공장장과 함께하는 디지털 포렌식 이야기

파일 분석시 가장 기초적인 단계가 파일의 특성을 구분하는 것입니다.

간단하게는 확장자와 헤더값을 비교하는 Signature Analysis가 있겠고

그 뒤에 실행 파일 이라면 Packing 여부 및 PE 헤더의 확인, Prefetch 파일의 존재 여부 등이 있을 수 있습니다.

그 중 특정 파일의 중복 및 변조 여부를 확인하기 위해서 CRC 등의 체크섬이나 MD5, SHA1등의 Hash 값을 계산하는 방법이 있습니다.

얼마전 유출된 MS Windows 7의 경우도 각종 해적판이 난무하는 가운데 정식 유출본을 찾는데 이 Hash 값을 이용하라는 글들이 많이 올라왔습니다.

Hash 값을 계산하는 여러가지 프로그램이 있으나 (심지어는 EnCase -_-;; ) 추천하는 프로그램은

이번에 소개할 HashTab과 HashCheck 입니다.

HashTab

제작 : Cody Batt beta@beeblebrox.org

홈페이지 : http://beeblebrox.org/

버전 : 3.0.0

크기 : 799,610 Byte (MD5 : 5845F52D425C75E232B1AD5EE3B189A8)

지원환경 : Windows XP 이상, OSX 10.4 이상

다운로드 : http://beeblebrox.org/HashTab%20Setup.exe (Windows)


               http://beeblebrox.org/hashtab_10.4_universal_1.0.0.dmg.gz (MAC 이라지만 관심이 없다)

라이센스 : Free ( 설치 시 다음의 말에 동의해야 함 : Hash Tab is the coolest thing ever! )


굴러다니는(-_-) ISO 파일에 대한 HashTab 결과입니다.

탐색기 내에서 특정 파일의 문맥메뉴를 이용하면 "파일해시"라는 탭이 생기며 해당 탭에서 Hash 계산 결과를 보여줍니다.


마우스 오른쪽 버튼을 누르면 Copy All 과 설정 메뉴를 선택할 수 있습니다.

이름 그대로 Copy All을 선택하면 Hash 계산 결과가 클립보드에 저장됩니다. 물론 특정 Hash 계산값만 선택하여 따로 복사할 수 도 있습니다.



설정을 선택하면 HashTab에서 계산할 알고리즘을 선택할 수 있습니다. 초기 설정값은 CRC32, MD5, SHA-1 입니다.

지원되는 알고리즘은 다음과 같습니다.

Adler32, CRC32, HAVAL, MD2, MD4, MD5, RIPEMD-128, RIPEMD-256, RIPEMD-320, SHA-1, SHA-256, SHA-384, SHA-512, Tiger, Whirlpool


또한 현재 파일과 다른 파일의 Hash 값을 비교할 수 있습니다.

원하는 Hash 알고리즘을 선택한 다음 비교하고자 하는 파일을 Drag & Drop 하면 됩니다.


MD5 에 맞춰놓고 하면 MD5 값 결과를 보여줍니다. 다른 파일을 비교하였더니 빨간 X 로 값이 다르다는 것을 시각적으로 보여줍니다.


CRC32에 맞춰 놓고 하면 CRC32 값에 대해서 비교를 해줍니다. 계산값이 동일하면 초록색 V 마크가 표시됩니다.

간편하게 다양한 Hash 계산을 할 수 있는 HashTab 입니다.

Lance Mueller 의 blog에 공개된 내용입니다.

EnCase로 조사를 수행하다 보면 중복된 파일을 필터링해야할 필요가 있습니다.

EnCase에서 기본으로 제공하는 필터인 "Unique Files by Hash"가 있긴 하지만 이 필터는 Case 내의 모든 파일에 적용되는 필터입니다.

Lance Mueller가 수정한 EnScript에서는 선택한 파일을 대상으로만 필터가 적용됩니다.

필터 창에서 새로만들기로 붙여넣어주시면 됩니다.

class MainClass { NameListClass HashList; bool UserCancel; MainClass() : HashList() { if (SystemClass::CANCEL == SystemClass::Message(SystemClass::ICONINFORMATION | SystemClass::MBOKCANCEL, "Unique Files By Hash", "Note:\nFiles must be hashed prior to running this filter.")) UserCancel = true; } bool Main(EntryClass entry) { if (UserCancel) return false; if (entry.IsSelected()){ HashClass hash = entry.HashValue(); if (!HashList.Find(hash)) new NameListClass(HashList, hash); else return false; return true; } else return false; } }

이전다음

012