่ายด้วย Wireshark

 

ดาวน์โหลดและติดตั้งแอปพลิเคชันจากเว็บไซต์ WireShark

เปิดแอปพลิเคชันแล้วคลิกปุ่มตัวเลือก The Capture options button ใน Wireshark

เลือกอินเทอร์เฟซเครือข่ายหนึ่งรายการหรือหลายรายการสำหรับการรวบรวมบันทึก และคลิกเริ่ม( Start)

หากต้องการเลือกอินเทอร์เฟซเครือข่ายหลายรายการ ให้กด Ctrl บนแป้นพิมพ์ค้างไว้ และเลือกอินเทอร์เฟซที่ต้องการจากรายการ  และคลิกเริ่ม( Start)

คลิก หยุดการจับแพ็กเก็ต Stopping the packet capture.

 

เลือกไฟล์ → บันทึกเป็น และบันทึกไฟล์ในรูปแบบเริ่มต้น(default format.)

เพิ่มไฟล์ลงในไฟล์เก็บถาวร

บันทึกการรับส่งข้อมูลเครือข่ายจะถูกเก็บรวบรวม

ทีมา :   Capturing Live Network Data

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

 Email Header Analysis IP Tracker 

Email Header Analysis Tool

Sample I

Email Header Analysis tool  to trace the origin of an email and gain valuable insights into its journey. Simply paste the email header into the form below to uncover details like the sender’s IP address, mail servers, and email path. If you need help extracting the header, 

Email Header Analysis by  iptrackeronline 

1.Open the email message

2. Click Show Original.

IP Lookup Email (SPF)

3. Copy and paste the header information into the Email Header Analysis Engine, and click Submit header for analysis.

Photo by :iptrackeronline

Geographical Info

 

Email Header Info

Photo by :iptrackeronline

Information Gathering

Photo by :iptrackeronline

Sample II 

Email Header Analysis by  Header Analyzed

Photo by :mxtoolbox.com

Relay Information

Photo by :mxtoolbox.com

Headers Found

Photo by :mxtoolbox.com

Photo by :mxtoolbox.com

SPF and DKIM Information

Photo by :mxtoolbox.com

อ่านเพิ่มเติม: Email Forensics Tools

ทีมา :   iptrackeronline

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

Digital Forensics:DumpMe Lab—Memory Forensics Writeup— Cyber Defenders

Cyberdefenders: DumpMe

Description

One of the SOC analysts took a memory dump from a machine infected with a meterpreter malware. As a Digital Forensicators, your job is to analyze the dump, extract the available indicators of compromise (IOCs) and answer the provided questions.

Q1 What is the SHA1 hash of Triage-Memory.mem (memory dump)?

#shasum Triage-Memory.mem 

Ans: c95e8cc8c946f95a109ea8e47a6800de10a27abd 

Q2: What volatility profile is the most appropriate for this machine? (ex: Win10x86_14393)

We can use the imageinfo  plugins to determine the proper profile of Triage-Memory.mem.

vol.py -f Triage-Memory.mem imageinfo

Q9 What is the LM hash of Bob's account?

#vol.py -f Triage-Memory.mem --profile=Win7SP1x64 procdump hashdump | grep "Bob"

Bob:1000:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

User: Bob

LM:aad3b435b51404eeaad3b435b51404ee

Make a file on your computer and copy/paste Bob_account’s hash in there. 

We will use Hashcat to crack it. Look through Hashcat’s mode LIST and you’ll see that NTLM is mode 1000:

Make sure you have the rockyou.txt list saved on your system before we start.

#hashcat -m 1000 <hash file location> <wordlist file location>

In a few seconds we will have our password (up top after the hash).

If you’d like an easier alternative, use CrackStation.

*ขออภัยที่ทำไม่เสรฺ็จ ค่อยกลับมาทำใหม่ครับ

BlueTeam CTF Challenges - CyberDefenders

ที่มา:   cyberdefenders.org 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

DIGITAL FORENSICS: Breaking Password and Encryption

DIGITAL FORENSICS: Breaking Password and Encryption

#sb_release -a

Example 1.Brute-Force Attacks

We will create & compress a text file name text.txt into a password-protected ZIP file named Protected.zip, with the password kali. The command we will be using is zip --encrypt Protected.zip text.txt.

• zip – Selects the tool we want to use
• –encrypt – Selections the function of the tool we want to use. ‘Encrypt’ will encrypt our ZIP archive and require a password to decrypt the contents.
• Protected.zip – The name of the outputted ZIP file.
• text.txt – The file we want to compress.

#zip --encrypt Protected.zip Desktop/text.txt 

Brute-Force Attacks

fcrackzip is a fast password cracker partly written in assembler. It is able to crack password protected zip files with brute force or dictionary based attacks, optionally testing with unzip its results. It can also crack cpmask’ed images.

This package is useful for pentesters, ethical hackers and forensics experts.

How to install: sudo apt install fcrackzip

#fcrackzip -h

Known Characters:

• If you recall parts of the password, fcrackzip can use this information to reduce cracking time: 
• -l denotes the password length(in this case, between 1 and 4 characters), กำหนดความยาวของค่ารหัสผ่าน
• [-b| — brute-force] ต้องการทำ Brute Force
• -c defines the character set (a for lower-case). โดยการกำหนดรูปแบบที่เป็นตัวอักษร เริ่มต้นด้วย a
• -u ทำการ Brute Force สำเร็จจะ unzip file โดยจะทำการแสดงรหัสออกมา

#fcrackzip -b Protected.zip -u -c a -l 1-4 –u

PASSWORD FOUND!!!!: pw == kali

Example 2. Brute-Force Attacks

#zip --encrypt Protected.zip Desktop/text.txt 

#fcrackzip -b Protected.zip -u -c a1 -l 1-4 –u

Example 3.Dictionary Attacks

In this example, our target ZIP is topsecret.zip  with the password monkeybutts. Here’s the command we’ll be using.

• fcrackzip – Selecting the tool we want to use.
• -D – Selecting the option for a dictionary attack.
• -u – This makes sure fcrackzip actually tries to unzip the file, without this we won’t actually get the right password.
• -p – Use strings as password.
• /usr/share/wordlists/rockyou.txt – This is the location of our wordlist, required to perform a dictionary attack.
• topsecret.zip – The file we want to crack.

#fcrackzip -D -u -p Downloads/rockyou.txt Downloads/topsecret.zip 

fcrackzip tells us that it has found the correct password

we can now successfully extract the contents of the file.

Credit:  kali 

หมายเหตุ: เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD #คดีอาชญากรรมคอมพิวเตอร์ #พยานหลักฐานดิจิทัล