KaliLinux-フォレンジックツール

この章では、KaliLinuxで利用可能なフォレンジックツールについて学習します。

p0f

p0fは、対象のデバイスがパケットファイアウォールの背後にある場合でも、キャプチャされたパケットを調べるだけでターゲットホストのオペレーティングシステムを識別できるツールです。P0fは、直接または間接を問わず、追加のネットワークトラフィックを生成しません。名前の検索はありません。不思議なプローブはありません。ARINクエリはありません。何も。上級ユーザーの手で、P0fはファイアウォールの存在、NATの使用、およびロードバランサーの存在を検出できます。

タイプ “p0f – h” ターミナルで使用方法を確認すると、次の結果が得られます。

利用可能なインターフェースも一覧表示されます。

次に、次のコマンドを入力します。 “p0f –i eth0 –p -o filename”

パラメータが "-i" 上記のインターフェース名です。 "-p" 無差別モードであることを意味します。 "-o" 出力がファイルに保存されることを意味します。

アドレス192.168.1.2のWebページを開きます

結果から、Webサーバーがapache 2.xを使用しており、OSがDebianであることがわかります。

pdf-parser

pdf-parserは、PDFドキュメントを解析して、分析されたpdfファイルで使用される基本的な要素を識別するツールです。PDFドキュメントはレンダリングされません。PDFパーサーの教科書のケースにはお勧めしませんが、それで問題は解決します。通常、これは、スクリプトが埋め込まれていると思われるPDFファイルに使用されます。

コマンドは-

pdf-parser  -o 10 filepath

ここで、「-o」はオブジェクトの数です。

次のスクリーンショットでわかるように、PDFファイルはCMDコマンドを開きます。

ダンプジラ

DumpzillaアプリケーションはPython3.xで開発されており、Firefox、Iceweasel、およびSeamonkeyブラウザーのすべてのフォレンジックな興味深い情報を抽出して分析することを目的としています。

ddrescue

あるファイルまたはブロックデバイス(ハードディスク、CD-ROMなど)から別のファイルにデータをコピーし、読み取りエラーが発生した場合に最初に適切な部分をレスキューしようとします。

ddrescueの基本的な操作は完全に自動化されています。つまり、エラーを待ったり、プログラムを停止したり、新しい位置から再起動したりする必要はありません。

ddrescueのmapfile機能を使用すると、データは非常に効率的にレスキューされます(必要なブロックのみが読み取られます)。また、いつでもレスキューを中断して、後で同じ時点で再開できます。マップファイルは、ddrescueの有効性の重要な部分です。何をしているのかわからない場合は使用してください。

コマンドラインは-

dd_rescue infilepath  outfilepath

パラメータ "–v" 冗長を意味します。 "/dev/sdb"レスキューするフォルダです。ザ・img file 復元された画像です。

DFF

これは、ファイルを回復するために使用される別のフォレンジックツールです。GUIもあります。開くには、次のように入力します“dff-gui” ターミナルで次のWebGUIが開きます。

[ファイル]→[エビデンスを開く]をクリックします。

次の表が開きます。「Rawフォーマット」にチェックを入れ、「+」をクリックして、復元したいフォルダを選択します。

次に、ペインの左側にあるファイルを参照して、何が回復されたかを確認できます。