공장장과 함께하는 디지털 포렌식 이야기

Lance Mueller 의 blog에 공개된 내용입니다.

EnCase로 조사를 수행하다 보면 중복된 파일을 필터링해야할 필요가 있습니다.

EnCase에서 기본으로 제공하는 필터인 "Unique Files by Hash"가 있긴 하지만 이 필터는 Case 내의 모든 파일에 적용되는 필터입니다.

Lance Mueller가 수정한 EnScript에서는 선택한 파일을 대상으로만 필터가 적용됩니다.

필터 창에서 새로만들기로 붙여넣어주시면 됩니다.

class MainClass { NameListClass HashList; bool UserCancel; MainClass() : HashList() { if (SystemClass::CANCEL == SystemClass::Message(SystemClass::ICONINFORMATION | SystemClass::MBOKCANCEL, "Unique Files By Hash", "Note:\nFiles must be hashed prior to running this filter.")) UserCancel = true; } bool Main(EntryClass entry) { if (UserCancel) return false; if (entry.IsSelected()){ HashClass hash = entry.HashValue(); if (!HashList.Find(hash)) new NameListClass(HashList, hash); else return false; return true; } else return false; } }

이전다음

012

EnCase 6.13의 Case Processor 중 분석 초기에 자주 사용되는 Windows Initialize Case 를 사용시 결과가 제대로 나오지 않는 오류가 있었습니다. -> 클릭


북마크에 빈 폴더만 생성이 되고 Console 화면에서는 "Case Processor took 0 minutes 0 seconds." 라는 메시지가 보입니다.

상세한 오류 내용은 다음과 같습니다.
Defect 27423: The Case Processor/Windows Initialize Case script returns an empty folder if the device searched has the operating system on the second partition Defect 27807: The results of the Case Processor/Windows Initialize Case script are not exported to XML output properly Defect 27781: An error message was encountered when attempting to export the results of the Case Processor/Windows Initialize Case script to XLS (Excel)


현재 GSI에서 오류를 수정한 Script를 배포하고 있습니다. --> 클릭

편의를 위하여 이곳에도 올려놓겠습니다.


포함된 파일의 Hash 값은 다음과 같습니다.
File Name: GSI_SweepCaseLib.EnScript MD5: d799a22520717ef112a588a6cafafcb3 File Name: GSI_ResolveExcelLib.EnScript MD5: 3ba2b34d148289ef47adf198946a13bf File Name: GSI_Reg_InitializeCaseEnterpriseModule.EnScript MD5: 9fdd30c71024b220d4f215465f7605f8 File Name: GSI_Reg_InitializeCaseModule.EnScript MD5: 9afb66b984801a1eb8823de286c21e6c


파일 교체 이후에는 이전버전과 마찬가지로 정상 동작합니다.

평소와 달리(?) 20일만에 패치를 적용해준 GSI의 민첩성(-_-)에 감사드립니다.