'Investigation'에 해당되는 글 10건
- 2012.06.28 Windows System Forensics - Registry
- 2010.07.29 Search the public IP adresses only
- 2009.12.06 Digital Forensics on TV
- 2009.11.17 디지털 포렌식 기술을 활용한 윈도우 시스템 조사 방법 2
- 2009.11.05 언론 공개와 수사기법
- 2009.10.07 Seagate HDD 생산일자 확인 2
- 2009.09.06 Examine Offline Windows Event Viewer Log File 2
- 2009.07.13 7/7 DDoS
- 2009.06.29 Pagefile.sys에서 찾을 수 있는 것들 2
- 2009.04.30 Evidence Found in System Volume Info
보호되어 있는 글입니다.
내용을 보시려면 비밀번호를 입력하세요.
내용을 보시려면 비밀번호를 입력하세요.
You want to make a keyword or search expression to find an any IP address except private IP adresses.
GREP will help you in this case.
10.0.0.0-10.255.255.255
172.16.0.0-172.31.255.255
192.168.0.0-192.168.255.255
There would have to be a ton of conditional statements when parsing a string to eliminate just these ranges.
The best I could come up with gets everything except the 10, 172 and 192 starting octets.
([1-9]|([11-171]|([173-191]|[193-255])))\.([1-2]?[0-9]?[0-9]\.){2}[1-2]?[0-9]?[0-9]
172\.([1-16]|[32-255])\.[1-2]?[0-9]?[0-9]\.[1-2]?[0-9]?[0-9]
This will grab everything in the 172 octet that was missed in the first search expression.
192\.([1-167]|[169-255])\.[1-2]?[0-9]?[0-9]\.[1-2]?[0-9]?[0-9]
This will grab everything in the 192 octet that was missed in the first expression.
To help you learn what this says:
(a|b) = Either "a" or "b". The "|" means OR.
((num0)|(num1)|((num2)|(num3))) = These can be stacked. A number will be matched if it meets any one of the three number conditions.
[1-9] = (num0) = means any numbers in the range of 1-9
[11-171] = (num1) = means any number in the range of 1-171
[173-191] = (num2) = means any number in the range of 173-191
[193-255] = (num3) = means any number in the range of 193-255
[173-191] = (num2) = means any number in the range of 173-191
[193-255] = (num3) = means any number in the range of 193-255
So this means any octet starting at 1 but not including 172 or 192 will be hit.
\. = the next character must be a "." (period)
([1-2]?[0-9]?[0-9]\.) = A "?" means the expression to the left is optional.
So this expression will match a number in the range of 0-299 followed by a period
(we know it only needs to cover 1-255 but this will match any of those numbers)
{2} = The previous expression has to be found twice, i.e. 0-299.0-299.
[1-2]?[0-9]?[0-9] = The final number has to be in the range 0-299
* [0-9] can be replaced by # or \d
'Investigation' 카테고리의 다른 글
| Windows System Forensics - Registry (0) | 2012.06.28 |
|---|---|
| Digital Forensics on TV (0) | 2009.12.06 |
| 디지털 포렌식 기술을 활용한 윈도우 시스템 조사 방법 (2) | 2009.11.17 |
| 언론 공개와 수사기법 (0) | 2009.11.05 |
| Seagate HDD 생산일자 확인 (2) | 2009.10.07 |
'Investigation' 카테고리의 다른 글
| Windows System Forensics - Registry (0) | 2012.06.28 |
|---|---|
| Search the public IP adresses only (0) | 2010.07.29 |
| 디지털 포렌식 기술을 활용한 윈도우 시스템 조사 방법 (2) | 2009.11.17 |
| 언론 공개와 수사기법 (0) | 2009.11.05 |
| Seagate HDD 생산일자 확인 (2) | 2009.10.07 |
종사자 분들은 다 아시는 내용이겠지만 공개된 장소에서 불특정 다수를 대상으로 하는 디지털 포렌식 기술 세미나는 좀 민감한 부분이 있을 수 있지 않나 생각해 봅니다.
또한 동일한 주제를 어떤식으로 강의하는지 궁금해지기도 하네요.
신청 (데브피아 가입이 필요합니다)
'Investigation' 카테고리의 다른 글
| Search the public IP adresses only (0) | 2010.07.29 |
|---|---|
| Digital Forensics on TV (0) | 2009.12.06 |
| 언론 공개와 수사기법 (0) | 2009.11.05 |
| Seagate HDD 생산일자 확인 (2) | 2009.10.07 |
| Examine Offline Windows Event Viewer Log File (2) | 2009.09.06 |
신문기사
정부의 정책(?) 탓인지 연일 정보보호 및 디지털 포렌식과 관련된 기사가 언론을 통해 공개되고 있습니다.
물론 저도 그렇게 공개된 기사를 통해 정보를 얻고는 하지만
가끔 몇몇 기사를 보면 수사기법을 너무 자세하게 공개하는 것이 아닌가 하는 생각이 들때가 많습니다.
마치 이렇게 찾을 수 있으니 이렇게 피해가라 라는 식의 Anti Forensic 을 장려(?)하는 느낌도 받는 것은 너무 유별난 생각일까요?
국민의 알권리와 범죄자에게 악용될 수 있는 정보의 제한적 공개에서 아슬아슬한 줄타기가 필요할 듯 합니다.
'Investigation' 카테고리의 다른 글
| Digital Forensics on TV (0) | 2009.12.06 |
|---|---|
| 디지털 포렌식 기술을 활용한 윈도우 시스템 조사 방법 (2) | 2009.11.17 |
| Seagate HDD 생산일자 확인 (2) | 2009.10.07 |
| Examine Offline Windows Event Viewer Log File (2) | 2009.09.06 |
| 7/7 DDoS (0) | 2009.07.13 |
포렌식 수사 도중 HDD의 제조사, P/N 및 S/N 뿐 아니라 제조일자도 참조해야 하는 경우가 생기곤 합니다.
일반적으로는 HDD Label에 제조일자가 표기되어 있지만
Seagate의 경우 Date Code라는 형태로 되어 있어 한눈에 알기 어렵습니다.
첨부된 사진의 경우 Date Code가 04102로 되어있는데 2004년 10월 2일 일까요? 아니면 2004년 1월 2일? 혹은 2002년 4월 10일?
Datecode를 해석하는 방법은 다음과 같습니다.
따라서 Date Code 04102는 회계년도 04년 10번째 주 두번째 요일에 생산된 제품임을 나타냅니다.
결국 2004년 7월 첫번째 토요일부터 10주 후의 두번째 요일인 2004년 9월 7일 일요일에 생산된 제품인 것입니다.
여기 몇가지 예를 더 들어 볼까요?
03242 ☞ 회계년도 03년 24째 주 두번째 요일 ☞ 2002년 12월 15일 일요일
0613 ☞ 회계년도 06년 첫째 주 세번째 요일 ☞ 2005년 7월 4일 월요일
다음의 Link를 통해 손쉽게 해석이 가능합니다 ☞ Bugaco
Google에서 검색하면 찾을 수 있는 별도의 Utility를 이용할 수도 있습니다.
이 Datecode 뿐 아니라 PCB의 부품을 통해서도 생산연도를 확인할 수 있습니다.
아래는 ST3120026A의 PCB 사진입니다. 누르면 커집니다. 원본출처 : longdata.ru
삼성의 메모리 칩 p/n K4S641632F-TC60 의 우측 상단에 340이라는 Date Code가 있습니다. ☞ 2003년 40주째 생산품입니다.
ST Micro의 MCU에는 F995Y0341 이라는 Data Code가 있습니다. ☞ 2003년 41주째 생산품입니다.
ST Micro의 BUX Diode에는 C335라는 Date Code가 있습니다. ☞ 2003년 35주째 생산품입니다.
ON Semiconductor의 NTF6P02T3 (F6P02) 에는 R39라는 Code가 있습니다. ☞ 지역코드 R에서 39번째 주에 생산된 제품입니다.
이같은 정황으로 볼 때 이 ST3120026A에 장착된 PCB는 2003년 41주, 혹은 그 이후에 생산되었음을 알 수 있습니다.
디지털 부품의 생산시점 및 장착시점은 포렌식 분석에 중요한 영향을 미치기도 합니다.
HDD 내의 F/W를 확인해도 가능하지만 이것이 힘들 경우, 제품 Label 뿐 아니라 부품 표면에서도 이러한 생산일자를 찾을 수 있는 표식들이 많이 있으며, 이러한 표식들을 조합하여 유의미한 정보로 산출하는 것이 디지털 수사관의 몫이라 할 수 있겠습니다.
일반적으로는 HDD Label에 제조일자가 표기되어 있지만
Seagate의 경우 Date Code라는 형태로 되어 있어 한눈에 알기 어렵습니다.
첨부된 사진의 경우 Date Code가 04102로 되어있는데 2004년 10월 2일 일까요? 아니면 2004년 1월 2일? 혹은 2002년 4월 10일?
Datecode를 해석하는 방법은 다음과 같습니다.
따라서 Date Code 04102는 회계년도 04년 10번째 주 두번째 요일에 생산된 제품임을 나타냅니다.
결국 2004년 7월 첫번째 토요일부터 10주 후의 두번째 요일인 2004년 9월 7일 일요일에 생산된 제품인 것입니다.
여기 몇가지 예를 더 들어 볼까요?
03242 ☞ 회계년도 03년 24째 주 두번째 요일 ☞ 2002년 12월 15일 일요일
0613 ☞ 회계년도 06년 첫째 주 세번째 요일 ☞ 2005년 7월 4일 월요일
다음의 Link를 통해 손쉽게 해석이 가능합니다 ☞ Bugaco
Google에서 검색하면 찾을 수 있는 별도의 Utility를 이용할 수도 있습니다.
SeagateDateCode.zip이 Datecode 뿐 아니라 PCB의 부품을 통해서도 생산연도를 확인할 수 있습니다.
아래는 ST3120026A의 PCB 사진입니다. 누르면 커집니다. 원본출처 : longdata.ru
삼성의 메모리 칩 p/n K4S641632F-TC60 의 우측 상단에 340이라는 Date Code가 있습니다. ☞ 2003년 40주째 생산품입니다.
ST Micro의 MCU에는 F995Y0341 이라는 Data Code가 있습니다. ☞ 2003년 41주째 생산품입니다.
ST Micro의 BUX Diode에는 C335라는 Date Code가 있습니다. ☞ 2003년 35주째 생산품입니다.
ON Semiconductor의 NTF6P02T3 (F6P02) 에는 R39라는 Code가 있습니다. ☞ 지역코드 R에서 39번째 주에 생산된 제품입니다.
이같은 정황으로 볼 때 이 ST3120026A에 장착된 PCB는 2003년 41주, 혹은 그 이후에 생산되었음을 알 수 있습니다.
디지털 부품의 생산시점 및 장착시점은 포렌식 분석에 중요한 영향을 미치기도 합니다.
HDD 내의 F/W를 확인해도 가능하지만 이것이 힘들 경우, 제품 Label 뿐 아니라 부품 표면에서도 이러한 생산일자를 찾을 수 있는 표식들이 많이 있으며, 이러한 표식들을 조합하여 유의미한 정보로 산출하는 것이 디지털 수사관의 몫이라 할 수 있겠습니다.
'Investigation' 카테고리의 다른 글
| 디지털 포렌식 기술을 활용한 윈도우 시스템 조사 방법 (2) | 2009.11.17 |
|---|---|
| 언론 공개와 수사기법 (0) | 2009.11.05 |
| Examine Offline Windows Event Viewer Log File (2) | 2009.09.06 |
| 7/7 DDoS (0) | 2009.07.13 |
| Pagefile.sys에서 찾을 수 있는 것들 (2) | 2009.06.29 |
Windows System Forensics 에서 중요한 OS Artifacts 중 하나는 .evt 형식을 가지는 Windows Event Viewer Log file 입니다.
자신의 시스템에서는 관리도구 -> 이벤트 뷰어, 혹은 실행 -> eventvwr.msc 로 접근가능합니다.
01
XP 시스템에서는 응용 프로그램, 보안, 시스템에 대한 로그를 확인할 수 있습니다. 단 보안항목은 기본적으로는 기록되지 않습니다.
012
Windows 내장 Event viewer 는 개별 .evt 파일도 확인할 수 있지만 다른 시스템에서 복사한 .evt 파일을 보려고 하면 이벤트 로그 파일이 손상되었다는 메시지와 함께 내용을확인할 수 없게 됩니다.
012
따라서 본인의 시스템이 아닌 다른 시스템의 이벤트 로그를 확인하기 위해서는 EnCase의 Event Log Parser EnScript 등과 같은 외부 Tool을 사용하게 됩니다.
Windows의 내장 Event Viewer를 사용하기 위해서는 .evt 파일을 Hex Editor 등으로 수정해줘야 합니다.
그중 가장 간단한 방법은 fixevt 라는 tool 을 사용하는 것입니다.
fixevt.exe사용형식은 다음과 같습니다.
실행 후 repaired 라는 메시지가 나오면 완료된 것입니다. 이후 개별 .evt 파일을 Windows Event viewer 에서 확인하실 수 있습니다.
fixevt 라는 간단한 Tool을 이용하여 offline event log file 을 내장 event viewer로 확인하는 방법을 확인해 보았습니다.
'Investigation' 카테고리의 다른 글
| 언론 공개와 수사기법 (0) | 2009.11.05 |
|---|---|
| Seagate HDD 생산일자 확인 (2) | 2009.10.07 |
| 7/7 DDoS (0) | 2009.07.13 |
| Pagefile.sys에서 찾을 수 있는 것들 (2) | 2009.06.29 |
| Evidence Found in System Volume Info (0) | 2009.04.30 |
보호되어 있는 글입니다.
내용을 보시려면 비밀번호를 입력하세요.
내용을 보시려면 비밀번호를 입력하세요.
Pagefile.sys에는 때로는 예상치도 못했던 정보를 찾을 수 있게 해줍니다.
특히 e-mail이나 Portal 등의 계정과 암호도 찾을 수 있습니다.
다음은 몇가지 유명한 서비스의 계정 암호정보의 패턴입니다.
날이 갈수록 휘발성 데이터의 취득이 더욱 빛을 발할 것 같습니다.
'Investigation' 카테고리의 다른 글
| 언론 공개와 수사기법 (0) | 2009.11.05 |
|---|---|
| Seagate HDD 생산일자 확인 (2) | 2009.10.07 |
| Examine Offline Windows Event Viewer Log File (2) | 2009.09.06 |
| 7/7 DDoS (0) | 2009.07.13 |
| Evidence Found in System Volume Info (0) | 2009.04.30 |
Vista에서는 Shadow Volume Copy 라고 해서 XP의 Restore Point와는 다르게 상당한 양의 문서도 백업을 해놓는다.
System Information Folder에서 그래픽 파일도 찾을 수 있다는 얘기
보통 파일이름은
Name{5fb8d4db-e92c-11dd-8b61-00214fb3e2f2}{3808876b-c176-4e48-b7ae-04046e6cc752}
이런식으로 발견된다.
그렇다면
C:\Users\<username>\AppData\Local\Microsoft\Windows\Explorer
로 찾아가서
Thumbnail DB를 마운팅 해본다.
빙고!
System Information Folder에서 그래픽 파일도 찾을 수 있다는 얘기
보통 파일이름은
Name{5fb8d4db-e92c-11dd-8b61-00214fb3e2f2}{3808876b-c176-4e48-b7ae-04046e6cc752}
이런식으로 발견된다.
그렇다면
C:\Users\<username>\AppData\Local\Microsoft\Windows\Explorer
로 찾아가서
Thumbnail DB를 마운팅 해본다.
빙고!
'Investigation' 카테고리의 다른 글
| 언론 공개와 수사기법 (0) | 2009.11.05 |
|---|---|
| Seagate HDD 생산일자 확인 (2) | 2009.10.07 |
| Examine Offline Windows Event Viewer Log File (2) | 2009.09.06 |
| 7/7 DDoS (0) | 2009.07.13 |
| Pagefile.sys에서 찾을 수 있는 것들 (2) | 2009.06.29 |
