NTFS-Analyse

Sie untersuchen hierfür das in Praktikum 2 erstellte Image partition_1.dd. Bestätigen Sie zunächst die Unverändertheit der Partition.

Wir bestimmen die Unverändertheit der Partition, indem wir die Hashsumme berechnen und mit unseren Notizen abgleichen.

$ sha256sum partition_1.dd 
cc224419f690065a653efa9cb58dbf546b72e7db752fe71229bfb4d11dd8e685  partition_1.dd

Die Hashsummen stimmen überein. An partition_1.dd ist somit keine Veränderung vorgenommen worden.

Schreiben Sie anschließend den ersten Block der Partition nach partition_1_boot.dd und vermerken Sie dessen Hashwert.

$ dd if=partition_1.dd of=partition_1_boot.dd bs=512 count=1
1+0 Datensätze ein
1+0 Datensätze aus
512 Bytes (512 B) kopiert, 4,2755e-05 s, 12,0 MB/s

$ sha256sum partition_1_boot.dd 
3465621fa66dfbebd42a10e53473eeee45ed10916de4980dc4799c2b08c043f6  partition_1_boot.dd

Da wir in den folgenden Aufgaben den Hexdump benötigen, geben wir ihn an dieser Stelle gleich vollständig aus.

$ xxd partition_1_boot.dd 
0000000: eb52 904e 5446 5320 2020 2000 0208 0000  .R.NTFS    .....
0000010: 0000 0000 00f8 0000 3f00 ff00 0008 0000  ........?.......
0000020: 0000 0000 8000 8000 ff17 9c00 0000 0000  ................
0000030: 0000 0400 0000 0000 0200 0000 0000 0000  ................
0000040: f600 0000 0100 0000 4e70 500e 9b50 0e5c  ........NpP..P.\
0000050: 0000 0000 fa33 c08e d0bc 007c fbb8 c007  .....3.....|....
0000060: 8ed8 e816 00b8 000d 8ec0 33db c606 0e00  ..........3.....
0000070: 10e8 5300 6800 0d68 6a02 cb8a 1624 00b4  ..S.h..hj....$..
0000080: 08cd 1373 05b9 ffff 8af1 660f b6c6 4066  ...s......f...@f
0000090: 0fb6 d180 e23f f7e2 86cd c0ed 0641 660f  .....?.......Af.
00000a0: b7c9 66f7 e166 a320 00c3 b441 bbaa 558a  ..f..f. ...A..U.
00000b0: 1624 00cd 1372 0f81 fb55 aa75 09f6 c101  .$...r...U.u....
00000c0: 7404 fe06 1400 c366 601e 0666 a110 0066  t......f`..f...f
00000d0: 0306 1c00 663b 0620 000f 823a 001e 666a  ....f;. ...:..fj
00000e0: 0066 5006 5366 6810 0001 0080 3e14 0000  .fP.Sfh.....>...
00000f0: 0f85 0c00 e8b3 ff80 3e14 0000 0f84 6100  ........>.....a.
0000100: b442 8a16 2400 161f 8bf4 cd13 6658 5b07  .B..$.......fX[.
0000110: 6658 6658 1feb 2d66 33d2 660f b70e 1800  fXfX..-f3.f.....
0000120: 66f7 f1fe c28a ca66 8bd0 66c1 ea10 f736  f......f..f....6
0000130: 1a00 86d6 8a16 2400 8ae8 c0e4 060a ccb8  ......$.........
0000140: 0102 cd13 0f82 1900 8cc0 0520 008e c066  ........... ...f
0000150: ff06 1000 ff0e 0e00 0f85 6fff 071f 6661  ..........o...fa
0000160: c3a0 f801 e809 00a0 fb01 e803 00fb ebfe  ................
0000170: b401 8bf0 ac3c 0074 09b4 0ebb 0700 cd10  .....<.t........
0000180: ebf2 c30d 0a41 2064 6973 6b20 7265 6164  .....A disk read
0000190: 2065 7272 6f72 206f 6363 7572 7265 6400   error occurred.
00001a0: 0d0a 4e54 4c44 5220 6973 206d 6973 7369  ..NTLDR is missi
00001b0: 6e67 000d 0a4e 544c 4452 2069 7320 636f  ng...NTLDR is co
00001c0: 6d70 7265 7373 6564 000d 0a50 7265 7373  mpressed...Press
00001d0: 2043 7472 6c2b 416c 742b 4465 6c20 746f   Ctrl+Alt+Del to
00001e0: 2072 6573 7461 7274 0d0a 0000 0000 0000   restart........
00001f0: 0000 0000 0000 0000 83a0 b3c9 0000 55aa  ..............U.

Ermitteln Sie Sektor- und Clustergröße.

• Sektorgröße (Offset 11-12): 0002 = 0x0200 = 512 Byte pro Sektor
• Clustergröße (Offset: 13): 08 = 0x08 = 8 Sektoren pro Cluster

Wir verfizieren unsere Berechnung durch fsstat.

$ fsstat partition_1.dd

[...]

METADATA INFORMATION
--------------------------------------------
First Cluster of MFT: 262144
First Cluster of MFT Mirror: 2
Size of MFT Entries: 1024 bytes
Size of Index Records: 4096 bytes
Range: 0 - 16832
Root Directory: 5

[...]

Wie ist die Größe des Dateisystems in Byte?

• Dateisystemgröße (Offset 40-47): ff17 9c00 0000 0000 = 0x9c17ff = 10.229.759 HDD-Blöcke
• 10.229.759 HDD-Blöcke = 5.237.636.608 Byte
• 5.237.636.608 Byte ≈ 5.114.879 KiB ≈ 4.995 MiB ≈ 4,9 GiB

Wir verfizieren unsere Berechnung durch fsstat.

$ fsstat partition_1.dd

[...]

CONTENT INFORMATION
--------------------------------------------
Sector Size: 512
Cluster Size: 4096
Total Cluster Range: 0 - 1278718
Total Sector Range: 0 - 10229758

[...]

In welchem Cluster liegt der Beginn der MFT?

• Clusterbeginn (Offset 48-55): 0000 0400 0000 0000 = 0x40000 = 262.144

Wir verifizieren unsere Berechnung durch fsstat.

$ fsstat partition_1.dd

[...]

METADATA INFORMATION
--------------------------------------------
First Cluster of MFT: 262144
First Cluster of MFT Mirror: 2
Size of MFT Entries: 1024 bytes
Size of Index Records: 4096 bytes
Range: 0 - 16832
Root Directory: 5

[...]

Wie lässt sich mittels dd ein 10 Byte langes Passwort in den letzten 10 Byte des MFT-Eintrags der $MFT verstecken? Wie lautet dieser Befehl fur $MFTMirr?

Zunächst schauen wir uns die letzten Bytes des MFT-Eintrags an, um später die Ergebnisse nachvollziehen zu können.

$ xxd  -skip 1073741824 -l 1024 partition_1.dd 

[...]

400003e0:0000 0000 0000 0000 0000 0000 0000 0000  ................
400003f0:0000 0000 0000 0000 0000 0000 0000 6600  ..............f.

Die letzten beiden Bytes des MFT-Eintrags sind bereits belegt. Diese dürfen wir nicht verändern, daher überspringen wir nun 1073742836 Bytes (262144*4096+1012).

$ dd if=passwort.txt of=partition_1.dd seek=1073742836 bs=1 count=10 conv=notrunc
10+0 Datensätze ein
10+0 Datensätze aus
10 Bytes (10 B) kopiert, 6,3537e-05 s, 157 kB/s

Wir überprüfen nun unsere Arbeit, indem wir uns den Hexdump am Ende nochmals anschauen.

$ xxd  -skip 1073741824 -l 1024 partition_1.dd 

[...]

400003e0:0000 0000 0000 0000 0000 0000 0000 0000  ................
400003f0:0000 0000 3150 4153 5357 4f52 4431 6600  ....1PASSWORD1f.

Das Kopieren war also erfolgreich. Für $MFTMirr müssten wir den Offset lediglich weitere 1024 Byte weiterschieben, um die Änderung dort ebenfalls vorzunehmen.

Wie lassen sich die ersten 100 MFT-Einträge herausschreiben?

Hierfür müssen wir zunächst bestimmen, wie groß ein MFT-Eintrag ist. Die Information dazu steht am Offset 64 im MFT.

$ xxd -skip 64 -l 1 partition_1.dd 
0000040: f6

Als Dezimalzahl würde dies 246 bedeuten. Das macht auf den ersten Blick keinen großen Sinn. Nach einer kurzen Recherche hat sich ergeben, dass diese Zahl vorzeichenbehafted (signed) ist und daher erstmal umgewandelt werden muss. Hierfür invertieren wir alle Bits und addieren 1 darauf. Danach verwenden wir das Resultat als Exponent für 2ⁿ, um die Eintragsgröße zu ermitteln.

1. 11110110 → 00001001
2. 00001001 + 1 = 00001010
3. 00001010 = 10
4. 2¹⁰ = 1024 Byte

Wir wissen nun, dass ein Record 1024 Byte groß sein muss. Für dd bedeutet dies, dass wir 102400 Byte herausschreiben müssen für 100 Records.

# icat partition_1.dd 0 | dd of=einhundert.dd bs=1024 count=100
100+0 Datensätze ein
100+0 Datensätze aus
102400 Bytes (102 kB) kopiert, 0,00724432 s, 14,1 MB/s

Was ist ein ADS?

NTFS ermöglicht sogenannte Alternate Data Streams (ADS). Mit dieser Funktion können Daten vom Benutzer unsichtbar fest an eine Datei gebunden gespeichert werden. An jede Datei können beliebig viele andere Dateien angehängt werden, die nicht sichtbar sind, aber – solange der Vorgang innerhalb von NTFS-Laufwerken stattfindet – zusammen mit der Datei verschoben und kopiert werden. Der Zugriff auf die versteckten Dateifragmente findet mit einem Doppelpunkt statt: beispiel.txt:meinedatei.txt kennzeichnet einen zu der Datei beispiel.txt gehörigen Datenstrom namens meinedatei.txt. Neben Dateien können auch Ordner zusätzliche Datenströme enthalten..https://de.wikipedia.org/wiki/Alternativer_Datenstrom

Wie lasst sich unter Zuhilfenahme des Sleuthkit herausfinden, ob eine Datei einen ADS verwendet?

Mit fls können wir uns alle Dateien auf dem Dateisystem anzeigen lassen. Ein ADS ist am Doppelpunkt zwischen den Dateinamen zu erkennen. Beispielhaft suchen wir nun nach einer Datei, die auf g endet und einen ADS besitzt.

$ fls -f ntfs -r partition_1.dd | grep g:
+ r/r 7821-128-5:	Edoofy.jpeg:PasswortSteganos

Wollen wir uns den Inhalt des ADS ansehen, müssen wir diesen über die Metadata Address ansprechen. Die 7821 steht für die Inode, die 128 für den Attribute Type und die 5 für eine einzigartige ID.

$ icat -f ntfs partition_1.dd 7821-128-5
"W)5S_DXitLN" 

Welche Informationen über die Datei mit der Inode-Nummer 3727 können Sie aus der MFT gewinnen?

$ icat partition_1.dd 0 | xxd -l 1024 -skip 3816448
03a3c00: 4649 4c45 3000 0300 ada3 a002 0000 0000  FILE0...........
03a3c10: 0300 0200 3800 0100 2002 0000 0004 0000  ....8... .......
03a3c20: 0000 0000 0000 0000 0500 0000 8f0e 0000  ................
03a3c30: 0200 0000 0000 0000 1000 0000 6000 0000  ............`...
03a3c40: 0000 0000 0000 0000 4800 0000 1800 0000  ........H.......
03a3c50: 06f7 5f0e 5a4b cf01 00fd d9ba f507 c901  .._.ZK..........
03a3c60: 06f7 5f0e 5a4b cf01 06f7 5f0e 5a4b cf01  .._.ZK...._.ZK..
03a3c70: 2000 0000 0000 0000 0000 0000 0000 0000   ...............
03a3c80: 0000 0000 9901 0000 0000 0000 0000 0000  ................
03a3c90: 0000 0000 0000 0000 3000 0000 7800 0000  ........0...x...
03a3ca0: 0000 0000 0000 0300 5a00 0000 1800 0100  ........Z.......
03a3cb0: 8e0e 0000 0000 0300 06f7 5f0e 5a4b cf01  .........._.ZK..
03a3cc0: 06f7 5f0e 5a4b cf01 06f7 5f0e 5a4b cf01  .._.ZK...._.ZK..
03a3cd0: 06f7 5f0e 5a4b cf01 0000 0000 0000 0000  .._.ZK..........
03a3ce0: 0000 0000 0000 0000 2000 0000 0000 0000  ........ .......
03a3cf0: 0c02 5700 4900 4e00 4400 4f00 5700 7e00  ..W.I.N.D.O.W.~.
03a3d00: 3100 2e00 4a00 5000 4700 6900 7200 6100  1...J.P.G.i.r.a.
03a3d10: 3000 0000 c000 0000 0000 0000 0000 0200  0...............
03a3d20: a600 0000 1800 0100 8e0e 0000 0000 0300  ................
03a3d30: 06f7 5f0e 5a4b cf01 06f7 5f0e 5a4b cf01  .._.ZK...._.ZK..
03a3d40: 06f7 5f0e 5a4b cf01 06f7 5f0e 5a4b cf01  .._.ZK...._.ZK..
03a3d50: 0000 0000 0000 0000 0000 0000 0000 0000  ................
03a3d60: 2000 0000 0000 0000 3201 5700 6900 6e00   .......2.W.i.n.
03a3d70: 6400 6f00 7700 7300 2000 5800 5000 2000  d.o.w.s. .X.P. .
03a3d80: 5000 6900 7200 6100 7400 6500 6400 2000  P.i.r.a.t.e.d. .
03a3d90: 4500 6400 6900 7400 6900 6f00 6e00 2000  E.d.i.t.i.o.n. .
03a3da0: 2d00 2000 3400 3b00 3300 2000 5300 6300  -. .4.;.3. .S.c.
03a3db0: 7200 6500 6500 6e00 2000 4600 6f00 7200  r.e.e.n. .F.o.r.
03a3dc0: 6d00 6100 7400 2e00 6a00 7000 6700 0000  m.a.t...j.p.g...
03a3dd0: 8000 0000 4800 0000 0100 0000 0000 0400  ....H...........
03a3de0: 0000 0000 0000 0000 3000 0000 0000 0000  ........0.......
03a3df0: 4000 0000 0000 0000 0010 0300 0000 0200  @...............
03a3e00: 8603 0300 0000 0000 8603 0300 0000 0000  ................
03a3e10: 3131 f452 0200 0100 ffff ffff 8279 4711  11.R.........yG.
03a3e20: 0000 0000 0000 0000 0000 0000 0000 0000  ................
[...]
03a3ff0: 0000 0000 0000 0000 0000 0000 0000 0200  ................

Welche Bedeutung hat das Resident-Flag?

When a file’s attributes can fit within the MFT file record, they are called resident attributes. For example, information such as filename and time stamp are always included in the MFT file record. When all of the information for a file is too large to fit in the MFT file record, some of its attributes are nonresident. The nonresident attributes are allocated one or more clusters of disk space elsewhere in the volume.http://ntfs.com/ntfs-files-types.htm

Wenn die Attribute einer Datei kleiner als 700KiB sind, werden sie im MFT Record abgelegt. Sollten sie nicht mehr in den Record passen, werden sie als nonresident gekennzeichnet und werden anderweitig abgelegt. Zugriffe auf solche Attribute erzeugen folglich Performanzverluste.

Welche Bedeutung hat das Attribut $LOGGED_UTILITY_STREAM?

The $LOGGED_UTILITY_STREAM Attribute: Type 0x100 — layout and treatment is similar to $DATA attribute. Every EFS encrypted file will have this attribute to store the file encryption key used during encryption/de.http://www.c-jump.com/bcc/t256t/Week04NtfsReview/W01_0500_the_loggedutilitys.htm

Dieses Attribut wird scheinbar von einem Encrypting File System (EFS) genutzt, um darin die verwendeten Schlüssel während der Verschlüsselung abzulegen. Folglich besitzt jede verschlüsselte Datei dieses Attribut.

Ist Cluster 45904 alloziert?

Die Informationen zu den allozierten Clustern können wir $Bitmap entnehmen. Dafür brauchen wir aber noch etwas mehr Hintergrundwissen.

This file keeps track of all of the used and unused clusters on an NTFS volume. Each bit in the Bitmap represents 1 cluster, if that bit is “1” then the cluster is in use. For example if a byte in the BitMap is “F”, this means that 4 clusters are in use as F (hex) = 1111 in binary.https://whereismydata.wordpress.com/2009/06/01/forensics-what-is-the-bitmap/

Dank dieser Information wissen wir nun, dass jedes Bit ein Cluster repräsentiert. In der Binärdarstellung eines Bytes steht ganz rechts das kleinste Cluster und links das größte Cluster.

$ icat partition_1.dd 6 | xxd -skip 5738 -l 1
000166a: fe

0xfe entspricht wird binär als 11111110 dargestellt. Gemäß unserer Definition steht rechts das kleinste Cluster. Cluster 45904 ist daher nicht alloziert.

Anwendungsforensik

In dieser Aufgabe sollen Sie ein paar Fragen zur Windows Registry beantworten. Bitte verwenden Sie im Folgenden partition_1.dd.

Welche Anwendungen werden beim Start des Systems aufgerufen?

Microsoft beschreibt, dass Informationen zum Autostart an den folgenden Stellen in der Registry gefunden werden kann.

List of common autorun locations: HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components HKLM\SOFTWARE\Wow6432Node\Classes\*\ShellEx\ContextMenuHandlers HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects HKLM\System\CurrentControlSet\Services HKLM\System\CurrentControlSet\Control\Terminal Server HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce.https://support.microsoft.com/de-de/kb/2647300/de

Mithilfe von regripper werten wir die Registry aus.

user_run v.20130329

(NTUSER.DAT) [Autostart] Get autostart key contents from NTUSER.DAT hive

  Software\Microsoft\Windows\CurrentVersion\Run
    CTFMON.EXE: C:\WINDOWS\system32\ctfmon.exe
    Skype: "C:\Program Files\Skype\Phone\Skype.exe" /minimized /regrun
    SSS15 Browser Monitor: "C:\Program Files\Steganos Privacy Suite 15\SteganosBrowserMonitor.exe"

soft_run v.20130329
(Software) [Autostart] Get autostart key contents from Software hive

  Microsoft\Windows\CurrentVersion\Run
  LastWrite Time Tue Apr  1 01:24:26 2014 (UTC)
    DWQueuedReporting - "C:\PROGRA~1\COMMON~1\MICROS~1\DW\dwtrig20.exe" -t
    BluetoothAuthenticationAgent - rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
    Steganos HotKeys - "C:\Program Files\Steganos Privacy Suite 15\SteganosHotKeyService.exe"
    PHIME2002ASync - C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
    CoolSwitch - C:\WINDOWS\system32\taskswitch.exe
    PHIME2002A - C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
    SSS15 Chrome Autofill Relay - "C:\Program Files\Steganos Privacy Suite 15\passwordmanagercom.exe"
    SSS15 File Redirection Starter - "C:\Program Files\Steganos Privacy Suite 15\fredirstarter.exe"
    IMJPMIG8.1 - "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

Welche Dateien wurden zuletzt verwendet?

recentdocs v.20100405
(NTUSER.DAT) Gets contents of user's RecentDocs key

  RecentDocs
  **All values printed in MRUList\MRUListEx order.
  Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
  LastWrite Time Sun Mar 30 17:38:32 2014 (UTC)
    1 = Startup
    0 = Microsoft .NET Framework v4 - Slow Windows XP Boot Fix.vbs
    3 = My Pictures
    9 = 4.jpeg
    8 = 3.jpeg
    7 = 2.jpeg
    5 = index.jpeg
    6 = Edoofy.jpeg
    4 = images.jpeg
    2 = imgres.htm

  Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs\.htm
  LastWrite Time Sun Mar 30 17:08:51 2014 (UTC)
  MRUListEx = 0
    0 = imgres.htm

  Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs\.jpeg
  LastWrite Time Sun Mar 30 17:15:37 2014 (UTC)
  MRUListEx = 5,4,1,3,2,0
    5 = 4.jpeg
    4 = 3.jpeg
    1 = 2.jpeg
    3 = index.jpeg
    2 = Edoofy.jpeg
    0 = images.jpeg

  Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs\.vbs
  LastWrite Time Tue Apr  1 02:58:37 2014 (UTC)
  MRUListEx = 0
    0 = Microsoft .NET Framework v4 - Slow Windows XP Boot Fix.vbs

  Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs\Folder
  LastWrite Time Tue Apr  1 02:58:37 2014 (UTC)
  MRUListEx = 0,2
    0 = Startup
    2 = My Pictures

Welche Anwendungen wurden zuletzt über den Common-Dialog aufgerufen?

comdlg32 v.20121008

  Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32
  LastWrite Time Sun Mar 30 16:53:10 2014 (UTC)
  LastVisitedMRU
  LastWrite: Sun Mar 30 17:14:43 2014
    MRUList = bca
    b -> EXE: firefox.exe
      -> Last Dir: C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures
    c -> EXE: Skype.exe
      -> Last Dir: C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures
    a -> EXE: IEXPLORE.EXE
      -> Last Dir: C:\Documents and Settings\Owner\Local Settings\My Documents

  OpenSaveMRU\*
  LastWrite Time: Sun Mar 30 17:15:37 2014 Z
    MRUList = ihgefdcba
    i -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\4.jpeg
    h -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\3.jpeg
    g -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\2.jpeg
    e -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\index.jpeg
    f -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\Edoofy.jpeg
    d -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\images.jpeg
    c -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\imgres.htm
    b -> C:\Documents and Settings\Owner\Local Settings\My Documents\SkypeSetup.exe
    a -> C:\Documents and Settings\Owner\Local Settings\My Documents\Firefox Setup Stub 28.0.exe

  OpenSaveMRU\exe
  LastWrite Time: Sun Mar 30 16:54:29 2014 Z
    MRUList = ba
    b -> C:\Documents and Settings\Owner\Local Settings\My Documents\SkypeSetup.exe
    a -> C:\Documents and Settings\Owner\Local Settings\My Documents\Firefox Setup Stub 28.0.exe

  OpenSaveMRU\htm
  LastWrite Time: Sun Mar 30 17:08:51 2014 Z
    MRUList = a
    a -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\imgres.htm

  OpenSaveMRU\jpeg
  LastWrite Time: Sun Mar 30 17:15:37 2014 Z
    MRUList = fedbca
    f -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\4.jpeg
    e -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\3.jpeg
    d -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\2.jpeg
    b -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\index.jpeg
    c -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\Edoofy.jpeg
    a -> C:\Documents and Settings\Owner\Local Settings\My Documents\My Pictures\images.jpeg

Der Beitrag Computer Forensik (Praktikum 4) erschien zuerst auf Maximilian Krieg.

Erzeugung von Bahnen und Transversale

Schreiben Sie ein Programm, welches bei Eingabe einer Permutationsgruppe (über die Erzeuger) \(G=\left \langle \gamma_0,\cdots ,\gamma_{l-1} \right \rangle \leq S_n\) die Bahnen G\\X auf der Menge X der k-Teilmengen der n elementigen Menge {0, … , n – 1} berechnet. Das Programm soll für jede Bahn einen Repräsentanten angeben.

Includes und Deklarationen

#include <iostream>
#include <vector>
#include <string>
#include <sstream>
#include <math.h>
#include <assert.h>
#include <algorithm>
using namespace std;
 
void multiply_subset_permutation(vector<unsigned int>& vSubset, vector<unsigned int>& vPermutation, vector<unsigned int>& vResult);
bool inResult(vector<unsigned int>& v1, vector<unsigned int>& v2);
int binkoeff(int n, int k);
int kSubsetRevDoorRank(vector<unsigned int>& vVec, int k);
vector<unsigned int> kSubsetRevDoorUnrank(int r, int k, int n);
void generate_orbits_new(vector<vector<unsigned int> >& vErzeuger, int n, int k);
vector<unsigned int> bit_to_list(vector<unsigned int>& vBitlist);
string output_list(vector<unsigned int>& vVector, int iOffset);

Main()

int main() {

     // Set 1
     vector<vector<unsigned int> > vErzeuger;
     static const int arr1[] = { 0, 3, 4, 1, 2, 5 };
     static const int arr2[] = { 3, 4, 0, 5, 1, 2 };
     vector<unsigned int> vTmp1(arr1, arr1 + sizeof(arr1) / sizeof(arr1[0]));
     vector<unsigned int> vTmp2(arr2, arr2 + sizeof(arr2) / sizeof(arr2[0]));
     vErzeuger.push_back(vTmp1);
     vErzeuger.push_back(vTmp2);
     generate_orbits_new(vErzeuger, 6, 3);

     // Set 2
     vector<vector<unsigned int> > vErzeuger;
     static const int arr1[] = { 5, 4, 3, 2, 1, 0, 7, 6 };
     static const int arr2[] = { 1, 0, 7, 6, 5, 4, 3, 2 };
     vector<unsigned int> vTmp1(arr1, arr1 + sizeof(arr1) / sizeof(arr1[0]));
     vector<unsigned int> vTmp2(arr2, arr2 + sizeof(arr2) / sizeof(arr2[0]));
     vErzeuger.push_back(vTmp1);
     vErzeuger.push_back(vTmp2);
     generate_orbits_new(vErzeuger, 8, 4); 
 
     // Set 3
     vector<vector<unsigned int> > vErzeuger;
     static const int arr1[] = { 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 0 };
     static const int arr2[] = { 13, 12, 11, 10, 9, 8, 7, 6, 5, 4, 3, 2, 1, 0 };
     vector<unsigned int> vTmp1(arr1, arr1 + sizeof(arr1) / sizeof(arr1[0]));
     vector<unsigned int> vTmp2(arr2, arr2 + sizeof(arr2) / sizeof(arr2[0]));
     vErzeuger.push_back(vTmp1);
     vErzeuger.push_back(vTmp2);
     generate_orbits_new(vErzeuger, 14, 5);

    // Set 4
    vector<vector<unsigned int> > vErzeuger;
    static const int arr1[] = { 19, 0, 20, 1, 21, 2, 22, 3, 15, 4, 16, 5, 17, 6, 18, 7, 27, 8, 28, 9, 29, 10, 30, 11, 23, 12, 24, 13, 25, 14, 26, 31 };
    static const int arr2[] = { 21, 9, 27, 0, 22, 10, 28, 3, 17, 13, 23, 4, 18, 14, 24, 15, 5, 25, 11, 16, 6, 26, 12, 19, 1, 29, 7, 20, 2, 30, 8, 31 };
    vector<unsigned int> vTmp1(arr1, arr1 + sizeof(arr1) / sizeof(arr1[0]));
    vector<unsigned int> vTmp2(arr2, arr2 + sizeof(arr2) / sizeof(arr2[0]));
    vErzeuger.push_back(vTmp1);
    vErzeuger.push_back(vTmp2);
    generate_orbits_new(vErzeuger, 31, 5);
   
    return 0;
}

Bahnerzeugung

void generate_orbits_new(vector<vector<unsigned int> >& vErzeuger, int n, int k) {
    vector<vector<vector<unsigned int> > > vOrbits;
 
    // Erzeugung der Menge
    cout << "n: " << n << endl;
    cout << "k: " << k << endl;
    cout << "Subset size: " << binkoeff(n, k) << endl;
 
    // Erzeugung des Vergleichsarrays
    int iElements = binkoeff(n, k);
    vector<bool> isUsed(iElements, false);
 
    for (int i = 0; i < iElements; i++) {
        // Ist die Teilmenge bereits genutzt?
        if (isUsed.at(i) == true)
            continue;
 
        // Noch nicht genutzt
        isUsed.at(i) == true;
 
        // Neue Bahn anlegen
        vector<vector<unsigned int> > vResult;
        vOrbits.push_back(vResult);
 
        // Schlange erzeugen
        vector<vector<unsigned int> > vSchlange;
        vector<unsigned int> vNoName = kSubsetRevDoorUnrank(i, n, k);
        vNoName = bit_to_list(vNoName);
        vSchlange.push_back(vNoName);

        // Laufe solange noch Elemente in der Schlange sind
        while (vSchlange.size() > 0) {
 
            // Durchlaufe alle Erzeuger
            for (unsigned int j = 0; j < vErzeuger.size(); j++) {
 
                // Temporärer Vektor
                vector<unsigned int> vTmp;
 
                multiply_subset_permutation(vSchlange.at(0), vErzeuger.at(j), vTmp);
                sort(vTmp.begin(), vTmp.end());
 
                // Neues Element?
                bool bNew = true;
 
                // Element schon in irgendeiner Bahn?
                for (unsigned int l = 0;
                        l < vOrbits.at(vOrbits.size() - 1).size(); l++) {
                    if (inResult(vTmp, vOrbits.at(vOrbits.size() - 1).at(l))) { // Bereits bekannte Permutation?
                        bNew = false;
                        break;
                    }
                }
 
                if (bNew == true) { 
                    // Nicht bekannt -> Hinzufuegen
                    vSchlange.push_back(vTmp);
                    vOrbits.at(vOrbits.size() - 1).push_back(vTmp);
                    
                    // "Benutzt" setzen --> rank holen
                    int iPos = kSubsetRevDoorRank(vTmp, k);
                    isUsed.at(iPos) = true;
                }
 
            } // for
            vSchlange.erase(vSchlange.begin());
        } // while
    } // for
    
    // Ausgabe
    for (unsigned int m = 0; m < vOrbits.size(); m++) {
        cout << "Bahn " << m + 1 << ": " << vOrbits.at(m).size() 
                << " Elemente, Repraesentant: "
                << output_list(vOrbits.at(m).at(0), 0) << endl;
    }
}

int kSubsetRevDoorRank(vector<unsigned int>& vVec, int k) {
    int i, r, s;
    r = 0;
    if ((k % 2) == 1)
        r = r - 1;
    s = 1;
    for (i = k; i >= 1; i = i - 1) {
        //cout << "i= " << i << endl;
        r = r +binkoeff(vVec.at(i - 1) + 1, i) * s;
        s = -s;
    }
    return (r);
}
 
vector<unsigned int> kSubsetRevDoorUnrank(int r, int n, int k)
{
    vector<unsigned int> vResult(n);
    //cout << "Size: " << vResult.size() << endl;
    int x, i, y;
    x = n;
    for (i = k; i >= 1; i = i - 1) {
        y = binkoeff(x, i);
        while (y > r) {
            x = x - 1;
            y = binkoeff(x, i);
        }
        vResult.at(x) = 1;
        r = binkoeff(x + 1, i) - r - 1;
    }
    return vResult;
}

Hilfsfunktionen

int binkoeff(int n, int r) {
    int i, b;
    if ((r < 0) || (n < r))
        return (0);
    if ((2 * r) > n)
        r = n - r;
    b = 1;
    if (r > 0)
        for (i = 0; i <= (r - 1); i = i + 1)
            b = (b * (n - i)) / (i + 1);
    return (b);
}
 
bool inResult(vector<unsigned int>& v1, vector<unsigned int>& v2) {
    if (v1.size() != v2.size())
        return false;
 
    for (unsigned int i = 0; i < v1.size(); i++) {
        if (v1.at(i) != v2.at(i))
            return false;
    }
    return true;
}

vector<unsigned int> bit_to_list(vector<unsigned int>& vBitlist) {
    vector<unsigned int> vList;
    for (unsigned int i = 0; i < vBitlist.size(); i++) {
        if (vBitlist.at(i) == 1) {
            vList.push_back(i);
        }
    }
 
    return vList;
}
 
void multiply_subset_permutation(vector<unsigned int>& vSubset,
        vector<unsigned int>& vPermutation, vector<unsigned int>& vResult) {
    for (unsigned int i = 0; i < vSubset.size(); i++) {
        vResult.push_back(vPermutation[vSubset[i]]);
    }
}

bool isId(vector<unsigned int>& vTmp) {
    for (unsigned int i = 0; i < vTmp.size(); i++) {
        if (i != vTmp[i]) {
            return false;
        }
    }
    return true;
}
 
string output_list(vector<unsigned int>& vVector, int iOffset) {
    stringstream ss;
 
    if (isId(vVector) == true) {
        ss << "id" << vVector.size();
    } else {
        ss << "[";
        for (unsigned int i = 0; i < vVector.size(); i++) {
            ss << vVector[i] + iOffset;
            if (i < vVector.size() - 1) {
                ss << ",";
            }
        }
        ss << "]";
    }
    return ss.str();
}

Eingabe von Testparametern

Testen Sie das Programm für folgende Parameter.

Set 1

n=6

k=3

γ₀ = (1, 3)(2, 4)

γ₁ = (0, 3, 5, 2)(1, 4)

n: 6 
k: 3 
Subset size: 20  
Bahn 1: 4 Elemente, Repraesentant: [0,3,4] 
Bahn 2: 12 Elemente, Repraesentant: [0,1,4]  
Bahn 3: 4 Elemente, Repraesentant: [0,1,3]

Set 2

n=8

k=4

γ₀ = (0, 5)(1, 4)(2, 3)(7, 6)

γ₁ = (0, 1)(2, 7)(3, 6)(4, 5)

n: 8  
k: 4  
Subset size: 70 
Bahn 1: 4 Elemente, Repraesentant: [2,3,4,5]  
Bahn 2: 4 Elemente, Repraesentant: [1,2,4,5]  
Bahn 3: 2 Elemente, Repraesentant: [1,2,3,4]  
Bahn 4: 4 Elemente, Repraesentant: [1,2,3,5]  
Bahn 5: 4 Elemente, Repraesentant: [1,3,4,5]  
Bahn 6: 1 Elemente, Repraesentant: [0,1,4,5]  
Bahn 7: 4 Elemente, Repraesentant: [0,1,3,5]  
Bahn 8: 4 Elemente, Repraesentant: [0,1,2,5]  
Bahn 9: 2 Elemente, Repraesentant: [0,2,3,5]  
Bahn 10: 2 Elemente, Repraesentant: [0,3,4,7] 
Bahn 11: 4 Elemente, Repraesentant: [0,3,5,7] 
Bahn 12: 4 Elemente, Repraesentant: [0,2,3,7] 
Bahn 13: 4 Elemente, Repraesentant: [0,2,4,7] 
Bahn 14: 4 Elemente, Repraesentant: [0,2,5,7] 
Bahn 15: 2 Elemente, Repraesentant: [0,1,2,7] 
Bahn 16: 4 Elemente, Repraesentant: [0,1,3,7] 
Bahn 17: 2 Elemente, Repraesentant: [1,3,5,7] 
Bahn 18: 4 Elemente, Repraesentant: [1,2,3,7] 
Bahn 19: 2 Elemente, Repraesentant: [2,4,5,7] 
Bahn 20: 4 Elemente, Repraesentant: [2,3,4,7] 
Bahn 21: 4 Elemente, Repraesentant: [2,3,5,7]
Bahn 22: 1 Elemente, Repraesentant: [2,3,6,7]

Set 3

n=14

k=5

γ₀ = (0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13)

γ₁ = (0, 13)(1, 12)(2, 11)(3, 10)(4, 9)(5, 8)(6, 7)

n: 14 
k: 5  
Subset size: 2002 
Bahn 1: 14 Elemente, Repraesentant: [1,2,3,4,5] 
Bahn 2: 28 Elemente, Repraesentant: [1,2,3,5,6] 
Bahn 3: 28 Elemente, Repraesentant: [1,3,4,5,6] 
Bahn 4: 28 Elemente, Repraesentant: [1,2,3,6,7] 
Bahn 5: 28 Elemente, Repraesentant: [1,3,4,6,7] 
Bahn 6: 14 Elemente, Repraesentant: [1,2,4,6,7] 
Bahn 7: 28 Elemente, Repraesentant: [1,4,5,6,7] 
Bahn 8: 28 Elemente, Repraesentant: [1,3,5,6,7] 
Bahn 9: 14 Elemente, Repraesentant: [1,3,4,5,7] 
Bahn 10: 28 Elemente, Repraesentant: [1,2,3,7,8] 
Bahn 11: 28 Elemente, Repraesentant: [1,3,4,7,8]  
Bahn 12: 28 Elemente, Repraesentant: [1,2,4,7,8]  
Bahn 13: 28 Elemente, Repraesentant: [1,4,5,7,8]  
Bahn 14: 28 Elemente, Repraesentant: [1,3,5,7,8]  
Bahn 15: 28 Elemente, Repraesentant: [1,5,6,7,8]  
Bahn 16: 28 Elemente, Repraesentant: [1,4,6,7,8]  
Bahn 17: 28 Elemente, Repraesentant: [1,3,6,7,8]  
Bahn 18: 28 Elemente, Repraesentant: [1,3,4,6,8]  
Bahn 19: 28 Elemente, Repraesentant: [1,4,5,6,8]  
Bahn 20: 28 Elemente, Repraesentant: [1,2,3,8,9]  
Bahn 21: 28 Elemente, Repraesentant: [1,3,4,8,9]  
Bahn 22: 28 Elemente, Repraesentant: [1,2,4,8,9]  
Bahn 23: 28 Elemente, Repraesentant: [1,4,5,8,9]  
Bahn 24: 28 Elemente, Repraesentant: [1,3,5,8,9]  
Bahn 25: 14 Elemente, Repraesentant: [1,2,5,8,9] 
Bahn 26: 28 Elemente, Repraesentant: [1,5,6,8,9]  
Bahn 27: 28 Elemente, Repraesentant: [1,4,6,8,9]  
Bahn 28: 28 Elemente, Repraesentant: [1,3,6,8,9]  
Bahn 29: 28 Elemente, Repraesentant: [1,6,7,8,9]  
Bahn 30: 28 Elemente, Repraesentant: [1,5,7,8,9]  
Bahn 31: 28 Elemente, Repraesentant: [1,4,7,8,9]  
Bahn 32: 28 Elemente, Repraesentant: [1,3,7,8,9]  
Bahn 33: 28 Elemente, Repraesentant: [1,3,4,7,9]  
Bahn 34: 28 Elemente, Repraesentant: [1,4,5,7,9]  
Bahn 35: 14 Elemente, Repraesentant: [1,3,5,7,9]  
Bahn 36: 28 Elemente, Repraesentant: [1,5,6,7,9]  
Bahn 37: 28 Elemente, Repraesentant: [1,4,6,7,9]  
Bahn 38: 14 Elemente, Repraesentant: [1,4,5,6,9]  
Bahn 39: 28 Elemente, Repraesentant: [1,3,4,9,10] 
Bahn 40: 28 Elemente, Repraesentant: [1,4,5,9,10] 
Bahn 41: 28 Elemente, Repraesentant: [1,3,5,9,10] 
Bahn 42: 28 Elemente, Repraesentant: [1,2,5,9,10] 
Bahn 43: 28 Elemente, Repraesentant: [1,5,6,9,10] 
Bahn 44: 28 Elemente, Repraesentant: [1,4,6,9,10] 
Bahn 45: 28 Elemente, Repraesentant: [1,3,6,9,10] 
Bahn 46: 14 Elemente, Repraesentant: [1,6,7,9,10] 
Bahn 47: 28 Elemente, Repraesentant: [1,5,7,9,10] 
Bahn 48: 28 Elemente, Repraesentant: [1,4,7,9,10] 
Bahn 49: 28 Elemente, Repraesentant: [1,3,7,9,10] 
Bahn 50: 28 Elemente, Repraesentant: [1,6,8,9,10] 
Bahn 51: 28 Elemente, Repraesentant: [1,5,8,9,10] 
Bahn 52: 28 Elemente, Repraesentant: [1,4,8,9,10] 
Bahn 53: 14 Elemente, Repraesentant: [1,3,8,9,10] 
Bahn 54: 28 Elemente, Repraesentant: [1,3,4,8,10] 
Bahn 55: 28 Elemente, Repraesentant: [1,4,5,8,10] 
Bahn 56: 28 Elemente, Repraesentant: [1,3,5,8,10] 
Bahn 57: 28 Elemente, Repraesentant: [1,5,6,8,10] 
Bahn 58: 28 Elemente, Repraesentant: [1,4,6,8,10] 
Bahn 59: 28 Elemente, Repraesentant: [1,5,7,8,10] 
Bahn 60: 28 Elemente, Repraesentant: [1,4,7,8,10] 
Bahn 61: 28 Elemente, Repraesentant: [1,4,5,7,10] 
Bahn 62: 28 Elemente, Repraesentant: [1,5,6,7,10] 
Bahn 63: 14 Elemente, Repraesentant: [1,5,6,10,11]  
Bahn 64: 28 Elemente, Repraesentant: [1,4,6,10,11]  
Bahn 65: 28 Elemente, Repraesentant: [1,5,7,10,11]  
Bahn 66: 28 Elemente, Repraesentant: [1,4,7,10,11]  
Bahn 67: 28 Elemente, Repraesentant: [1,3,7,10,11]  
Bahn 68: 28 Elemente, Repraesentant: [1,5,8,10,11]  
Bahn 69: 28 Elemente, Repraesentant: [1,4,8,10,11]
Bahn 70: 14 Elemente, Repraesentant: [1,5,9,10,11]  
Bahn 71: 14 Elemente, Repraesentant: [1,3,5,9,11] 
Bahn 72: 28 Elemente, Repraesentant: [1,4,6,9,11] 
Bahn 73: 14 Elemente, Repraesentant: [1,3,6,9,11] 
Bahn 74: 14 Elemente, Repraesentant: [1,5,7,9,11] 
Bahn 75: 28 Elemente, Repraesentant: [1,4,7,9,11] 
Bahn 76: 28 Elemente, Repraesentant: [1,5,8,9,11] 
Bahn 77: 28 Elemente, Repraesentant: [1,4,5,8,11] 
Bahn 78: 14 Elemente, Repraesentant: [1,4,6,8,11] 
Bahn 79: 14 Elemente, Repraesentant: [1,4,7,10,12]  

Set 4

n=31

k=5

γ₀ = (0, 19, 9, 4, 21, 10, 16, 27, 13, 6, 22, 30, 26, 24, 23, 11, 5, 2, 20, 29, 14, 18, 28, 25, 12, 17, 8, 15, 7, 3, 1)

γ₁ = (0, 21, 26, 7, 3)(1, 9, 13, 14, 24)(2, 27, 20, 6, 28)(4, 22, 12, 18, 11)(5, 10, 23, 19, 16)(8, 17, 25, 29, 30)

n: 31
k: 5
Subset size: 169911  
Bahn 1: 155 Elemente, Repraesentant: [0,1,19,20,21]
Bahn 2: 155 Elemente, Repraesentant: [0,2,19,20,21]

...

Bahn 1098: 155 Elemente, Repraesentant: [1,4,7,8,20]
Bahn 1099: 155 Elemente, Repraesentant: [6,7,8,20,22]
Bahn 1100: 155 Elemente, Repraesentant: [2,6,8,20,22]
Bahn 1101: 31 Elemente, Repraesentant: [0,5,8,15,20] 

Der Beitrag Diskrete Strukturen (Praktikum 3) erschien zuerst auf Maximilian Krieg.

Anwendungsforensik

Zur Lösung folgender Aufgaben verwenden Sie partition_1.dd.

Sicherstellung der Integrität

Wir bestimmten zunächst die Hashshumme des Images und gleichen dieses mit dem vorherigen Praktikum ab, um die Unverändertheit unserer Arbeitskopie zu ermitteln.

$ sha256sum partition_1.dd 
cc224419f690065a653efa9cb58dbf546b72e7db752fe71229bfb4d11dd8e685  partition_1.dd

Firefox

Wo befinden sich die Firefox-Dateien und wie können Sie diese sichern?

Es gibt einige Standardpfade unter denen Dateien des Firefox-Browsers abgelegt werden. Wir schauen uns zunächst die Installationsinformationen diesbezüglich über regripper an, um zu erfahren, wo die Firefox-Instanz installiert wurde.

[...]

App Paths
Microsoft\Windows\CurrentVersion\App Paths

	Sun Mar 30 16:55:51 2014 (UTC)
	firefox.exe - C:\Program Files\Mozilla Firefox\firefox.exe
	
[...]

Laut der Registry liegt die Installation des Firefox somit unter C:\Program Files\Mozilla Firefox\firefox.exe. Interessanter sind jedoch die Profile und damit verbunden der Browser-Verlauf und die Favoriten. Da wir nun auf Anwendungsebene arbeiten, ist das Mounten des Images und das Durchsuchen auf Dateisystemebene absolut legitim. Um keine Daten zu verändern, mounten wir mit readonly als Parameter.

$ sudo mount -o ro partition_1.dd /mnt

Mittels find können wir nun nach Dateien mit vielversprechenden Zeichenketten im Namen suchen.

$ find /mnt/ -name "*Moz*"
/mnt/Documents and Settings/All Users/Application Data/Mozilla
/mnt/Documents and Settings/All Users/Desktop/Mozilla Firefox.lnk
/mnt/Documents and Settings/All Users/Start Menu/Programs/Mozilla Firefox.lnk
/mnt/Documents and Settings/Owner/Application Data/Microsoft/Internet Explorer/Quick Launch/Mozilla Firefox.lnk
/mnt/Documents and Settings/Owner/Application Data/Mozilla
/mnt/Documents and Settings/Owner/Favorites/Downloads/Programs/Mozilla Thunderbird - Free eMail Program.url
/mnt/Documents and Settings/Owner/Local Settings/Application Data/Mozilla
/mnt/Documents and Settings/Owner/Local Settings/Application Data/Mozilla/Firefox/Mozilla Firefox
/mnt/Program Files/Mozilla Firefox
/mnt/Program Files/Mozilla Maintenance Service

Da wir uns konkret für den Anwender Owner interessieren, sind nur die Pfade /mnt/Documents and Settings/Owner/Application Data/Mozilla und /mnt/Documents and Settings/Owner/Local Settings/Application Data/Mozilla für uns von Interesse. Üblicherweise sind unter Application Data die Profile des Firefox abgelegt. Wir packen das vorhandene Profil in ein Archiv und berechnen eine Hashsumme, um die Dateien wie gefordert zu sichern.

$ zip -r /home/mkr/Downloads/profile.zip fq5mn4su.default/
  adding: fq5mn4su.default/ (stored 0%)
  adding: fq5mn4su.default/extensions/ (stored 0%)
  adding: fq5mn4su.default/extensions/savedpasswordeditor@daniel.dawson.xpi (deflated 9%)
  adding: fq5mn4su.default/minidumps/ (stored 0%)
  adding: fq5mn4su.default/secmod.db (deflated 97%)
  adding: fq5mn4su.default/addons.json (deflated 67%)
  adding: fq5mn4su.default/blocklist.xml (deflated 89%)
  adding: fq5mn4su.default/bookmarkbackups/ (stored 0%)
  adding: fq5mn4su.default/bookmarkbackups/bookmarks-2014-03-30_8.json (deflated 73%)
  adding: fq5mn4su.default/bookmarkbackups/bookmarks-2014-03-31_5.json (deflated 67%)
  adding: fq5mn4su.default/cert8.db (deflated 78%)
  adding: fq5mn4su.default/compatibility.ini (deflated 29%)
  adding: fq5mn4su.default/content-prefs.sqlite (deflated 100%)
  adding: fq5mn4su.default/cookies.sqlite (deflated 83%)
  adding: fq5mn4su.default/parent.lock (stored 0%)
  adding: fq5mn4su.default/permissions.sqlite (deflated 98%)
  adding: fq5mn4su.default/places.sqlite (deflated 97%)
  adding: fq5mn4su.default/pluginreg.dat (deflated 61%)
  adding: fq5mn4su.default/prefs.js (deflated 67%)
  adding: fq5mn4su.default/search.json (deflated 70%)
  adding: fq5mn4su.default/sessionstore.bak (deflated 63%)
  adding: fq5mn4su.default/sessionstore.js (deflated 74%)
  adding: fq5mn4su.default/signons.sqlite (deflated 100%)
  adding: fq5mn4su.default/storage/ (stored 0%)
  adding: fq5mn4su.default/storage/persistent/ (stored 0%)
  adding: fq5mn4su.default/storage/persistent/moz-safe-about+home/ (stored 0%)
  adding: fq5mn4su.default/storage/persistent/moz-safe-about+home/.metadata (stored 0%)
  adding: fq5mn4su.default/storage/persistent/moz-safe-about+home/idb/ (stored 0%)
  adding: fq5mn4su.default/storage/persistent/moz-safe-about+home/idb/818200132aebmoouht/ (stored 0%)
  adding: fq5mn4su.default/storage/persistent/moz-safe-about+home/idb/818200132aebmoouht.sqlite (deflated 96%)
  adding: fq5mn4su.default/times.json (stored 0%)
  adding: fq5mn4su.default/urlclassifierkey3.txt (deflated 5%)
  adding: fq5mn4su.default/webapps/ (stored 0%)
  adding: fq5mn4su.default/webapps/webapps.json (stored 0%)
  adding: fq5mn4su.default/webappsstore.sqlite (deflated 98%)
  adding: fq5mn4su.default/extensions.ini (deflated 27%)
  adding: fq5mn4su.default/extensions.json (deflated 70%)
  adding: fq5mn4su.default/formhistory.sqlite (deflated 99%)
  adding: fq5mn4su.default/healthreport/ (stored 0%)
  adding: fq5mn4su.default/healthreport.sqlite (deflated 99%)
  adding: fq5mn4su.default/key3.db (deflated 97%)
  adding: fq5mn4su.default/localstore.rdf (deflated 78%)
  adding: fq5mn4su.default/mimeTypes.rdf (deflated 82%)

$ sha256sum /home/mkr/Downloads/profile.zip 
5b977147f030fc55e02cfabdf363884b75d844cd7586aad177a007e25945b2ee  /home/mkr/Downloads/profile.zip

Welche Websites wurden besucht?

Wir verwenden die Datenbankdatei places.sqlite für alle folgenden Aufgaben als bevorzugte Datenquelle. Wir untersuchen die Datenbankstruktur mittels sqlitebrowser und entwerfen entsprechende SQL-Anfragen, um in den folgenden Schritten die Daten zu extrahieren. Zunächst betrachten wir jedoch die History im Browser.

Über das Kontextmenü kann die komplette Verlaufstabelle kopiert und ins unseren Bericht eingefügt werden. Der folgende Block enthält alle Seiten, die in der History des Browsers aufgeführt werden.

https://login.live.com/login.srf?wa=wsignin1.0&ct=1396258049&rver=6.1.6206.0&sa=1&ntprob=-1&wp=MBI_SSL_SHARED&wreply=https:%2F%2Fmail.live.com%2F%3Fowa%3D1%26owasuffix%3Dowa%252f&id=64855&snsc=1&cbcxt=mail
http://www.truecrypt.org/download/transient/5b5a677a9e150db8de7b/TrueCrypt%20Setup%207.1a.exe
http://www.truecrypt.org/downloads
http://www.truecrypt.org/
http://www.google.de/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0CDAQFjAA&url=http%3A%2F%2Fwww.truecrypt.org%2F&ei=0TQ5U_DpCsrLsgaTo4CACA&usg=AFQjCNH8UXHuTTPFsxxhk9LfQtfx7CG5Pg&bvm=bv.63808443,d.Yms
https://www.google.de/search?q=truecrypt&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=np&source=hp&gfe_rd=cr&ei=0DQ5U8OsM8mK8QfxjIBg
https://login.live.com/login.srf?wa=wsignin1.0&ct=1396257104&rver=6.1.6206.0&sa=1&ntprob=-1&wp=MBI_SSL_SHARED&wreply=https:%2F%2Fmail.live.com%2F%3Fowa%3D1%26owasuffix%3Dowa%252f&id=64855&snsc=1&cbcxt=mail
http://goldesel.to/
https://www.steganos.com/scripts/thankyou/?utm_campaign=sss15&utm_medium=trial&utm_source=steganos&g=3e8f62eb-ee32-4207-a885-bc4da661037c&p=sss15&l=en&v=15.2.1
https://file.steganos.com/software/downloader/steganos/sss15intdle.exe
https://www.steganos.com/de/produkte/datensicherheit/privacy-suite/download/
https://www.steganos.com/de/produkte/datensicherheit/privacy-suite/features/
https://www.steganos.com/de/
http://www.pc-magazin.de/testbericht/sicherheitsprogramme-hide-and-seek-90063.html
http://www.google.de/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0CDAQFjAA&url=http%3A%2F%2Fwww.pc-magazin.de%2Ftestbericht%2Fsicherheitsprogramme-hide-and-seek-90063.html&ei=3gQ4U8XiM4XLtQblmYCoCw&usg=AFQjCNE3AANamxm8wrAfT738ORhzlUI1xA&bvm=bv.63808443,d.Yms
https://www.google.de/search?q=steganos+hide+seek&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=cr&ei=3gQ4U46NIsiK8QfLuYEo
http://de.msn.com/?ocid=mailsignout
https://signout.live.com/content/dam/imp/surfaces/mail_signout/v7/mail/de-de.html
https://login.live.com/logout.srf?ct=1396180070&rver=6.4.6456.0&lc=1031&id=64855&ru=http:%2F%2Fbay181.mail.live.com%2Fhandlers%2FSignout.mvc%3Fservice%3DLive.Mail%26mkt%3Dde-de&mkt=de-de
https://bay181.mail.live.com/default.aspx?id=64855
https://login.live.com/login.srf?wa=wsignin1.0&rpsnv=12&ct=1396179979&rver=6.4.6456.0&wp=MBI_SSL_SHARED&wreply=https:%2F%2Fbay181.mail.live.com%2Fdefault.aspx%3Fid%3D64855&lc=1031&id=64855&mkt=de-DE&cbcxt=mai
https://addons.mozilla.org/de/firefox/addon/saved-password-editor/
https://www.google.de/search?q=firefox+saved+passort+editor&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=fflb&gfe_rd=cr&ei=5AM4U6_WKMOK8QerxIEg
https://login.live.com/login.srf?wa=wsignin1.0&rpsnv=12&ct=1396179732&rver=6.4.6456.0&wp=MBI&wreply=http%3a%2f%2fmail.live.com%2fdefault.aspx&lc=1031&id=286568&mkt=de-DE&cbcxt=mai&snsc=1
https://encrypted-tbn3.gstatic.com/images?q=tbn:ANd9GcTuNPgl_f4uOpcRjYd1WdaAYIq4fpZr2IFRE-EO6dUWuppnbwocow
https://www.google.de/search?q=phantom&client=firefox-a&hs=HxZ&rls=org.mozilla:de:official&channel=np&source=lnms&tbm=isch&sa=X&ei=J_s3U7bqF4zEsgax6YDAAQ&ved=0CAgQ_AUoAQ&biw=800&bih=457#channel=np&q=cheerleader&rls=org.mozilla:de:official&tbm=isch
https://www.google.de/search?q=phantom&client=firefox-a&hs=HxZ&rls=org.mozilla:de:official&channel=np&source=lnms&tbm=isch&sa=X&ei=J_s3U7bqF4zEsgax6YDAAQ&ved=0CAgQ_AUoAQ&biw=800&bih=457#channel=np&q=v+vendetta&rls=org.mozilla:de:official&tbm=isch
https://encrypted-tbn2.gstatic.com/images?q=tbn:ANd9GcRhyWHcxF5G_4NtHB8GPS3dC2NIEYwmMWVzVWZ8t0rAoXMAbRUPow
http://www.google.de/imgres?imgurl=http%3A%2F%2Fimage.karneval-megastore.de%2Fbig%2F114915_phantom_big.jpg&imgrefurl=http%3A%2F%2Fwww.karneval-megastore.de%2Fhtml%2Fproduct_info.php%3Fproducts_id%3D18164&h=300&w=275&tbnid=JlWSbpToLvoPKM%3A&zoom=1&docid=xPSS4iC5LYlaJM&ei=Mfs3U9ybHJDMsgbw1IHIDQ&tbm=isch&iact=rc&dur=655&page=12&start=109&ndsp=11&ved=0CCQQrQMwCjhk
https://www.google.de/search?q=phantom&client=firefox-a&hs=HxZ&rls=org.mozilla:de:official&channel=np&source=lnms&tbm=isch&sa=X&ei=J_s3U7bqF4zEsgax6YDAAQ&ved=0CAgQ_AUoAQ&biw=800&bih=457
https://www.google.de/search?q=phantom&ie=utf-8&oe=utf-8&rls=org.mozilla:de:official&client=firefox-a&channel=np&source=hp&gfe_rd=ctrl&ei=J_s3U_3jAsGK8QfwloEg&gws_rd=cr
https://www.google.de/search?q=porn&ie=utf-8&oe=utf-8&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=ctrl&ei=tPo3U8fZMsqK8QfopoFQ&gws_rd=cr
https://www.google.de/search?q=warez&ie=utf-8&oe=utf-8&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=ctrl&ei=r_o3U9H1CMqK8QfopoFQ&gws_rd=cr
https://www.google.de/search?q=boerse&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=cr&ei=qfo3U-_GK8qK8QfopoFQ
http://3dl.tv/
http://www.stern.de/
http://www.bka.de/DE/Home/homepage__node.html?__nnn=true
https://www.google.de/
http://www.boerse.bz/toplist/warez-13/
http://www.google.de/url?sa=t&rct=j&q=&esrc=s&source=web&cd=2&sqi=2&ved=0CDQQFjAB&url=http%3A%2F%2Fwww.boerse.bz%2Ftoplist%2Fwarez-13%2F&ei=Tfo3U7aaOoXAtQbrmoHoBQ&usg=AFQjCNEgOQb9XaLhc9UTGTe5u0oKoThLXg&bvm=bv.63808443,d.Yms
https://www.google.de/search?q=warey&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=cr&ei=Rvo3U-64NsqK8QfopoFQ#channel=sb&q=warez&rls=org.mozilla:de:official
https://www.google.de/search?q=warey&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=cr&ei=Rvo3U-64NsqK8QfopoFQ
https://login.live.com/login.srf?wa=wsignin1.0&rpsnv=12&ct=1396177445&rver=6.4.6456.0&wp=MBI&wreply=http%3a%2f%2fmail.live.com%2fdefault.aspx&lc=1031&id=286568&mkt=de-DE&cbcxt=mai&snsc=1
https://login.live.com/logout.srf?ct=1396177341&rver=6.4.6456.0&lc=1031&id=64855&ru=http:%2F%2Fbay181.mail.live.com%2Fhandlers%2FSignout.mvc%3Fservice%3DLive.Mail%26mkt%3Dde-de&mkt=de-de
https://bay181.mail.live.com/default.aspx?id=64855&owa=1&owasuffix=owa%2f
https://login.live.com/login.srf?wa=wsignin1.0&ct=1396177140&rver=6.1.6206.0&sa=1&ntprob=-1&wp=MBI_SSL_SHARED&wreply=https:%2F%2Fmail.live.com%2F%3Fowa%3D1%26owasuffix%3Dowa%252f&id=64855&snsc=1&cbcxt=mail
https://www.mozilla.org/de/firefox/28.0/firstrun/

Für detailliertere Verlaufsinformationen greifen wir auf die Tabellen in der places.sqlite-Datei zu. Wir bilden dafür einen INNER JOIN über die beiden Tabellen moz_places und moz_historyvisits. Wir lassen uns neben der URL auch die Spalte der Aufrufhäufigkeit in absteigender Reihenfolge ausgeben, um die nächste Teilaufgabe zu erledigen.

sqlite> select distinct  p.visit_count,p.url from moz_historyvisits as h, moz_places as p where h.place_id = p.id order by visit_count DESC;
4|https://bay181.mail.live.com/default.aspx?id=64855
4|http://goldesel.to/
3|http://outlook.com/
3|https://www.outlook.com/owa
2|http://bay181.mail.live.com/handlers/Signout.mvc?service=Live.Mail&mkt=de-de&lc=1031
2|http://g.live.com/9ep9nmso/so-DE-DE
2|https://signout.live.com/content/dam/imp/surfaces/mail_signout/v7/mail/de-de.html
2|http://de.msn.com/?ocid=mailsignout
2|http://outlook.de/
2|https://mail.live.com/?id=64855
2|http://3dl.tv/
2|http://google.de/
2|http://www.google.de/
2|https://www.google.de/
1|https://www.mozilla.org/de/firefox/28.0/firstrun/
1|https://login.live.com/login.srf?wa=wsignin1.0&ct=1396177140&rver=6.1.6206.0&sa=1&ntprob=-1&wp=MBI_SSL_SHARED&wreply=https:%2F%2Fmail.live.com%2F%3Fowa%3D1%26owasuffix%3Dowa%252f&id=64855&snsc=1&cbcxt=mail
1|https://mail.live.com/?id=64855&owa=1&owasuffix=owa%2f
1|https://bay181.mail.live.com/default.aspx?id=64855&owa=1&owasuffix=owa%2f
1|https://login.live.com/logout.srf?ct=1396177341&rver=6.4.6456.0&lc=1031&id=64855&ru=http:%2F%2Fbay181.mail.live.com%2Fhandlers%2FSignout.mvc%3Fservice%3DLive.Mail%26mkt%3Dde-de&mkt=de-de
1|https://login.live.com/login.srf?wa=wsignin1.0&rpsnv=12&ct=1396177445&rver=6.4.6456.0&wp=MBI&wreply=http%3a%2f%2fmail.live.com%2fdefault.aspx&lc=1031&id=286568&mkt=de-DE&cbcxt=mai&snsc=1
1|https://www.google.com/search?q=warey&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb
1|https://www.google.de/search?q=warey&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=cr&ei=Rvo3U-64NsqK8QfopoFQ
1|https://www.google.de/search?q=warey&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=cr&ei=Rvo3U-64NsqK8QfopoFQ#channel=sb&q=warez&rls=org.mozilla:de:official
1|http://www.google.de/url?sa=t&rct=j&q=&esrc=s&source=web&cd=2&sqi=2&ved=0CDQQFjAB&url=http%3A%2F%2Fwww.boerse.bz%2Ftoplist%2Fwarez-13%2F&ei=Tfo3U7aaOoXAtQbrmoHoBQ&usg=AFQjCNEgOQb9XaLhc9UTGTe5u0oKoThLXg&bvm=bv.63808443,d.Yms
1|http://www.boerse.bz/toplist/warez-13/
1|http://bka.de/
1|http://www.bka.de/DE/Home/homepage__node.html?__nnn=true
1|http://stern.de/
1|http://www.stern.de/
1|https://www.google.com/search?q=boerse&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb
1|https://www.google.de/search?q=boerse&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=cr&ei=qfo3U-_GK8qK8QfopoFQ
1|https://www.google.com/search?q=warez&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb
1|https://www.google.de/search?q=warez&ie=utf-8&oe=utf-8&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=ctrl&ei=r_o3U9H1CMqK8QfopoFQ&gws_rd=cr
1|https://www.google.com/search?q=porn&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb
1|https://www.google.de/search?q=porn&ie=utf-8&oe=utf-8&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=ctrl&ei=tPo3U8fZMsqK8QfopoFQ&gws_rd=cr
1|https://www.google.com/search?q=phantom&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=np&source=hp
1|https://www.google.de/search?q=phantom&ie=utf-8&oe=utf-8&rls=org.mozilla:de:official&client=firefox-a&channel=np&source=hp&gfe_rd=ctrl&ei=J_s3U_3jAsGK8QfwloEg&gws_rd=cr
1|https://www.google.de/search?q=phantom&client=firefox-a&hs=HxZ&rls=org.mozilla:de:official&channel=np&source=lnms&tbm=isch&sa=X&ei=J_s3U7bqF4zEsgax6YDAAQ&ved=0CAgQ_AUoAQ&biw=800&bih=457
1|https://www.google.de/search?q=phantom&client=firefox-a&hs=HxZ&rls=org.mozilla:de:official&channel=np&source=lnms&tbm=isch&sa=X&ei=J_s3U7bqF4zEsgax6YDAAQ&ved=0CAgQ_AUoAQ&biw=800&bih=457#channel=np&q=v+vendetta&rls=org.mozilla:de:official&tbm=isch
1|https://www.google.de/search?q=phantom&client=firefox-a&hs=HxZ&rls=org.mozilla:de:official&channel=np&source=lnms&tbm=isch&sa=X&ei=J_s3U7bqF4zEsgax6YDAAQ&ved=0CAgQ_AUoAQ&biw=800&bih=457#channel=np&q=cheerleader&rls=org.mozilla:de:official&tbm=isch
1|https://login.live.com/login.srf?wa=wsignin1.0&rpsnv=12&ct=1396179732&rver=6.4.6456.0&wp=MBI&wreply=http%3a%2f%2fmail.live.com%2fdefault.aspx&lc=1031&id=286568&mkt=de-DE&cbcxt=mai&snsc=1
1|https://www.google.com/search?q=firefox+saved+passort+editor&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=fflb
1|https://www.google.de/search?q=firefox+saved+passort+editor&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=fflb&gfe_rd=cr&ei=5AM4U6_WKMOK8QerxIEg
1|https://addons.mozilla.org/de/firefox/addon/saved-password-editor/
1|https://login.live.com/login.srf?wa=wsignin1.0&rpsnv=12&ct=1396179979&rver=6.4.6456.0&wp=MBI_SSL_SHARED&wreply=https:%2F%2Fbay181.mail.live.com%2Fdefault.aspx%3Fid%3D64855&lc=1031&id=64855&mkt=de-DE&cbcxt=mai
1|https://login.live.com/logout.srf?ct=1396180070&rver=6.4.6456.0&lc=1031&id=64855&ru=http:%2F%2Fbay181.mail.live.com%2Fhandlers%2FSignout.mvc%3Fservice%3DLive.Mail%26mkt%3Dde-de&mkt=de-de
1|https://www.google.com/search?q=steganos+hide+seek&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb
1|https://www.google.de/search?q=steganos+hide+seek&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=sb&gfe_rd=cr&ei=3gQ4U46NIsiK8QfLuYEo
1|http://www.google.de/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0CDAQFjAA&url=http%3A%2F%2Fwww.pc-magazin.de%2Ftestbericht%2Fsicherheitsprogramme-hide-and-seek-90063.html&ei=3gQ4U8XiM4XLtQblmYCoCw&usg=AFQjCNE3AANamxm8wrAfT738ORhzlUI1xA&bvm=bv.63808443,d.Yms
1|http://www.pc-magazin.de/testbericht/sicherheitsprogramme-hide-and-seek-90063.html
1|http://www.steganos.de/
1|https://www.steganos.com/de/
1|https://www.steganos.com/de/produkte/datensicherheit/privacy-suite/features/
1|https://www.steganos.com/de/produkte/datensicherheit/privacy-suite/download/
1|https://www.steganos.com/scripts/thankyou/?utm_campaign=sss15&utm_medium=trial&utm_source=steganos&g=3e8f62eb-ee32-4207-a885-bc4da661037c&p=sss15&l=en&v=15.2.1
1|https://login.live.com/login.srf?wa=wsignin1.0&ct=1396257104&rver=6.1.6206.0&sa=1&ntprob=-1&wp=MBI_SSL_SHARED&wreply=https:%2F%2Fmail.live.com%2F%3Fowa%3D1%26owasuffix%3Dowa%252f&id=64855&snsc=1&cbcxt=mail
1|https://www.google.com/search?q=truecrypt&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=np&source=hp
1|https://www.google.de/search?q=truecrypt&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:de:official&client=firefox-a&channel=np&source=hp&gfe_rd=cr&ei=0DQ5U8OsM8mK8QfxjIBg
1|http://www.google.de/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0CDAQFjAA&url=http%3A%2F%2Fwww.truecrypt.org%2F&ei=0TQ5U_DpCsrLsgaTo4CACA&usg=AFQjCNH8UXHuTTPFsxxhk9LfQtfx7CG5Pg&bvm=bv.63808443,d.Yms
1|http://www.truecrypt.org/
1|http://www.truecrypt.org/downloads
1|https://login.live.com/login.srf?wa=wsignin1.0&ct=1396258049&rver=6.1.6206.0&sa=1&ntprob=-1&wp=MBI_SSL_SHARED&wreply=https:%2F%2Fmail.live.com%2F%3Fowa%3D1%26owasuffix%3Dowa%252f&id=64855&snsc=1&cbcxt=mail
0|http://www.google.de/imgres?imgurl=http%3A%2F%2Fimage.karneval-megastore.de%2Fbig%2F114915_phantom_big.jpg&imgrefurl=http%3A%2F%2Fwww.karneval-megastore.de%2Fhtml%2Fproduct_info.php%3Fproducts_id%3D18164&h=300&w=275&tbnid=JlWSbpToLvoPKM%3A&zoom=1&docid=xPSS4iC5LYlaJM&ei=Mfs3U9ybHJDMsgbw1IHIDQ&tbm=isch&iact=rc&dur=655&page=12&start=109&ndsp=11&ved=0CCQQrQMwCjhk
0|https://encrypted-tbn2.gstatic.com/images?q=tbn:ANd9GcRhyWHcxF5G_4NtHB8GPS3dC2NIEYwmMWVzVWZ8t0rAoXMAbRUPow
0|https://encrypted-tbn3.gstatic.com/images?q=tbn:ANd9GcTuNPgl_f4uOpcRjYd1WdaAYIq4fpZr2IFRE-EO6dUWuppnbwocow
0|https://file.steganos.com/software/downloader/steganos/sss15intdle.exe
0|http://www.truecrypt.org/download/transient/5b5a677a9e150db8de7b/TrueCrypt%20Setup%207.1a.exe

Offensichtlich werden somit mehr History-Einträge aufgeführt, als der Browser selbst anzeigt. Dies ist dem Umstand geschuldet, dass der Browser keine Einträge aufführt, die den Wert 1 im hidden-Feld eingetragen haben. Eine ergänzende Liste von aufgerufenen Seiten erhalten wir aus den Cookie-Einträge in der Datenbank.

sqlite> select DISTINCT baseDomain from moz_cookies;
360yield.com
3dl.tv
abmr.net
ad-srv.net
ad6media.fr
adaos-ads.net
adform.net
adition.com
admized.com
adnet.de
adnxs.com
adscale.de
adspirit.de
adwelt.com
atdmt.com
bing.com
bluekai.com
boerse.bz
creative-serving.com
criteo.com
crwdcntrl.net
demdex.net
doubleclick.net
ebay.com
flashtalking.com
gbseite.de
gmads.net
goldesel.to
google.com
google.de
hurra.com
intellitxt.com
ioam.de
ivwbox.de
krxd.net
levexis.com
live.com
mathtag.com
meetic-partners.com
metaffiliation.com
metrigo.com
microsoft.com
mozilla.org
msn.com
mydirtyhobby.com
myspace.com
nuggad.net
o2online.de
openx.net
outbrain.com
pc-magazin.de
popads.net
privatamateure.com
pubmatic.com
qservz.com
revsci.net
scorecardresearch.com
sensic.net
serving-sys.com
stargames.com
steganos.com
stern.de
t4ft.de
truecrypt.org
turn.com
twitter.com
vindicosuite.com
vtracy.de
w55c.net
yahoo.com
yieldlab.net
your-pics.net

Auch hier zeigen sich deutlich mehr Einträge. Die einfach zugänglichen Informationen im Firefox Browser selbst sind somit eine unvollständige Quelle. Erst die Auswertung über die Datenbank hat uns alle Informationen geliefert.

Welche Websites wurden am häufigsten besucht?

Diese Fragestellung wurde oben bereits implizit beantwortet. Die am Häufigsten aufgerufene Seiten sind https://bay181.mail.live.com/default.aspx?id=64855 und http://goldesel.to/.

Welche URLs wurden in der Adressleiste eingegeben?

Wir betrachten zunächst die Ausgabe der Adressleiste. Im folgenden Schritt beziehen wir diese Informationen aus der Datenbank und gleichen sie miteinander ab.

Wir erhalten die gleichen Informationen, wenn wir die entsprechende SQL-Anfrage an die main.db stellen. Der Parameter typed=1 definiert, dass die Einträge in der Adressleiste eingegeben wurden.

sqlite> select url from moz_places as p where typed=1;
http://outlook.com/
http://outlook.de/
http://goldesel.to/
http://3dl.tv/
http://google.de/
http://bka.de/
http://stern.de/

Für welche Webseits wurden vom Benutzer Lesezeichen gesetzt?

In der Bibliothek des Firefox werden uns direkt einige Einträge unter dem Lesezeichenordner Meistbesucht angezeigt.

Meistbesucht (31.03.2014)
	file:///usr/share/kali-defaults/web/homepage.html
	http://goldesel.to/
	https://bay181.mail.live.com/default.aspx?id=64855
	http://de.msn.com/?ocid=mailsignout
	https://signout.live.com/content/dam/imp/surfaces/mail_signout/v7/mail/de-de.html
	http://3dl.tv/
	https://www.google.de/
	https://login.live.com/
	https://login.live.com/login.srf?wa=wsignin1.0&ct=1396258049&rver=6.1.6206.0&sa=1&ntprob=-1&wp=MBI_SSL_SHARED&wreply=https:%2F%2Fmail.live.com%2F%3Fowa%3D1%26owasuffix%3Dowa%252f&id=64855&snsc=1&cbcxt=mail
	http://www.truecrypt.org/downloads
Bookmarks Menu (31.03.2014)
	http://goldesel.to/
Bookmarks Toolbar (31.03.2014)
	https://www.mozilla.org/de/firefox/central/

Ein Blick in die Backups zeigt, dass es eine ältere Sicherungskopie gibt. Wenn wir diese exportieren, werden alle aktuellen Bookmarks durch das Backup vollständig entfernt und ersetzt.

Neu hinzugekommen bzw. wiederhergestellt wurde der Lesezeichenordner Mozilla Firefox. Die restlichen Lesezeichen sind identisch.

Mozilla Firefox (30.03.2014)
	https://www.mozilla.org/de/firefox/help/
	https://www.mozilla.org/de/firefox/customize/
	https://www.mozilla.org/de/contribute/
	https://www.mozilla.org/de/about/

Wir könnten diese Lesezeichen ganz komfortabel kopieren und einfügen. Es ist jedoch Vorsicht an dieser Stelle geboten, da es sich bei den Einträgen unter Meistbesucht um keine Lesezeichen im eigentlichen Sinne handelt. Es sind nur Verweise auf Einträge in der History. Eine sehr präzise Ausgabe der tatsächlichen Lesezeichen erhalten wir über die places.sqlite-Datenbank.

sqlite> select p.url from moz_places as p, moz_bookmarks as b where b.fk=p.id;
https://www.mozilla.org/de/firefox/central/
place:sort=8&maxResults=10
place:folder=BOOKMARKS_MENU&folder=UNFILED_BOOKMARKS&folder=TOOLBAR&queryType=1&sort=12&maxResults=10&excludeQueries=1
place:type=6&sort=14&maxResults=10
http://goldesel.to/

Es gibt daher nur die zwei Lesezeichen mozilla.org und goldesel.to.

Welche Website wurde zuletzt besucht?

Wir holen uns diese Information zunächst aus der Bibliothek des Browsers. Wir sortieren dafür absteigend nach dem Most Recent Visit-Feld.

Wollen wir die Information wieder aus der Datenbank beziehen, führen wir den folgenden Befehl aus. Die Tabellen müssen an den Feldern h.place_id und p.id verbunden werden, da die Informationen in der Tabelle moz_historyvisits keine Informationen über die URLs enthalten.

sqlite> select distinct  h.visit_date,p.url from moz_historyvisits as h, moz_places as p where h.place_id = p.id order by visit_date desc;
1396279643062000|https://login.live.com/login.srf?wa=wsignin1.0&ct=1396258049&rver=6.1.6206.0&sa=1&ntprob=-1&wp=MBI_SSL_SHARED&wreply=https:%2F%2Fmail.live.com%2F%3Fowa%3D1%26owasuffix%3Dowa%252f&id=64855&snsc=1&cbcxt=mail

Die Zahl ist ein dezimaler Unix-Zeitstempel. Wir lassen uns diesen auf epochconverter.com (Link) in einen lesbaren Datumswert konvertieren.

1396279643062000:
GMT: Mon, 31 Mar 2014 15:27:23 GMT
Your time zone: Mo 31 Mär 2014 17:27:23 CEST GMT+2:00 DST

Die Ausgabe enthält im Gegensatz zum Browser einen Sekundenwert und ist dadurch noch präziser. An dieser Stelle ist spätestens zu sehen, dass für forensische Untersuchungen primär die Datenbank als Informationsquelle genutzt werden sollte.

Wurden Zugangsdaten im Browser gespeichert?

Wir können die Zugangsdaten komfortabel im Firefox ablesen. Dadurch vermeiden wir den Einsatz von Werkzeugen bzw. Skripten von Drittanbietern.

Da wir die Zugangsdaten an späterer Stelle nochmals benötigen, halten wir sie nun tabellarisch als Text fest.

Skype

Wo müssen wir nach Dateien suchen?

On a Windows PC, most of these artifacts can be found in the main.db file located at ROOT\Users\%userprofile%\AppData\Roaming\Skype\%SkypeName%\main.db or ROOT\Documents and Settings\%userprofile%\Application Data\Skype\%SkypeName%\ for Windows XP installations.http://www.magnetforensics.com/wp-content/uploads/2014/04/Skype-Forensics-Analyzing-Call-and-Chat-Data-From-Computers-and-Mobile-Magnet-Forensics.pdf

Skype speichert seine Daten in der Datenbank main.db ab. Wir werten für die folgenden Aufgaben ausschließlich diese Datei aus.

Welcher Account wird vom Anwender genutzt?

sqlite> select id, liveid_membername, skypename, fullname,emails from accounts;
1|dasec@outlook.de|live:dasec_1|dasec hda|dasec@outlook.de

Es gibt nur einen eingerichteten Benutzer, dessen Benutzername lautet dasec_1.

Welche Kontakte sind gespeichert?

sqlite> select skypename, fullname,lastonline_timestamp from contacts;
echo123|Echo / Sound Test Service|
brion.weg|Franz Müller|1396200382
live:dasec_1|dasec hda|

Der Benutzer hat einen externen Kontakt namens Franz Müller mit dem Benutzernamen brion.weg. Der Benutzer echo123 ist ein Service Account von Skype und dient als Kontakt für Testanrufe. Lediglich der Kontakt brion.weg besitzt einen auswertbaren Zeitstempel in der Datenbank bezüglich der letzten Aktivität.

Sind Profilbilder gespeichert?

sqlite> select skypename,hex(avatar_image),hex(profile_attachments) from Contacts;
echo123|FFD8FFE000104A46494600010101006000600000FFE1005A4578696600004D4D002A00000008000401310002000000140000003E511000010000000101000000511100040000000100000B12511200040000000100000B120000000041646F62652046697265776F726B732043533600FFDB0043000201010201010202020202020202030503030303030604040305070607070706070708090B0908080A0807070A0D0A0A0B0C0C0C0C07090E0F0D0C0E0B0C0C0CFFDB004301020202030303060303060C0807080C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0C0CFFC000110800A000A003012200021101031101FFC4001F0000010501010101010100000000000000000102030405060708090A0BFFC400B5100002010303020403050504040000017D01020300041105122131410613516107227114328191A1082342B1C11552D1F02433627282090A161718191A25262728292A3435363738393A434445464748494A535455565758595A636465666768696A737475767778797A838485868788898A92939495969798999AA2A3A4A5A6A7A8A9AAB2B3B4B5B6B7B8B9BAC2C3C4C5C6C7C8C9CAD2D3D4D5D6D7D8D9DAE1E2E3E4E5E6E7E8E9EAF1F2F3F4F5F6F7F8F9FAFFC4001F0100030101010101010101010000000000000102030405060708090A0BFFC400B51100020102040403040705040400010277000102031104052131061241510761711322328108144291A1B1C109233352F0156272D10A162434E125F11718191A262728292A35363738393A434445464748494A535455565758595A636465666768696A737475767778797A82838485868788898A92939495969798999AA2A3A4A5A6A7A8A9AAB2B3B4B5B6B7B8B9BAC2C3C4C5C6C7C8C9CAD2D3D4D5D6D7D8D9DAE2E3E4E5E6E7E8E9EAF2F3F4F5F6F7F8F9FAFFDA000C03010002110311003F00FD3CA28A2BEF0FC6C28A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A28A0028A9AC6C66D4EF23B7B78DE69A660888832CC4F615ECDF0EFF670B7B28A3BAD7BFD26E0E185AA37EEE3FF00788FBC7D871F5AE7C462A9D0579BF9753BF0396D7C5CB9692D3AB7B23C7F47F0EDFF008866F2EC6CEEAF187511465B6FD71D3F1AE96D3E0278AAEE3DDFD9A2307A7993C6A4FE1BB3F9D7D1565630E9B6CB0DBC31DBC318C2A46A1557E8053E59D201991D5074CB1C578B533AA8DFB915F3D4FAAA3C2B452FDF4DB7E564BF53E72BBF80BE2AB48F77F66F983BF973C6C47E1BB3F95735ABF87EFBC3F37977D677368C7A096329BBE99EB5F5945324EBBA36575CE32A7351DF5841AA5AB43730C5710C9C347220656FA83453CEAA27EFC57CB40ADC2B45AFDCCDA7E767FE47C8B457B57C45FD9C2DEF2292EB40FF0047B81F31B476FDDC9FEE93F74FB1E3E95E357B65369B7725BDC47243342C55D1D76B291D88AF6B0F8AA75D5E0FE5D4F94C765B5F092E5AAB4E8FA322A28A2BA0E10A28A2800A28A2800A28A2800A28A2800A5552EC15412C4E001DE92BBEFD9E7C18BE25F191BC99375B69604B83D1A43F707E1827FE022B2AD555383A92E8746130F2C4568D18EED9E91F057E14C7E07D296F2EE30DAB5D202F91FF001EEA7F807BFA9FC3B73D278C7C6BA7F81B496BBD426D8BD1235E6498FA28EFFC877ABDAAEA70E8BA6DC5E5C3F9705B466491BD001935F3178FFC7175E3EF114B7D704AC7F7608B3C429D87D7B93DCD7CE61B0F3C655752A3D3AFF923EEF1F8CA595E1E34682F7BA7EAD9D0F8D3F681D6BC4B2B476727F65DA740B09FDE30F77EBFF7CE2B87BABC9AFA6324D2C9348DD59D8B31FC4D47457D1D2A34E9AB4158F84C462EB5797355937FD7624B5BC9AC6612432C90C8BD1918AB0FC45771E0BFDA075AF0D4AB1DE49FDA969D0ACC7F78A3D9FAFF00DF59AE0E8A2AD1A7515A6AE187C5D6A12E6A526BFAEC7D55E0EF1AE9FE39D256EF4F9B7AF478DB89213E8C3B7F23DAB99F8D5F09A3F1B696F7D67185D5AD972368FF008F951FC07DFD0FE1F4F16F0078E2EBC03E2286FADC968F3B678B3C4C9DC7D7B83D8D7D3BA56A70EB5A6DBDE5BBF9905CC6248DBD411915F3989A13C1D55529BD3A7F933EEF018CA59A61E546BAF796FF00A347C8EC0A9C1E08E083DA8AEFBF685F05AF867C65F6C8576DAEAA0CA001C2C83EF8FC720FFC08D7035F4746AAA90538F53E131787961EB4A8CF74FF00AFBC28A28AD4E70A28A2800A28A2800A28A2800AFA03F66DD1D74FF8762E76FCF7F70F213ECA7601F9A9FCEBE7FAFA5BE0971F0B748FFAE6FF00FA31ABC9CE24D504BBBFF33E9385E09E2DB7D22FF348C1FDA6BC40DA6F832DEC51B6B6A33FCFEE89F311FF007D15AF07AFABBC43E0FD33C5661FED1B386F3ECFBBCBF333F26719C7D703F2AF33F8D1F0434FD33409B56D1E236AD6BF34F0062C8EB9E5867A11D71D31FAF3E5B8DA508AA2F76F7E973BF3FCA71156A4B15169A4B6EB65BFEACF1DA28A2BDE3E3028A28A002BDE3F665F10B6A5E0DB8B176DCDA74FF2FB23F23FF1E0F593F063E08586A7A043AB6B119B96BA1BA080B15545CF0C71D49EB8E98FD3D33C3DE0ED33C28663A759C367F68C799E5E7E7C6719FA64FE75E0E658DA538BA2B74F7E973ECF20CA7114A71C549A516B6EB67B7E8CE47F692D1D750F8766E76FCF613A480FB31D847E6C3F2AF9FEBE96F8DBCFC2DD5FFEB9A7FE8C5AF9A6BA32793741A7D1FF0091C1C514D4716A4BAC57E6D0514515EB1F3614514500145145001451450015F457ECF9A88BEF85F6499CB5AC9244DFF7D961FA30AF9D6BD6FF0065CF132C575A86912363CE02E611EE3E57FD36FE46BCDCD69B9E1DB5D353DEE1BAEA9E3527F6935FAFE87B2D55D6B4F5D5F47BBB561B96EA178883DC3023FAD5AA86FEF174FB19AE1FEE411B48D93D80C9AF978DEFA1FA24ACE2D4B63E45A28A2BEE8FC7428A28A00FADB45D3D748D1ED2D546D5B5852200760A00FE956AA1B0BC5D42C61B84FB93C6B22E0F62322A6AF8495EFA9FB146DCAB976389FDA17535D3FE185DC79DAD792470AFB9DC18FE8A6BE75AF5DFDA9F5DDD71A5E98ADF755AE641F5F957F93FE75E455F5394D3E5C3A7DDDFF4FD0FCEF892B7B4C6B8AFB292FD7F50A28A2BD23C10A28A2800A28A2800A28A2800AD0F0B78866F0A7882D350B7FF00596B20703FBC3A107EA091F8D67D14A514D599509B8C94A3BA3EA8D07E2068FE23D363BAB7D42D76C80128F2AABC67D1813906B91F8D7F15B4DB1F08DDE9F65790DD5F5F2180AC2E1C4687862C4703E5C8C75E6BC168AF2A9E514E3539EEDA5D0FA4AFC4D5AA5174D4526D59BFF241451457AC7CC851451401EF5F04FE2B69B77E10B4D3EFAF61B5BEB15F2409DC209107DD2A4F1C2E063AF15E891C8B346ACACACAC32AC0E411EA2BE4AD1B4C7D6B57B5B38FFD65D4C90AF1D0B103FAD7D51A9DE43E14F0CCF3EDDB069D6CCC17FD945E07E98AF99CCB0B1A751386F2E87E839066352BD16AAAD2092BF7FF008648F9E3E35EBBFDBDF12B5270D98EDDFECC9EDB383FF8F6E3F8D72B4FB89DAEA779246DD248C5989EE4F26995F454A9A841417447C2622B3AB56555F56DFDE1451456862145145001451450014514500145145001451450069783FC39278BBC4F65A6C6DB1AEA40A5B1F757AB1FC0026BE9AF0B782F4DF06D8AC1A7DAC70ED1869319924F766EA6BE6FF871E278FC1DE36D3F529959A1B773E605196DACA54E3F035EF93FC68F0C4160B70756B7656190AA19A4FF00BE40C8FC457879B46B4A518C136BCBB9F61C332C2C29CE751A53BF5B6D6E97F3B8DF891F0AB4FF001E6953620861D4B69305C01B4EEEC1C8192A4F5E0E3B73589A0FECD1A169D86BC92EF507EE19FCA8CFE0BCFF00E3D5435EFDA8EC6DF2BA6E9D7174DD37CEC225FC8649FD2B89D7BF681F126B5B963B98AC236FE1B68F69FF00BE8E5BF222B1C3E1B1BC9C89F2AF5FE99D38CCC329553DACA3CF2F25A7E364FF0013DCACF41D0BC0F6DE6C56FA6E9B1AF59582C7F9B1E7F335E7FF001BFE316977FE179F49D2EE45E4F7442CB247FEAE340413F37424E31C71826BC7B50D4EE7569FCDBAB89EE643D5E590BB1FC4D415D9432B519AA9524E4D1E562F88A53A4E8D0828C5E9FD6C90514515EB1F36145145001451450014514500145145001451450014514500145145001451450014514500145145001451450014514500145145001451450014514500145145001451450014514500145145001451450014514500145145007FFFD9|
brion.weg||
live:dasec_1|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|

Die Ausgabe zeigt uns, dass tatsächlich zwei Bilder für Profile in der Datenbank vorhanden sind. Wir kopieren die hexadezimalen Ausgabewerte in den folgenden echo-Befehl hinein und schreiben diese Information mittels xxd in neue Dateien hinein, um die Avatare zu erzeugen.

echo !!Platzhalter!! | xxd -r -p > bild1.jpg
echo !!Platzhalter!! | xxd -r -p > bild2.jpg

Werfen wir danach einen Blick auf das Dateisystem, finden wir nun die folgenden Bilder vor.

Avatar von echo123

Avatar von dasec_1

Es ist uns gelungen alle gespeicherten Avatare aus der Datenbank erfolgreich zu rekonstruieren.

Wann waren diese Konakte zuletzt online?

Bei dem zuvor erhobenen Datumswert handelt es sich erneut um einen Unix-Zeitstempel. Wir konvertieren ihn wie zuvor über epochconverter.com.

1396200382:
GMT: Sun, 30 Mar 2014 17:26:22 GMT
Your time zone: 30.3.2014, 19:26:22 GMT+2:00 DST

Der Kontakt brion.weg war somit zuletzt am 30.03.2014 um 19:16:22 Uhr online.

Wurden Anrufe getätigt? Wenn ja, mit wem und wie lange?

sqlite> select id, duration, current_video_audience from calls;
38|24|brion.weg 

Ja es wurde ein Anruf mit brion.weg getätigt. Die Anrufdauer ist in Sekunden gespeichert und beträgt somit 24 Sekunden. Die Dauer des Anrufs wird ebenfalls im Chatverlauf abgelegt, wie in der nächsten Teilaufgabe zu sehen ist.

Wurde der Chat verwendet? Welche Informationen können Sie hieraus ermitteln?

sqlite> select convo_id, author, body_xml from messages;
24|brion.weg|Hallo dasec hda, ich möchte Sie als Kontakt aufnehmen. Franz Müller
24|live:dasec_1|
24|live:dasec_1|Hallo Franzel. Hast du was fuer mich?
24|brion.weg|Was möchtest Du denn  haben?
24|live:dasec_1|Das uebliche
24|brion.weg|Das besprechen wir lieber per Sprachchat
24|live:dasec_1|ok
24|live:dasec_1|<partlist alt="">
  <part identity="live:dasec_1">
    <name>dasec hda</name>
    <duration>24</duration>
  </part>
  <part identity="brion.weg">
    <name>Franz Müller</name>
    <duration>24</duration>
  </part>
</partlist>
24|live:dasec_1|<partlist alt="">
  <part identity="live:dasec_1">
    <name>dasec hda</name>
    <duration>24</duration>
  </part>
  <part identity="brion.weg">
    <name>Franz Müller</name>
    <duration>24</duration>
  </part>
</partlist>
24|brion.weg|Alles abgemacht. ich sende Dir das Paket auf deine emailadresse. Wie immer versteckt. Ein Gruß von Steganos Hide
24|live:dasec_1|Danke Dir Bye

Der vorhandene Chat zeigt auf, dass in dem zuvor sichergestellten E-Mail-Postfach vermutlich weitere relevante Informationen zu finden sind.

Freie Suche

Suchen Sie nach versteckten Informationen. Folgen Sie auch Spuren, die das Image verlassen.

Zugriff auf das E-Mail-Postfach

Wir rufen die Seite der gespeicherten Zugangsdaten auf und loggen uns ein. Wir untersuchen die E-Mails anhand der Absender und der Inhalte, ob sie das angesprochene Paket aus dem Chatverlauf enthalten.

An dieser Stelle finden wir eine Bilddatei, die uns zunächst keine verwertbaren Informationen liefert. Im Posteingang sind jedoch weitere E-Mails bezüglich einer Software von Steganos zu finden, die es erlaubt Informationen verschlüsselt in Bilder einzubetten. Ein Zugriff auf diese Informationen ist nur mithilfe eines Passworts möglich. Wir suchen also im nächsten Schritt das geheime Passwort für die Ent- bzw. Verschlüsselung. Zum Einsatz kommt dabei fls mit dem wir das Abbild der Partition nach einer Datei mit einem passenden Namen durchsuchen.

$ fls -f ntfs -r partition_1.dd | grep Steg
++++ d/d 13015-144-6:	Steganos Privacy Suite 15
+++++ r/r 13016-128-4:	Steganos Privacy Suite 15 Help.lnk
+++++ r/r 13017-128-4:	Uninstall Steganos Privacy Suite 15.lnk
+++ d/d 12919-144-5:	Steganos
++ d/d 12979-144-1:	Steganos
+ d/d 12955-144-7:	Steganos Privacy Suite 15
++ r/r 13070-128-4:	SteganosUpdater.exe
++ r/r 13009-128-4:	SteganosUpdater.res
++ r/r 13601-128-4:	SteganosBrowserMonitor.exe
++ r/r 3832-128-4:	SteganosHotKeyService.exe
++ r/r 12962-128-4:	SteganosUI.res
+ r/r 7821-128-5:	Edoofy.jpeg:PasswortSteganos

Wir finden einen Alternativen Datenstrom (ADS) an der Datei Edoofy.jpeg, den wir uns genauer ansehen.

$ icat partition_1.dd 7821-128-5
"W)5S_DXitLN"

Das Passwort nutzen wir zusammen mit der installierten Steganos Software, die wir über die Laufzeitumgebung Wine starten. In der folgenden Abbildung sind die gefundenen Dateien abgebildet.

Wir haben somit drei Bilder und eine Textdatei in dem Steganos-Safe gefunden.

Gefundenes TrueCrypt-Passwort

Im dritten Praktikum hatten wir ein TrueCrypt-Passwort in einem nicht-allozierten Bereich gefunden.

$ strings unallocated_2.dd 
Truecrypt Passwort: 7kE5v-<Y_qYF:7Y

Wir suchen nun nach dem passendem Container mittels find. Zunächst suchen wir nach Dateien, welche die Zeichenkette „true“ in ihrem Dateinamen verwenden.

$ find -iname *true*
./Documents and Settings/All Users/Desktop/TrueCrypt.lnk
./Documents and Settings/All Users/Start Menu/Programs/TrueCrypt
./Documents and Settings/All Users/Start Menu/Programs/TrueCrypt/TrueCrypt Website.url
./Documents and Settings/All Users/Start Menu/Programs/TrueCrypt/TrueCrypt.lnk
./Documents and Settings/All Users/Start Menu/Programs/TrueCrypt/Uninstall TrueCrypt.lnk
./Documents and Settings/Owner/Favorites/Downloads/Programs/TrueCrypt - Free Open-Source Disk Encryption.url
./Documents and Settings/Owner/Local Settings/My Documents/Downloads/TrueCrypt Setup 7.1a.exe
./Documents and Settings/Owner/Local Settings/My Documents/truecrypt-container
./Program Files/TrueCrypt
./Program Files/TrueCrypt/TrueCrypt Format.exe
./Program Files/TrueCrypt/TrueCrypt Setup.exe
./Program Files/TrueCrypt/TrueCrypt User Guide.pdf
./Program Files/TrueCrypt/truecrypt-x64.sys
./Program Files/TrueCrypt/TrueCrypt.exe
./Program Files/TrueCrypt/truecrypt.sys
./WINDOWS/system32/drivers/truecrypt.sys

Wir haben den gesuchten Container bereits mit diesem Verfahren gefunden. Ein ebenfalls praktikabler Ansatz ist eine Suche über die Dateigröße. Wir suchen nun nach allen Dateien, die größer als 20 Megabyte sind.

$ find  -size +20M
./Documents and Settings/All Users/Application Data/Skype/{7A3C7E05-EE37-47D6-99E1-2EB05A3DA3F7}/Skype.msi
./Documents and Settings/Owner/Local Settings/My Documents/Downloads/sss15int.exe
./Documents and Settings/Owner/Local Settings/My Documents/truecrypt-container
./Documents and Settings/Owner/Local Settings/Temp/Skype.msi
./pagefile.sys
./Program Files/Mozilla Firefox/xul.dll
./WINDOWS/Driver Cache/i386/driver.cab
./WINDOWS/SoftwareDistribution/Download/0de4390649d19bd073825763d839441a37dda551
./WINDOWS/Installer/4442e.msp
./WINDOWS/Installer/MSIEE.tmp

Wir mounten die Datei truecrypt-container in TrueCrypt und entschlüsseln diese mit dem gefundenen Passwort. In der folgenden Abbildung sind die gefundenen Dateien abgebildet.

Wir haben somit drei Bilder und ein Video in dem TrueCrypt-Container gefunden.

Der Beitrag Computer Forensik (Praktikum 5) erschien zuerst auf Maximilian Krieg.

Operationen und Darstellungen von Permutationen

Implementieren Sie die Multiplikation und die Inversion von Permutationen in S_n. Verwenden Sie die Listennotation als Darstellung im Rechner und beachten Sie die Laufzeit von O(n) für beide Routinen. Implementieren Sie die Zyklennotation als Ausgabe von Permutationen. Beachten Sie dabei die drei Konventionen: Sortieren nach dem kleinsten Element innerhalb eines Zykels, Weglassen von Einerzyklen und die gesonderte Darstellung der Identität.

Konsolenausgabe des folgenden Quellcodes

Ausgaben Zykel (Offset 1):
vA [5,4,3,2,1] = (1,5)(2,4) 
vB [2,4,1,3,5] = (1,2,4,3) 
vC [2,5,4,3,1] = (1,2,5)(3,4) 
vD [3,2,6,9,5,7,1,8,4] = (1,3,6,7)(4,9) 
id [1,2,3,4,5] = id5

Multiplikation von: 
(1,5)(2,4) * (1,2,4,3) -> (1,4,3,5)

Inversion:
(1,2,5)(3,4) -> (1,5,2)(3,4)

Includes und Deklarationen

#include <iostream>
#include <vector>
#include <string>
#include <sstream>
#include <math.h>
#include <assert.h>
#include <algorithm>
using namespace std;
  
string list_to_cycle(vector<unsigned int>& vVector, int iOffset);
string output_list(vector<unsigned int>& vVector, int iOffset);
bool isId(vector<unsigned int>& vTmp);
vector<unsigned int> invertieren(vector<unsigned int>& vVector);
vector<unsigned int> multiplizieren(vector<unsigned int>& vLinks, vector<unsigned int>& vRechts);

Main()

int main() {
    int iTmp[] = {0,1,2,3,4};
    vector<unsigned int> vID(iTmp, iTmp + sizeof iTmp / sizeof iTmp[0]);
     
    int iTmp2[] = {4,3,2,1,0};
    vector<unsigned int> vA(iTmp2, iTmp2 + sizeof iTmp2 / sizeof iTmp2[0]);

    int iTmp3[] = {1,3,0,2,4};
    vector<unsigned int> vB(iTmp3, iTmp3 + sizeof iTmp3 / sizeof iTmp3[0]);
     
    int iTmp4[] = {1,4,3,2,0};
    vector<unsigned int> vC(iTmp4, iTmp4 + sizeof iTmp4 / sizeof iTmp4[0]);
     
    // 3,2,6,9,5,7,1,8,4 //  http://cims.nyu.edu/~kiryl/teaching/aa/les100103.pdf (1367)(49)
    int iTmp5[] = {2,1,5,8,4,6,0,7,3};
    vector<unsigned int> vD(iTmp5, iTmp5 + sizeof iTmp5 / sizeof iTmp5[0]);
     
    // Umwandlung in Zykelnotation (Offset 1)
    cout << "Ausgaben Zykel (Offset 1):\n";
    cout << "vA [5,4,3,2,1] = " << list_to_cycle(vA,1) << "\n";
    cout << "vB [2,4,1,3,5] = " << list_to_cycle(vB,1) << "\n";
    cout << "vC [2,5,4,3,1] = " << list_to_cycle(vC,1) << "\n";
    cout << "vD [3,2,6,9,5,7,1,8,4] = " << list_to_cycle(vD,1) << "\n";
    cout << "id [1,2,3,4,5] = " << list_to_cycle(vID,1)<< "\n\n";  
     
    //Multiplizieren (Offset 1)
    vector<unsigned int> vTmp=multiplizieren(vA,vB);
    cout    << "Multiplikation von: \n"
            << list_to_cycle(vA,1)
            << " * "
            << list_to_cycle(vB,1)
            << " -> "
            << list_to_cycle(vTmp,1)
            << "\n\n";
   
    // Invertieren (Offset 1)
    vTmp = invertieren(vC);
    cout << "Inversion: \n";
    cout << list_to_cycle(vC,1) << " -> " << list_to_cycle(vTmp,1);
    cout << "\n\n";
}

Multiplikation

vector<unsigned int> multiplizieren(vector<unsigned int>& vLinks, vector<unsigned int>& vRechts)
{   
    vector<unsigned int> tmp(vRechts.size(),0);
    for (unsigned int i=0;i<vRechts.size();i++)
    {
        tmp[i]=vLinks[vRechts[i]];
    }
    return tmp;
}

Inversion

vector<unsigned int> invertieren(vector<unsigned int>& vVector)
{
    vector<unsigned int> tmp(vVector.size(),0);
    for (unsigned int i=0;i<vVector.size();i++)
    {
        tmp[vVector[i]]=i;
    }
    return tmp;
}

Ausgabe in Zykelnotation

string list_to_cycle(vector<unsigned int>& vVector, int iOffset) {
    stringstream ss;
    if (isId(vVector)) {
        ss << "id" << vVector.size();
    } else {
        bool bAktiv[vVector.size()];
        for (unsigned int i = 0; i < vVector.size(); i++) {
            bAktiv[i] = true;
        }
 
        for (unsigned int i = 0; i < vVector.size(); i++) {
            if (bAktiv[i]) {
                if (i == vVector[i]) {
                    bAktiv[i] = false;
                    continue;
                } else {
                    ss << "(";
                    ss << i + iOffset;
                    bAktiv[i] = false;
                    int j = i;
 
                    while (bAktiv[vVector[j]]) {
                        j = vVector[j];
                        ss << "," << j + iOffset;
                        bAktiv[j] = false;
                    }
                    ss << ")";
                }
            }
        }
    }
    return ss.str();
}

Hilfsfunktionen

bool isId(vector<unsigned int>& vTmp) {
    for (unsigned int i = 0; i < vTmp.size(); i++) {
        if (i != vTmp[i]) {
            return false;
        }
    }
    return true;
}

string output_list(vector<unsigned int>& vVector, int iOffset)
{
    stringstream ss;
 
    if (isId(vVector)==true)
    {
        ss << "id" << vVector.size();
    }
    else
    {
        ss << "[";
        for (unsigned int i=0;i<vVector.size();i++)
        {
            ss << vVector[i]+ iOffset;
            if (i<vVector.size()-1)
            {
                ss << ",";
            }
        }
        ss << "]";
    }
    return ss.str();
}

Erzeugung von Gruppenelementen

Entwerfen und implementieren Sie einen Algorithmus, welche bei Eingabe einer Liste von Permutationen \(\pi_0, \cdots, \pi_{l-1} \in S_n\) alle Gruppenelemente der von diesen Permutationen erzeugten Gruppe \( G=\left \langle \pi_0 ,\cdots, \pi_{l-1} \right \rangle \) generiert. Dokumentieren und erläutern Sie alle Schritte nachvollziehbar.

Konsolenausgabe des folgenden Quellcodes

Aufgabe 2:

Erzeuger:
(0,1,2,3)
(0,1)(2,3)

Gruppenelemente:
[1,2,3,0] | (0,1,2,3)
[1,0,3,2] | (0,1)(2,3)
[2,3,0,1] | (0,2)(1,3)
[0,3,2,1] | (1,3)
[2,1,0,3] | (0,2)
id4 | id4
[3,0,1,2] | (0,3,2,1)
[3,2,1,0] | (0,3)(1,2)

Includes und Deklarationen

Für diese Aufgabe benötigen wir die Invertierung nicht mehr. Stattdessen deklarieren wir nun eine Funktion zur Überprüfung der Gleichheit von zwei Vektoren sowie die Funktion zur Erzeugung aller Gruppenelemente.

#include <iostream>
#include <vector>
#include <string>
#include <sstream>
#include <math.h>
#include <assert.h>
#include <algorithm>
using namespace std;
  
string list_to_cycle(vector<unsigned int>& vVector, int iOffset);
string output_list(vector<unsigned int>& vVector, int iOffset);
bool isId(vector<unsigned int>& vTmp);
vector<unsigned int> multiplizieren(vector<unsigned int>& vLinks, vector<unsigned int>& vRechts);
void create_group(vector< vector<unsigned int> >& vErzeuger);
bool areEqual(vector<unsigned int>& vA, vector<unsigned int>& vB);

Main()

int main() {
    cout << "Aufgabe 2:\n\n";
    vector< vector<unsigned int> > vErzeuger;   
 
    vector<unsigned int> vErzeuger1;
    vErzeuger1.push_back(1);
    vErzeuger1.push_back(2);
    vErzeuger1.push_back(3);
    vErzeuger1.push_back(0);
 
    vector<unsigned int> vErzeuger2;
    vErzeuger2.push_back(1);
    vErzeuger2.push_back(0);
    vErzeuger2.push_back(3);
    vErzeuger2.push_back(2);    
    
    vErzeuger.push_back(vErzeuger1);
    vErzeuger.push_back(vErzeuger2);
    
    create_group(vErzeuger);
}

Erzeugung aller Gruppenelemente

void create_group(vector< vector<unsigned int> >& vErzeuger)
 {     
    vector< vector<unsigned int> > vSchlange;
    vector< vector<unsigned int> > vAblage;
    vector<unsigned int> tmp;
    
     cout << "Erzeuger:\n";
    for (unsigned int i=0;i<vErzeuger.size();i++)
    {
        vAblage.push_back(vErzeuger.at(i));
        vSchlange.push_back(vErzeuger.at(i));
       cout << list_to_cycle(vErzeuger.at(i),0) << "\n";
    }
    cout << "\n";
    
    // Läuft solange die Qu nicht leer ist
    while (vSchlange.size()>0)
    {
        // Laufe alle Erzeuger ab und wende sie auf das erste Element in Q an
        for (unsigned int j=0;j<vErzeuger.size();j++)
        {
            // Erzeuge Element
            vector<unsigned int> vT = multiplizieren(vErzeuger.at(j),vSchlange.at(0));
         
            bool unknown=true;
         
            // Prüfe ob Element bekannt ist
            for (unsigned int x=0;x<vAblage.size();x++)
            {
                tmp=vAblage.at(x);
             
                if (areEqual(vT, tmp)==true)
                {
                    unknown=false;
                    break;
                }
            }
         
            //wenn unbekannt, kommt es auf die Q
            if (unknown==true)
            {
                vSchlange.push_back(vT);
                vAblage.push_back(vT);
            }
        }
     
        // entferne erstes Element aus Q nachdem alle Erzeuger drόber sind
        tmp=vSchlange.at(0);
        vSchlange.erase(vSchlange.begin()); 
    }
 
    // Ausgabe der Ablage
    cout << "Gruppenelemente:\n";
    for (unsigned int i=0;i<vAblage.size();i++)
    {
        cout << output_list(vAblage.at(i),0) << " | " << list_to_cycle(vAblage.at(i),0) << "\n";
    }
}

Hilfsfunktionen

Hier ist die Vergleichsfunktion zweier Integer-Vektoren zu finden. Eine wesentlich effizientere Vergleichsmethode wäre es den Rang beider Vektoren zu bestimmen und diesen zu vergleichen. Für dieses Praktikum ist diese Lösung jedoch ausreichend.

bool areEqual(vector<unsigned int>& vA, vector<unsigned int>& vB)
{
    // Größe weicht ab / vermeidet Fehler
    if (vA.size()!=vB.size())
    {
        // Groessenabweichung
        return false;
    }
 
    // Vergleiche Stellenweise
    for (unsigned int i=0;i<vA.size();i++)
    {
        if (vA[i]!=vB[i])
        {
            // Stellenweise Abweichung
            return false;
        }
    }
    // Sie sind gleich
    return true;
}

Erzeuger von geometrischen Objekten

Definieren Sie für folgende Gruppen Erzeuger und generieren Sie alle Gruppenelemente mit der Routine aus Aufgabe 2. Wie sind die Gruppenordnungen?

Symmetriegruppe D₃ des regulären Dreiecks

Erzeuger:
(0,1,2)
(0,1)

Gruppenelemente:
[1,2,0] | (0,1,2)
[1,0,2] | (0,1)
[2,0,1] | (0,2,1)
[0,2,1] | (1,2)
[2,1,0] | (0,2)
id3 | id3

Die Ordnung der Gruppe beträgt 6.

Symmetriegruppe V₄ eines Rechtecks mit unterschiedlicher Seitenlänge

Erzeuger:
(0,1)(2,3)
(0,2)(1,3)

Gruppenelemente:
[1,0,3,2] | (0,1)(2,3)
[2,3,0,1] | (0,2)(1,3)
id4 | id4
[3,2,1,0] | (0,3)(1,2)

Die Ordnung der Gruppe beträgt 4.

Symmetriegruppe T des Tetraeders

Erzeuger:
(0,1,2)
(0,3)(1,2)

Gruppenelemente:
[1,2,0,3] | (0,1,2)
[3,2,1,0] | (0,3)(1,2)
[2,0,1,3] | (0,2,1)
[2,1,3,0] | (0,2,3)
[3,0,2,1] | (0,3,1)
id4 | id4
[1,3,2,0] | (0,1,3)
[0,2,3,1] | (1,2,3)
[3,1,0,2] | (0,3,2)
[0,3,1,2] | (1,3,2)
[2,3,0,1] | (0,2)(1,3)
[1,0,3,2] | (0,1)(2,3)

Die Gruppenordnung beträgt 12.

Symmetriegruppe Q des Würfels

Erzeuger:
(0,1,2,3)(4,5,6,7)
(0,3,7,4)(1,2,6,5)

Gruppenelemente:
[1,2,3,0,5,6,7,4] | (0,1,2,3)(4,5,6,7)
[3,2,6,7,0,1,5,4] | (0,3,7,4)(1,2,6,5)
[2,3,0,1,6,7,4,5] | (0,2)(1,3)(4,6)(5,7)
[2,6,7,3,1,5,4,0] | (0,2,7)(1,6,4)
[0,3,7,4,1,2,6,5] | (1,3,4)(2,7,5)
[7,6,5,4,3,2,1,0] | (0,7)(1,6)(2,5)(3,4)
[3,0,1,2,7,4,5,6] | (0,3,2,1)(4,7,6,5)
[6,7,3,2,5,4,0,1] | (0,6)(1,7)(2,3)(4,5)
[3,7,4,0,2,6,5,1] | (0,3)(1,7)(2,4)(5,6)
[6,5,4,7,2,1,0,3] | (0,6)(1,5)(2,4)(3,7)
[1,0,4,5,2,3,7,6] | (0,1)(2,4)(3,5)(6,7)
[4,7,6,5,0,3,2,1] | (0,4)(1,7)(2,6)(3,5)
[4,5,1,0,7,6,2,3] | (0,4,7,3)(1,5,6,2)
id8 | id8
[7,3,2,6,4,0,1,5] | (0,7,5)(1,3,6)
[7,4,0,3,6,5,1,2] | (0,7,2)(1,4,6)
[5,4,7,6,1,0,3,2] | (0,5)(1,4)(2,7)(3,6)
[0,4,5,1,3,7,6,2] | (1,4,3)(2,5,7)
[5,1,0,4,6,2,3,7] | (0,5,2)(3,4,6)
[2,1,5,6,3,0,4,7] | (0,2,5)(3,6,4)
[5,6,2,1,4,7,3,0] | (0,5,7)(1,6,3)
[4,0,3,7,5,1,2,6] | (0,4,5,1)(2,3,7,6)
[1,5,6,2,0,4,7,3] | (0,1,5,4)(2,6,7,3)
[6,2,1,5,7,3,0,4] | (0,6)(1,2)(3,5)(4,7)

Die Gruppenordnung beträgt 24.

Symmetriegruppe I des Ikosaeders

Erzeuger:
(1,2,3,4,5)(6,7,8,9,10)
(0,3,10,9,1)(4,6,11,8,5)

Gruppenelemente:
[0,2,3,4,5,1,7,8,9,10,6,11] | (1,2,3,4,5)(6,7,8,9,10)
[3,0,2,10,6,4,11,7,5,1,9,8] | (0,3,10,9,1)(4,6,11,8,5)
[0,3,4,5,1,2,8,9,10,6,7,11] | (1,3,5,2,4)(6,8,10,7,9)
[3,2,10,6,4,0,7,5,1,9,11,8] | (0,3,6,7,5)(1,2,10,11,8)
[4,0,3,6,7,5,11,8,1,2,10,9] | (0,4,7,8,1)(2,3,6,11,9)
[10,3,2,9,11,6,8,7,4,0,1,5] | (0,10,1,3,9)(4,11,5,6,8)
[0,4,5,1,2,3,9,10,6,7,8,11] | (1,4,2,5,3)(6,9,7,10,8)
[3,10,6,4,0,2,5,1,9,11,7,8] | (0,3,4)(1,10,7)(2,6,5)(8,9,11)
[4,3,6,7,5,0,8,1,2,10,11,9] | (0,4,5)(1,3,7)(2,6,8)(9,10,11)
[10,2,9,11,6,3,7,4,0,1,8,5] | (0,10,8)(1,2,9)(3,11,5)(4,6,7)
[5,0,4,7,8,1,11,9,2,3,6,10] | (0,5,1)(2,4,8)(3,7,9)(6,11,10)
[6,3,10,11,7,4,8,5,0,2,9,1] | (0,6,8)(1,3,11)(2,10,9)(4,7,5)
[6,4,3,10,11,7,9,8,5,0,2,1] | (0,6,9)(1,4,11)(2,3,10)(5,7,8)
[9,10,2,1,8,11,5,7,6,3,0,4] | (0,9,3,1,10)(4,8,6,5,11)
[0,5,1,2,3,4,10,6,7,8,9,11] | (1,5,4,3,2)(6,10,9,8,7)
[3,6,4,0,2,10,1,9,11,7,5,8] | (0,3)(1,6)(2,4)(5,10)(7,9)(8,11)
[4,6,7,5,0,3,1,2,10,11,8,9] | (0,4)(1,6)(2,7)(3,5)(8,10)(9,11)
[10,9,11,6,3,2,4,0,1,8,7,5] | (0,10,7)(1,9,8)(2,11,5)(3,6,4)
[5,4,7,8,1,0,9,2,3,6,11,10] | (0,5)(1,4)(2,7)(3,8)(6,9)(10,11)
[6,10,11,7,4,3,5,0,2,9,8,1] | (0,6,5,3,7)(1,10,8,2,11)
[9,2,1,8,11,10,7,6,3,0,5,4] | (0,9)(1,2)(3,8)(4,11)(5,10)(6,7)
[1,0,5,8,9,2,11,10,3,4,7,6] | (0,1)(2,5)(3,8)(4,9)(6,11)(7,10)
[7,4,6,11,8,5,9,1,0,3,10,2] | (0,7,1,4,8)(2,6,9,3,11)
[11,10,9,8,7,6,5,4,3,2,1,0] | (0,11)(1,10)(2,9)(3,8)(4,7)(5,6)
[7,5,4,6,11,8,10,9,1,0,3,2] | (0,7,9)(1,5,8)(2,4,11)(3,6,10)
[11,6,10,9,8,7,1,5,4,3,2,0] | (0,11)(1,6)(2,10)(3,9)(4,8)(5,7)
[10,6,3,2,9,11,1,8,7,4,0,5] | (0,10)(1,6)(2,3)(4,9)(5,11)(7,8)
[1,9,2,0,5,8,4,7,11,10,3,6] | (0,1,9,10,3)(4,5,8,11,6)
id12 | id12
[3,4,0,2,10,6,9,11,7,5,1,8] | (0,3,2)(1,4,10)(5,6,9)(7,11,8)
[4,7,5,0,3,6,2,10,11,8,1,9] | (0,4,3)(1,7,10)(2,5,6)(8,11,9)
[10,11,6,3,2,9,0,1,8,7,4,5] | (0,10,4,2,6)(1,11,5,9,7)
[5,7,8,1,0,4,2,3,6,11,9,10] | (0,5,4)(1,7,3)(2,8,6)(9,11,10)
[6,11,7,4,3,10,0,2,9,8,5,1] | (0,6)(1,11)(2,7)(3,4)(5,10)(8,9)
[9,1,8,11,10,2,6,3,0,5,7,4] | (0,9,5,2,8)(3,11,4,10,7)
[1,5,8,9,2,0,10,3,4,7,11,6] | (0,1,5)(2,8,4)(3,9,7)(6,10,11)
[7,6,11,8,5,4,1,0,3,10,9,2] | (0,7)(1,6)(2,11)(3,8)(4,5)(9,10)
[11,9,8,7,6,10,4,3,2,1,5,0] | (0,11)(1,9)(2,8)(3,7)(4,6)(5,10)
[1,2,0,5,8,9,7,11,10,3,4,6] | (0,1,2)(3,5,9)(4,8,10)(6,7,11)
[2,0,1,9,10,3,11,6,4,5,8,7] | (0,2,1)(3,9,5)(4,10,8)(6,11,7)
[8,5,7,11,9,1,10,2,0,4,6,3] | (0,8)(1,5)(2,7)(3,11)(4,9)(6,10)
[8,9,1,5,7,11,4,6,10,2,0,3] | (0,8,10)(1,9,2)(3,5,11)(4,7,6)
[8,1,5,7,11,9,6,10,2,0,4,3] | (0,8,2,5,9)(3,7,10,4,11)
[11,7,6,10,9,8,2,1,5,4,3,0] | (0,11)(1,7)(2,6)(3,10)(4,9)(5,8)
[8,11,9,1,5,7,0,4,6,10,2,3] | (0,8,6)(1,11,3)(2,9,10)(4,5,7)
[6,7,4,3,10,11,2,9,8,5,0,1] | (0,6,2,4,10)(1,7,9,5,11)
[9,11,10,2,1,8,0,5,7,6,3,4] | (0,9,6)(1,11,4)(2,10,3)(5,8,7)
[2,10,3,0,1,9,5,8,11,6,4,7] | (0,2,3)(1,10,4)(5,9,6)(7,8,11)
[4,5,0,3,6,7,10,11,8,1,2,9] | (0,4,6,10,2)(1,5,7,11,9)
[5,8,1,0,4,7,3,6,11,9,2,10] | (0,5,7,6,3)(1,8,11,10,2)
[9,8,11,10,2,1,3,0,5,7,6,4] | (0,9,7)(1,8,5)(2,11,4)(3,10,6)
[1,8,9,2,0,5,3,4,7,11,10,6] | (0,1,8,7,4)(2,9,11,6,3)
[7,11,8,5,4,6,0,3,10,9,1,2] | (0,7,3,5,6)(1,11,2,8,10)
[11,8,7,6,10,9,3,2,1,5,4,0] | (0,11)(1,8)(2,7)(3,6)(4,10)(5,9)
[2,1,9,10,3,0,6,4,5,8,11,7] | (0,2,9,8,5)(3,10,11,7,4)
[8,7,11,9,1,5,2,0,4,6,10,3] | (0,8,4,1,7)(2,11,3,9,6)
[2,3,0,1,9,10,8,11,6,4,5,7] | (0,2)(1,3)(4,9)(5,10)(6,8)(7,11)
[5,1,0,4,7,8,6,11,9,2,3,10] | (0,5,8,9,2)(3,4,7,11,10)
[7,8,5,4,6,11,3,10,9,1,0,2] | (0,7,10)(1,8,9)(2,5,11)(3,4,6)
[2,9,10,3,0,1,4,5,8,11,6,7] | (0,2,10,6,4)(1,9,11,7,5)

Die Gruppenordnung beträgt 60. Es gilt verallgemeinert: \(|\text{Gruppenelemente}|=|\text{Knoten}|*|\text{Kanten pro Knoten}|\).

Der Beitrag Diskrete Strukturen (Praktikum 2) erschien zuerst auf Maximilian Krieg.

Datenträgeranalyse

Analyse der Partitionen

Vergewissern Sie sich, dass keine Veränderungen am Image der zweiten Partition durchgeführt wurden.

Wir berechnen den Hashwert des Images und vergleichen diesen rückblickend mit den Ergebnissen aus dem zweiten Praktikum.

# sha256sum partition_2.dd
af1b66fdf5ae27c07da0fb9915c4d7f6f6be2941484136698e73fa75cc6aab86  partition_2.dd

Welches Dateisystem befindet sich auf partition_2.dd?

Da sich an dem Hashwert nichts geändert hat und wir somit noch auf dem gleichen Image arbeiten, handelt es sich um eine FAT16-Partition. Der Vollständigkeit halber lassen wir uns diese Information nochmals durch fsstat zeigen.

# fsstat partition_2.dd 
FILE SYSTEM INFORMATION
--------------------------------------------
File System Type: FAT16

OEM Name: mkdosfs
Volume ID: 0x3ccb36b8
Volume Label (Boot Sector):            
Volume Label (Root Directory):
File System Type Label: FAT16   

...

Kopieren Sie den Bootsektor von partition_2.dd nach partition_2_boot.dd und berechnen Sie dessen Hashsumme.

Da der Bootsektor von Partition 2 nur einen HDD-Block groß ist, setzen wir die Parameter count=1 und bs=512.

# dd if=partition_2.dd of=partition_2_boot.dd count=1 bs=512
1+0 records in
1+0 records out
512 bytes (512 B) copied, 3.9738e-05 s, 12.9 MB/s

# sha256sum partition_2_boot.dd 
5ab9eb35a368441b3c3a16da8945fe58a99cd224b7061382a92fa608bdec3732  partition_2_boot.dd

FAT-Analyse

Ermitteln Sie nur unter Zuhilfenahme eines Hexdump-Viewers aus dem Bootsektor die Größe der Reserverd Area, die Anzahl und Größe der FATs.

Zunächst extrahieren wir die Informationen aus dem Bootsektor mittels xxd.

# xxd partition_2_boot.dd 
0000000: eb3c 906d 6b64 6f73 6673 0000 0204 0100  .<.mkdosfs......
0000010: 0200 0200 a0f8 2800 2000 4000 0000 0000  ......(. .@.....
0000020: 0000 0000 0000 29b8 36cb 3c20 2020 2020  ......).6.<     
0000030: 2020 2020 2020 4641 5431 3620 2020 0e1f        FAT16   ..
0000040: be5b 7cac 22c0 740b 56b4 0ebb 0700 cd10  .[|.".t.V.......
0000050: 5eeb f032 e4cd 16cd 19eb fe54 6869 7320  ^..2.......This 
0000060: 6973 206e 6f74 2061 2062 6f6f 7461 626c  is not a bootabl
0000070: 6520 6469 736b 2e20 2050 6c65 6173 6520  e disk.  Please 
0000080: 696e 7365 7274 2061 2062 6f6f 7461 626c  insert a bootabl
0000090: 6520 666c 6f70 7079 2061 6e64 0d0a 7072  e floppy and..pr
00000a0: 6573 7320 616e 7920 6b65 7920 746f 2074  ess any key to t
00000b0: 7279 2061 6761 696e 202e 2e2e 200d 0a00  ry again ... ...
00000c0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000d0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000e0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000f0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000100: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000110: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000120: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000130: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000140: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000150: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000160: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000170: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000180: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000190: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001a0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001b0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001c0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001d0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001e0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001f0: 0000 0000 0000 0000 0000 0000 0000 55aa  ..............U.

Die folgende Tabelle zeigt die Struktur einer FAT-Partition und wie die Informationen zu interpretieren sind.

Wir übertragen die Ausgabe von xxd in dieses Schema, um die gesuchten Werte zu ermitteln.

Welche HDD-Blöcke werden von der FAT belegt?

• HDD-Block 0 wird von der Reserved Area belegt
• Folglich belegt FAT0 die HDD-Blöcke 1 bis 40
• Die FAT1 belegt die HDD-Blöcke 41-80
• Somit werden von der FAT die HDD-Blöcke 1 bis 80 belegt

Bestimmen Sie nur unter Zuhilfenahme eines Hexdump-Viewers, welche HDD-Blöcke von Cluster 2 und 178 belegt werden.

Um den Offset und die Größe der Cluster zu bestimmen, verwenden wir die folgenden Angaben.

Komponenten der Formel

\( \\ \text{Teil 1} = \text{Groesse d. Reserved Area } + \text{ FAT-Groesse }* \text{ FAT-Anzahl } \\ \text{Teil 2} = \frac{\text{ Max. Eintraege im Root Directory} * \text{ Byte pro Eintrag}}{\text{HDD-Blockgroesse}} \\ \text{Teil 3} = (n – 2) * \text{HDD-Bloecke pro Cluster} \)

Start von Cluster n = Teil 1 + Teil 2 + Teil 3

Variablen

• Größe der Reserved Area (Offset 14−15): 01 00 = 00 01 = 1 HDD-Block
• Größe einer FAT (Offset 22−23): 28 00 = 0x0028 = 40 HDD-Blöcke
• Anzahl der FATs (Offset 16): 02 = 0x02 = 2 Stück
• Verzeichniseinträge im Root Directory (Offset 17-18): 00 02 = 0x0200 = 512 Stück
• Ein Eintrag im Root Directory ist immer 32 Byte groß
• Größe eines HDD-Blocks in Bytes (Offset 11−12): 00 02 = 0x0200 = 512 Byte
• Größe eines Clusters (Offset 13): 04 = 0x04 = 4 HDD-Blöcke pro Cluster

Setzt man die Variablen in die Formeln ein und addiert diese, unter Berücksichtigung, dass ein Cluster immer 4 HDD-Blöcke groß ist, so ergeben sich folgende Resultate.

Ergebnis

• Cluster 2: 113 + (0)*4 = 113-116
• Cluster 178: 113 + (176)*4 = 817-820

Ist Cluster 25 alloziert? Welche Informationen können Sie aus dem Eintrag gewinnen?

Zunächst extrahieren wir die Informationen aus der FAT0 mittels blkcat.

# blkcat partition_2.dd 1 | xxd | less

0000000: f8ff ffff 9815 0400 0500 0600 0700 0800  ................
0000010: 0900 0a00 0b00 0c00 0d00 0e00 0f00 1000  ................
0000020: 1100 1200 1300 1400 1500 1600 1700 1800  ................
0000030: 1900 1a00 1b00 1c00 1d00 1e00 1f00 2000  .............. .
0000040: 2100 2200 2300 2400 2500 2600 2700 2800  !.".#.$.%.&.'.(.
0000050: 2900 2a00 2b00 2c00 2d00 2e00 2f00 3000  ).*.+.,.-.../.0.
...

Wir wissen, dass jeder FAT-Eintrag 16 Bit bzw. 2 Byte groß ist. Somit handelt es sich bei Cluster 25 um 1a00. Seine Information zeigt auf das nächste Cluster, was bedeutet, dass er alloziert ist. Wir überprüfen dies nochmals mit istat.

# istat partition_2.dd 25 | head
Directory Entry: 25
Allocated
File Attributes: Long File Name
Size: 0
Name: pm090930_geis

Directory Entry Times:
Written:	0000-00-00 00:00:00 (UTC)
Accessed:	0000-00-00 00:00:00 (UTC)
Created:	0000-00-00 00:00:00 (UTC)

Was bedeutet der Wert 0xFFF7 als Clusterbelegung?

• Cluster unbelegt: 0x0000
• Cluster beschädigt: 0xfff7
• End-of-File-Label: 0xfff8 bis 0xffff

Geben Sie hexadezimal an, in welchem Speicherbereich (in Bytes) der Hexdump des Verzeichniseintrags (’Inode’) 6 im Image zu finden ist, wenn die Nummerierung der Verzeichniseinträge gemäß dem Vorschlag des Sleuthkits gewählt wurde.

Zunächst extrahieren wir alle Verzeichniseinträge mittels hexdump und Gruppieren diese entsprechend ihrer Inodes.

# hexdump -C partition_2.dd | less
0000a200  43 66 00 00 00 ff ff ff  ff ff ff 0f 00 71 ff ff  |Cf...........q..| // Inode 3
0000a210  ff ff ff ff ff ff ff ff  ff ff 00 00 ff ff ff ff  |................|

0000a220  02 63 00 2d 00 62 00 73  00 69 00 0f 00 71 2d 00  |.c.-.b.s.i...q-.| // Inode 4
0000a230  32 00 30 00 30 00 35 00  2e 00 00 00 70 00 64 00  |2.0.0.5.....p.d.|

0000a240  01 73 00 74 00 75 00 64  00 69 00 0f 00 71 65 00  |.s.t.u.d.i...qe.| // Inode 5
0000a250  2d 00 76 00 6f 00 69 00  70 00 00 00 73 00 65 00  |-.v.o.i.p...s.e.|

0000a260  53 54 55 44 49 45 7e 31  50 44 46 20 00 64 5b 50  |STUDIE~1PDF .d[P| // Inode 6
0000a270  9d 3b 9d 3b 00 00 5b 50  9d 3b 03 00 4d a3 ac 00  |.;.;..[P.;..M...|

0000a280  e5 6f 00 74 00 2e 00 6a  00 70 00 0f 00 9c 67 00  |.o.t...j.p....g.| // Inode 7
0000a290  00 00 ff ff ff ff ff ff  ff ff 00 00 ff ff ff ff  |................|

0000a2a0  e5 7a 00 65 00 69 00 63  00 68 00 0f 00 9c 6e 00  |.z.e.i.c.h....n.| // Inode 8
0000a2b0  75 00 6e 00 67 00 2d 00  64 00 00 00 65 00 70 00  |u.n.g.-.d...e.p.|

0000a2c0  e5 45 49 43 48 4e 7e 31  4a 50 47 20 00 00 07 6c  |.EICHN~1JPG ...l| // Inode 9
0000a2d0  9d 3b 9d 3b 00 00 07 6c  9d 3b 75 18 d0 db 00 00  |.;.;...l.;u.....|

0000a2e0  e5 7a 00 7a 00 7a 00 7a  00 7a 00 0f 00 44 7a 00  |.z.z.z.z.z...Dz.| // Inode 10
0000a2f0  00 00 ff ff ff ff ff ff  ff ff 00 00 ff ff ff ff  |................|

0000a300  e5 7a 00 7a 00 7a 00 7a  00 7a 00 0f 00 44 7a 00  |.z.z.z.z.z...Dz.| // Inode 11
0000a310  7a 00 7a 00 7a 00 7a 00  7a 00 00 00 7a 00 7a 00  |z.z.z.z.z...z.z.|

0000a320  e5 5a 5a 5a 5a 5a 7e 31  20 20 20 20 00 00 ed 50  |.ZZZZZ~1    ...P| // Inode 12
0000a330  9d 3b 81 44 00 00 ed 50  9d 3b 00 00 00 00 00 00  |.;.D...P.;......|

0000a340  e5 59 4d 41 4e 54 7e 31  50 53 20 20 00 64 6a 50  |.YMANT~1PS  .djP| // Inode 13
0000a350  9d 3b 9d 3b 00 00 6a 50  9d 3b da 16 aa 7b 12 00  |.;.;..jP.;...{..|

0000a360  41 74 00 72 00 6f 00 6a  00 61 00 0f 00 78 6e 00  |At.r.o.j.a...xn.| // Inode 14
0000a370  65 00 72 00 2e 00 70 00  6e 00 00 00 67 00 00 00  |e.r...p.n...g...|

0000a380  54 52 4f 4a 41 4e 45 52  50 4e 47 20 00 00 73 50  |TROJANERPNG ..sP| // Inode 15
0000a390  9d 3b 81 44 00 00 73 50  9d 3b 2a 19 dd 62 1d 00  |.;.D..sP.;*..b..|

0000a3a0  43 7a 00 74 00 61 00 67  00 2e 00 0f 00 b7 70 00  |Cz.t.a.g......p.| // Inode 16
0000a3b0  64 00 66 00 00 00 ff ff  ff ff 00 00 ff ff ff ff  |d.f.............|

0000a3c0  02 49 00 44 00 5f 00 47  00 72 00 0f 00 b7 75 00  |.I.D._.G.r....u.| // Inode 17
0000a3d0  6e 00 64 00 73 00 63 00  68 00 00 00 75 00 74 00  |n.d.s.c.h...u.t.|

0000a3e0  01 32 00 30 00 30 00 39  00 2d 00 0f 00 b7 30 00  |.2.0.0.9.-....0.| // Inode 18
0000a3f0  32 00 2d 00 31 00 32 00  5f 00 00 00 52 00 46 00  |2.-.1.2._...R.F.|

0000a400  32 30 30 39 2d 30 7e 31  50 44 46 20 00 64 a5 50  |2009-0~1PDF .d.P| // Inode 19
0000a410  9d 3b 9d 3b 00 00 a5 50  9d 3b 23 27 50 fd 1c 00  |.;.;...P.;#'P...|

0000a420  42 69 00 63 00 68 00 74  00 2d 00 0f 00 8f 32 00  |Bi.c.h.t.-....2.| // Inode 20
0000a430  30 00 30 00 37 00 2e 00  70 00 00 00 64 00 66 00  |0.0.7...p...d.f.|

0000a440  01 42 00 4b 00 41 00 2d  00 4a 00 0f 00 8f 61 00  |.B.K.A.-.J....a.| // Inode 21
0000a450  68 00 72 00 65 00 73 00  62 00 00 00 65 00 72 00  |h.r.e.s.b...e.r.|

0000a460  42 4b 41 2d 4a 41 7e 31  50 44 46 20 00 00 db 50  |BKA-JA~1PDF ...P| // Inode 22
0000a470  9d 3b 81 44 00 00 db 50  9d 3b d7 1c 23 1c 17 00  |.;.D...P.;..#...|

0000a480  24 52 45 43 59 43 4c 45  42 49 4e 16 00 0d d9 01  |$RECYCLEBIN.....| // Inode 23
0000a490  81 44 81 44 00 00 da 01  81 44 75 18 00 00 00 00  |.D.D.....Du.....|

0000a4a0  42 74 00 65 00 72 00 77  00 61 00 0f 00 31 6c 00  |Bt.e.r.w.a...1l.| // Inode 24
0000a4b0  64 00 2e 00 70 00 64 00  66 00 00 00 00 00 ff ff  |d...p.d.f.......|

0000a4c0  01 70 00 6d 00 30 00 39  00 30 00 0f 00 31 39 00  |.p.m.0.9.0...19.| // Inode 25
0000a4d0  33 00 30 00 5f 00 67 00  65 00 00 00 69 00 73 00  |3.0._.g.e...i.s.|

0000a4e0  50 4d 30 39 30 39 7e 31  50 44 46 20 00 a4 ec 01  |PM0909~1PDF ....| // Inode 26
0000a4f0  81 44 81 44 00 00 75 55  7f 44 77 18 62 83 00 00  |.D.D..uU.Dw.b...|

0000a500  e5 4c 2d 41 20 20 20 20  4a 50 47 20 18 89 ed 01  |.L-A    JPG ....| // Inode 27
0000a510  81 44 81 44 00 00 42 55  7f 44 88 18 28 2c 00 00  |.D.D..BU.D..(,..|

Der Eintrag für Inode 6 belegt den Speicherbereich 0xA260 bis 0xA27F. Die erste Cluster-Adresse ist 03 00 bzw. Cluster 3. Verwenden wir die Formel aus der vorherigen Teilaufgabe und bestimmten den Offset des HDD-Blocks, so ergibt sich 117. Diesen Wert können wir in ifind eintragen, um zu verifizieren, dass es sich um Inode 6 handelt.

# ifind -f fat -d 117 partition_2.dd
6

Schauen wir uns Inode 6 mit istat an, erhalten wir bereits einige Informationen über die Sektoren und Attribute der dahinterliegenden Datei.

# istat partition_2.dd 6
Directory Entry: 6
Allocated
File Attributes: File, Archive
Size: 11313997
Name: STUDIE~1.PDF

Directory Entry Times:
Written:	2009-12-29 10:02:54 (EST)
Accessed:	2009-12-29 00:00:00 (EST)
Created:	2009-12-29 10:02:54 (EST)

Sectors:
117 118 119 120 121 122 123 124 
...

Um welche Art von Verzeichniseintrag handelt es sich?

An Byte 11 liegen die Attributinformationen, hier 0x20. Intepretiert man dies als binärzahl, lässt sich das Archive-Flag 0010 0000 identifizieren.

Archive. (Since DOS 2.0) Typically set by the operating system as soon as the file is created or modified to mark the file as „dirty“, and reset by backup software once the file has been backed up to indicate „pure“ state.http://en.wikipedia.org/wiki/Design_of_the_FAT_file_system

Bestimmen Sie die Größe des im Verzeichniseintrag referenzierten Objekts anhand der Informationen des Verzeichniseintrages

Die letzten 4 Bytes (28-31) repräsentieren die Dateigröße in Bytes, hier 4d a3 ac 00 bzw. 0x00aca34d. Dies entspricht einer Dateigröße von 11.313.997 Byte. Bei Verzeichnisses ist der Wert Null.

Beantworten Sie die gleichen Fragen fur den Verzeichniseintrag 23.

• Der Speicherbereich von Inode 23 liegt an A480 bis A49F
• Es handelt sich um ein Hidden File (0000 0010), System File (0000 0100) und Verzeichnis (0001 0000)
• Seine Dateigröße beträgt, trotz der vier allozierten Sektoren, 0 Byte, da es ein Verzeichnis ist
• Der Name des Verzeichnisses lautet Name $RECYCLE.BIN

Dateiwiederherstellung

Geben Sie den Namen aller fragmentierten, allozierten Dateien sowie deren belegte HDD-Blöcke in der richtigen Reihenfolge an.

Mittels fsstat können wir uns die Fragmentierung der allozierten Dateien ansehen.

# fsstat partition_2.dd 

...

FAT CONTENTS (in sectors)
--------------------------------------------
113-116 (4) -> 22217
117-22216 (22100) -> EOF
22217-25148 (2932) -> EOF
25149-25152 (4) -> EOF
25153-25156 (4) -> EOF
25157-25224 (68) -> EOF
25225-25248 (24) -> EOF
25249-25252 (4) -> EOF
25873-29636 (3764) -> EOF
29637-32596 (2960) -> EOF
40181-40956 (776) -> 113

Offensichtlich gibt es eine Datei, die mit 40181 beginnt, dann später an 113 fortgesetzt wird und zuletzt an 22217 fortgeführt wird, bis zum EOF. Alle anderen Dateien enden direkt und sind somit nicht fragmentiert. Mittels ifind finden wir die Inode der dazugehörigen Datei heraus.

# ifind -f fat -d 113 partition_2.dd
19

Weitere Informationen zu dieser Datei rufen wir über istat der Vollständigkeit halber ab.

# istat partition_2.dd 19			
			
Directory Entry: 19
Allocated
File Attributes: File, Archive
Size: 1899856
Name: 2009-0~1.PDF

Directory Entry Times:
Written:        2009-12-29 10:05:10 (CET)
Accessed:       2009-12-29 00:00:00 (CET)
Created:        2009-12-29 10:05:10 (CET)

Sectors:
40181 40182 40183 40184 40185 40186 40187 40188 
...
40949 40950 40951 40952 40953 40954 40955 40956
113 114 115 116
22217 22218 22219 22220 22221 22222 22223 22224
...
25141 25142 25143 25144 25145 25146 25147 0

Speichern Sie die Datei mittels dd oder blkcat lokal ab.

Wir fügen die fragmentierten Bereich schrittweise zusammen mit blkcat.

# blkcat partition_2.dd 40181 776 >> file.pdf
# blkcat partition_2.dd 113 4 >> file.pdf
# blkcat partition_2.dd 22217 2932 >> file.pdf

Alternativ könnte man es auch komfortabel mit icat unter Angabe der Inode machen.

# icat -r partition_2.dd 19 > file.pdf

In beiden Fällen wird das folgende Dokument erzeugt.

Finden Sie alle gelöschten Dateien auf der Partition.

Wir könnten an dieser Stelle das Wurzelverzeichnis nach allen Einträgen durchsuchen, die mit 0x35 beginnen. Dies steht für eine gelöschte Datei.

0000a280  e5 6f 00 74 00 2e 00 6a  00 70 00 0f 00 9c 67 00  |.o.t...j.p....g.|
0000a290  00 00 ff ff ff ff ff ff  ff ff 00 00 ff ff ff ff  |................|

0000a2a0  e5 7a 00 65 00 69 00 63  00 68 00 0f 00 9c 6e 00  |.z.e.i.c.h....n.|
0000a2b0  75 00 6e 00 67 00 2d 00  64 00 00 00 65 00 70 00  |u.n.g.-.d...e.p.|

0000a2c0  e5 45 49 43 48 4e 7e 31  4a 50 47 20 00 00 07 6c  |.EICHN~1JPG ...l|
0000a2d0  9d 3b 9d 3b 00 00 07 6c  9d 3b 75 18 d0 db 00 00  |.;.;...l.;u.....|

0000a2e0  e5 7a 00 7a 00 7a 00 7a  00 7a 00 0f 00 44 7a 00  |.z.z.z.z.z...Dz.|
0000a2f0  00 00 ff ff ff ff ff ff  ff ff 00 00 ff ff ff ff  |................|

0000a300  e5 7a 00 7a 00 7a 00 7a  00 7a 00 0f 00 44 7a 00  |.z.z.z.z.z...Dz.|
0000a310  7a 00 7a 00 7a 00 7a 00  7a 00 00 00 7a 00 7a 00  |z.z.z.z.z...z.z.|

0000a320  e5 5a 5a 5a 5a 5a 7e 31  20 20 20 20 00 00 ed 50  |.ZZZZZ~1    ...P|
0000a330  9d 3b 81 44 00 00 ed 50  9d 3b 00 00 00 00 00 00  |.;.D...P.;......|

0000a340  e5 59 4d 41 4e 54 7e 31  50 53 20 20 00 64 6a 50  |.YMANT~1PS  .djP|
0000a350  9d 3b 9d 3b 00 00 6a 50  9d 3b da 16 aa 7b 12 00  |.;.;..jP.;...{..|

0000a500  e5 4c 2d 41 20 20 20 20  4a 50 47 20 18 89 ed 01  |.L-A    JPG ....|
0000a510  81 44 81 44 00 00 42 55  7f 44 88 18 28 2c 00 00  |.D.D..BU.D..(,..|

Dies ist jedoch zu aufwendig und skaliert schlecht mit großen Datenmengen. Stattdessen verwenden wir fls, um uns die gelöschten Dateien anzuzeigen.

# fls -d partition_2.dd
r/r * 9:	zeichnung-depot.jpg
r/r * 12:	zzzzzzzzzzzzzzzzzzz
r/r * 13:	_YMANT~1.PS
r/r * 27:	_l-a.jpg

Da wir vorhin in Inode 23 den Papierkorb gefunden haben und diese Dateien im Wurzelverzeichnis liegen, schauen wir uns noch an, welche Dateien denn generell auf dieser Partition noch zu finden sind.

# fls  -r partition_2.dd 
r/r 6:	studie-voipsec-bsi-2005.pdf
r/r * 9:	zeichnung-depot.jpg
r/r * 12:	zzzzzzzzzzzzzzzzzzz
r/r * 13:	_YMANT~1.PS
r/r 15:	trojaner.png
r/r 19:	2009-02-12_RFID_Grundschutztag.pdf
r/r 22:	BKA-Jahresbericht-2007.pdf
d/d 23:	$RECYCLE.BIN
+ r/r 401093:	desktop.ini
+ r/r 401094:	$IO93PF1.jpg
+ r/r 401095:	$RO93PF1.jpg
r/r 26:	pm090930_geisterwald.pdf
r/r * 27:	_l-a.jpg
v/v 654067:	$MBR
v/v 654068:	$FAT1
v/v 654069:	$FAT2
d/d 654070:	$OrphanFiles

Interessanterweie wurden die Dateien im Papierkorb nicht als gelöscht vermerkt. Somit liegt die Vermutung nahe, dass sie manuell dorthin geschoben wurden ohne wirklich gelöscht worden zu sein.

Welche Informationen können Sie aus den gefundenen Dateien gewinnen?

Wir verwenden icat zum Rekonstruieren der Dateien.

# icat -r partition_2.dd 9 > 9.jpg
# icat -r partition_2.dd 12 > 12
# icat -r partition_2.dd 13 > 13.PS
# icat -r partition_2.dd 27 > 27.jpg
# icat -r partition_2.dd 401093 > 401093.ini
# icat -r partition_2.dd 401094 > 401093.jpg
# icat -r partition_2.dd 401095 > 401093.jpg

Aus den Inodes 27 und 401093 ließen sich zwei Bilder wiederherstellen. Beispielhaft folgt das teilweise rekonstruierte Bild von Inode 9. Das Bild von Inode 27 stellt dieses in vollständiger Form dar.

Schreiben Sie den zweiten nicht allozierten Bereich aus arbeitskopie.dd nach unallocated_2.dd.

# mmls arbeitskopie.dd 
DOS Partition Table
Offset Sector: 0
Units are in 512-byte sectors

	 Slot    Start        End          Length       Description
01:  -----   0000000000   0000002047   0000002048   Unallocated
04:  -----   0010272768   0010295295   0000022528   Unallocated
08:  -----   0012138496   0012648613   0000510118   Unallocated

# dd if=arbeitskopie.dd of=unallocated_2.dd bs=512 skip=0010272768 count=22528
22528+0 Datensätze ein
22528+0 Datensätze aus
11534336 Bytes (12 MB) kopiert, 0,0609157 s, 189 MB/s

Vermerken Sie den Hashwert.

# sha256sum unallocated_2.dd 
68a5487b1df9c081bfcf62bee3937dd0703c335fae04147084379536a8e9be1e  unallocated_2.dd

Untersuchen Sie das Image unallocated_2.dd.

Wir verwenden zunächst hexdump um potenzielle Informationen zu extrahieren.

# hexdump unallocated_2.dd 
0000000 0000 0000 0000 0000 0000 0000 0000 0000
*
0a001b0 0000 0000 0000 0000 0000 0000 0000 d9 00
0a001c0 80 9a 95 07 f3 a2 08 00 00 00 20 00 00 1c 00 00
0a001d0 0000 0000 0000 0000 0000 0000 0000 0000
*
0a001f0 0000 0000 0000 0000 0000 0000 0000 aa55
0a00200 0000 0000 0000 0000 0000 0000 0000 0000
*
0abe000 7254 6575 7263 7079 2074 6150 7373 6f77
0abe010 7472 203a 6b37 3545 2d76 593c 715f 4659
0abe020 373a 0a59 0000 0000 0000 0000 0000 0000
0abe030 0000 0000 0000 0000 0000 0000 0000 0000
*
0b00000

Die Informationen zu Beginn des Dumps liefern uns keine brauchbaren Informationen. Vermutlich wurden sie schon durch Schreibzugriffe auf diesen Bereich beschädigt bzw. sind unvollständig. Der zweite Bereich scheint jedoch interessanter zu sein. Wir schauen uns mit strings an, ob wir etwas herausfinden können.

# strings unallocated_2.dd 
Truecrypt Passwort: 7kE5v-<Y_qYF:7Y

Scheinbar wurde ein Passwort für einen Truecrypt-Container an dieser Stelle gespeichert.

Der Beitrag Computer Forensik (Praktikum 3) erschien zuerst auf Maximilian Krieg.

Algorithmen für den Gray-Code

Entwickeln und beschreiben Sie Algorithmen zur Realisierung rank, unrank und successor für Gray-Code \( \Delta_n\), definiert durch:

\( \\ \Delta_1 := 0,1 \\ \Delta_n := \Delta^R_{n-1}0,\Delta_{n-1}1, n > 1 \)

Nutzen Sie dabei die rekursive Struktur aus. Implementieren Sie die Algorithmen in einer Programmierspache Ihrer Wahl.

Konsolenausgabe des folgenden Quellcodes

rank("000") => 2
rank("001") => 5
rank("010") => 1
rank("011") => 6
rank("100") => 3
rank("101") => 4
rank("110") => 0
rank("111") => 7

unrank(0,3) => 110
unrank(1,3) => 010
unrank(2,3) => 000
unrank(3,3) => 100
unrank(4,3) => 101
unrank(5,3) => 001
unrank(6,3) => 011
unrank(7,3) => 111

succ("110") => 010
succ("010") => 000
succ("000") => 100
succ("100") => 101
succ("101") => 001
succ("001") => 011
succ("011") => 111
succ("111") => 110

Includes und Deklarationen

#include <iostream>
#include <sstream>
#include <vector>
#include <string>
#include <math.h>

using std::cout;
using std::endl;
using std::vector;
using std::string;

int rank(string val);
string unrank(unsigned int i, unsigned int n);
string succ(string val);
vector<string> create_GrayCode2(int n, string q);
template<typename T> string toString(T Val);
unsigned int eval(string val);
char cFlip(char c);
vector<string> reverse(vector<string> v);

Main()

int main() {

	cout << "rank(\"000\") => " << rank("000") << endl;
	cout << "rank(\"001\") => " << rank("001") << endl;
	cout << "rank(\"010\") => " << rank("010") << endl;
	cout << "rank(\"011\") => " << rank("011") << endl;
	cout << "rank(\"100\") => " << rank("100") << endl;
	cout << "rank(\"101\") => " << rank("101") << endl;
	cout << "rank(\"110\") => " << rank("110") << endl;
	cout << "rank(\"111\") => " << rank("111") << endl;
	cout << endl;

	cout << "unrank(0,3) => " << unrank(0, 3) << endl;
	cout << "unrank(1,3) => " << unrank(1, 3) << endl;
	cout << "unrank(2,3) => " << unrank(2, 3) << endl;
	cout << "unrank(3,3) => " << unrank(3, 3) << endl;
	cout << "unrank(4,3) => " << unrank(4, 3) << endl;
	cout << "unrank(5,3) => " << unrank(5, 3) << endl;
	cout << "unrank(6,3) => " << unrank(6, 3) << endl;
	cout << "unrank(7,3) => " << unrank(7, 3) << endl;
	cout << endl;

	cout << "succ(\"110\") => " << succ("110") << endl;
	cout << "succ(\"010\") => " << succ("010") << endl;
	cout << "succ(\"000\") => " << succ("000") << endl;
	cout << "succ(\"100\") => " << succ("100") << endl;
	cout << "succ(\"101\") => " << succ("101") << endl;
	cout << "succ(\"001\") => " << succ("001") << endl;
	cout << "succ(\"011\") => " << succ("011") << endl;
	cout << "succ(\"111\") => " << succ("111") << endl;
	cout << endl;

	return 0;
}	// main

Rank

int rank(string val) {
	/* Rank-Algorithmus fuer den Gray-Code */

	int r = 0;
	// Abbruchbedingung
	if (val.length() == 1) {
		//cout << "Abbruchbedingung erfuellt!" << endl;
		if (val[val.length() - 1] == '1')
			return 1;
		else
			return 0;
	}

	if (val[val.length() - 1] == '0') {
		// letztes Zeichen entfernen
		string tmp = val.substr(0, val.size() - 1);
		// neues letztes Zeichen drehen
		if (tmp[tmp.length() - 1] == '0')
			tmp[tmp.length() - 1] = '1';
		else
			tmp[tmp.length() - 1] = '0';

		//cout << "Rekursion: rank(" << tmp << ")" << endl;
		return r + rank(tmp);
	} else {
		// letztes Zeichen ist eine 1
		return r + pow(2, val.size()) / 2 + rank(val.substr(0, val.size() - 1));
	}
}	// rank

Unrank

string unrank(unsigned int i, unsigned int n) {
	/* Unrank-Algorithmus fuer den Gray-Code */

	string s = "";

	// Abbruchbedingung
	if (i >= pow(2, n))
		return "Keine Berechnung moeglich.";

	if (n == 0)
		return "";

	// Wenn i < Anzahl aller Teilmengen / 2 (2**n / 2)
	// 1. i befindet sich in der gespiegelten Haelfte
	// 2. Das letzte Zeichen ist eine "0"
	if (i < pow(2, n) / 2) {
		// Bestimme naechste Stelle
		s = unrank(i, n - 1);
		// Da wir uns in der gespiegelten Haelfte befinden
		// -> drehe das Bit der naechsten Stelle (also vor der "0") um
		s[s.size() - 1] = cFlip(s[s.size() - 1]);
		return s + "0";
	} else {
		// Wenn i >= Anzahl aller Teilmengen / 2 (2**n / 2)
		// 1. i befindet sich in der nicht gespiegelten Haelfte
		// 2. Das letzte Zeichen ist eine "1"
		// -> Subtrahiere den Offset (2** n / 2( von i und bestimme naechste Stelle
		return unrank(i - (pow(2, n) / 2), n - 1) + "1";
	}
}		// unrank

Successor

string succ(string val) {
	/* Successor-Implementierung fuer den Gray-Code */

	if (eval(val) % 2 == 1) { // Anzahl 0 ungerade
		//cout << "Anzahl ungerade" << endl;
		val[0] = cFlip(val[0]);
	} else { // Anzahl 0 gerade
			 // Finde erste 0 von links
			 // oder letzte von rechts
		std::size_t found = val.find_first_of("0");
		if (found != std::string::npos)
			val[found + 1] = cFlip(val[found + 1]);
		else
			val[val.size() - 1] = cFlip(val.size() - 1);
	}
	return val;
}			 // succ

Hilfsfunktionen

template<typename T>
string toString(T Val) {
    std::stringstream ss;
    ss << Val;
    return ss.str();
}

unsigned int eval(string val) {
    /* Hilfsfunktion Bestimmung der Anzahl aller Nullen eines Zeichenkette */
 
    // Abbruchbedingung
    if (val.size() == 0)
        return 0;
    if (val[val.size() - 1] == '0')
        return eval(val.substr(0, val.size() - 1)) + 1;
    else
        return eval(val.substr(0, val.size() - 1)) + 0;
}       // eval
 
char cFlip(char c) {
    /* Hilfsfunktion: Invertierung eines 'Bits' */
 
    if (c == '0')
        return '1';
    else
        return '0';
}       // cFlip
 
vector<string> reverse(vector<string> v) {
    /* Hilfsfunktion: Invertierung von Vektoren */
 
    vector<string> vTmp;
    for (unsigned int i = 0; i < v.size(); i++)
        vTmp.insert(vTmp.begin(), v[i]);
    return vTmp;
}       // reverse

Verallgemeinerung des Gray-Codes

Entwickeln und implementieren Sie einen Algorithmus zum Erzeugen aller Vektoren der Länge n mit Vektoreinträgen aus {0, 1,…, q – 1}, wobei sich zwei aufeinanderfolgende Vektoren an exakt einer Stelle unterscheiden sollen. Für q = 2 entspricht dies einem Gray-Code. Gehen Sie rekursiv wie für den Fall q = 2 vor.

Konsolenausgabe des folgenden Quellcodes

create_GrayCode2(n=3 q='01') => 110 010 000 100 101 001 011 111 

create_GrayCode2(n=3 q='012') => 020 120 220 210 110 010 000 100 200 201 101 001 011 111 211 221 121 021 022 122 222 212 112 012 002 102 202 

create_GrayCode2(n=4 q='012') => 2020 1020 0020 0120 1120 2120 2220 1220 0220 0210 1210 2210 2110 1110 0110 0010 1010 2010 2000 1000 0000 0100 1100 2100 2200 1200 0200 0201 1201 2201 2101 1101 0101 0001 1001 2001 2011 1011 0011 0111 1111 2111 2211 1211 0211 0221 1221 2221 2121 1121 0121 0021 1021 2021 2022 1022 0022 0122 1122 2122 2222 1222 0222 0212 1212 2212 2112 1112 0112 0012 1012 2012 2002 1002 0002 0102 1102 2102 2202 1202 0202 

create_GrayCode2(n=3 q='AB') => BBA ABA AAA BAA BAB AAB ABB BBB 

Main()

int main() {

	vector<string> vOut;
	vOut = create_GrayCode2(3, "01");
	cout << "create_GrayCode2(n=3 q='01') => ";
	for (unsigned int i = 0; i < vOut.size(); i++) {
		cout << vOut.at(i) << " ";
	}
	cout << endl << endl;

	vOut = create_GrayCode2(3, "012");
	cout << "create_GrayCode2(n=3 q='012') => ";
	for (unsigned int i = 0; i < vOut.size(); i++) {
		cout << vOut.at(i) << " ";
	}
	cout << endl << endl;

	vOut = create_GrayCode2(4, "012");
	cout << "create_GrayCode2(n=4 q='012') => ";
	for (unsigned int i = 0; i < vOut.size(); i++) {
		cout << vOut.at(i) << " ";
	}
	cout << endl << endl;

	vOut = create_GrayCode2(3, "AB");
	cout << "create_GrayCode2(n=3 q='AB') => ";
	for (unsigned int i = 0; i < vOut.size(); i++) {
		cout << vOut.at(i) << " ";
	}
	cout << endl << endl;

	return 0;
}	// main

Gray-Code

vector<string> create_GrayCode2(int n, string q) {
	/* Verallgemeinerung des Gray-Code Algorithmus
	 * -> q kann beliebige Zeichen enthalten
	 */

	vector<string> v;

	// Abbruchbedingung
	if (n == 0) { // Leere Menge
		v.push_back("");
		return v;
	}

	if (n == 1) { // Minimum
		for (unsigned int i = 0; i < q.size(); i++)
			v.push_back(toString(q.at(i)));
		return v;
	}

	// Rekursion: Erzeuge "unteren" Vektor (n - 1)
	// -> Hinweis: Rekursion endet bei n=1!
	// -> Fuer q = 3 waere vNew = {0, 1, 2}
	vector<string> vNew = create_GrayCode2(n - 1, q);

	// Baue Vektor n fuer jedes Zeichen in q zusammen
	for (unsigned int i = 0; i < q.size(); i++) {
		vector<string> vTmp;
		// Gray-Algorithmus beginnt immer mit invertiertem Vektor
		// -> Der dritte, fuenfte etc. Vektor muss wieder invertiert sein (q=2,4,...)
		// -> Alle restlos durch zwei teilbaren 'Positionen' sind zu invertieren!
		if (i % 2 == 0)
			vTmp = reverse(vNew);
		else
			vTmp = vNew;

		// Zeichen anhaengen
		for (unsigned int j = 0; j < vTmp.size(); j++)
			vTmp.at(j) = vTmp.at(j) + toString(q.at(i));

		// In den Hauptvektor kopieren
		v.insert(v.end(), vTmp.begin(), vTmp.end());

	}
	// Vektor fuer das aktuelle n zurueckgeben
	return v;
}		// create_GrayCode2

Der Beitrag Diskrete Strukturen (Praktikum 1) erschien zuerst auf Maximilian Krieg.

Datenträgeranalyse

Analyse des Datenträgers

Bestimmen Sie die Blockgröße des Datenträgers.

Mit Hilfe der Werkzeuge mmls und fdisk können relevante Informationen zu der Festplattenpartitionierung und folglich auch der Block- bzw. Sektorgröße ermittelt werden. Zunächst wird eine Analyse mit fdisk durchgeführt.

# fdisk arbeitskopie.dd 

Command (m for help): p

Disk arbeitskopie.dd: 6476 MB, 6476090368 bytes
255 heads, 63 sectors/track, 787 cylinders, total 12648614 sectors
Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disk identifier: 0xdbe43afc

	      Device   Boot    Start         End      Blocks   Id  System
arbeitskopie.dd1   *        2048    10231807     5114880    7  HPFS/NTFS/exFAT
arbeitskopie.dd2        10231808    10272767       20480    6  FAT16
arbeitskopie.dd3        10293248    12646399     1176576    f  W95 Ext'd (LBA)
arbeitskopie.dd5        10295296    12138495      921600    7  HPFS/NTFS/exFAT

Die Analyse zeigt uns, ob eine Partition bootfähig ist, an welcher Stelle eine Partition beginnt und endet sowie welches Dateisystem darauf zu finden ist. Die Analyse mit mmls liefert deutlich mehr Informationen dazu. Hier werden nicht-allokierte Bereiche und erweiterte Partitionen angezeigt. Anhand des Slot-Feldes kann man erkennen, in welcher Partitionstabelle eine Partition aufgeführt ist.

# mmls arbeitskopie.dd 
DOS Partition Table
Offset Sector: 0
Units are in 512-byte sectors

     Slot    Start        End          Length       Description
00:  Meta    0000000000   0000000000   0000000001   Primary Table (#0)
01:  -----   0000000000   0000002047   0000002048   Unallocated
02:  00:00   0000002048   0010231807   0010229760   NTFS (0x07)
03:  00:01   0010231808   0010272767   0000040960   DOS FAT16 (0x06)
04:  -----   0010272768   0010295295   0000022528   Unallocated
05:  Meta    0010293248   0012646399   0002353152   Win95 Extended (0x0f)
06:  Meta    0010293248   0010293248   0000000001   Extended Table (#1)
07:  01:00   0010295296   0012138495   0001843200   NTFS (0x07)
08:  -----   0012138496   0012648613   0000510118   Unallocated

Anhand dieser Informationen lässt sich mit hoher Wahrscheinlichkeit sagen, dass vier Partitionen auf dem Festplattenabbild vorhanden sind.

Analyse der Partitionstabelle

Schreiben Sie mittels dd den MBR in die Datei mbr.dd und vermerken Sie dessen Hashwert.

Der Master Boot Record (MBR) einer Festplatte befindet stets an der Stelle des ersten Sektors und enthält eine Partitionstabelle, welche die Aufteilung des Datenträgers beschreibt. Indem wir mit dem Offset 0 beginnen und nur einen einzigen Block kopieren, fertigen wir eine exakte bit-genaue Kopie des MBR an, die wir für eine genauere Untersuchung verwenden können. Der Hashwert dient als Nachweis, dass wir die Daten nicht verändert haben bei diesem Prozess.

# dd if=arbeitskopie.dd of=mbr.dd count=1 bs=512
1+0 records in
1+0 records out
512 bytes (512 B) copied, 3.2746e-05 s, 15.6 MB/s

# sha256sum mbr.dd 
b08385aaaf8db1bdc571d7190a728b02ec99990b571c614c8f3920dfedc39e74  mbr.dd

Beschreiben Sie die Aufteilung des Datenträgers in Partitionen.

Mit der zuvor extrahierten Kopie des MBR arbeiten wir nun weiter. Wir lassen uns zunächst die Inhalte der Kopie xxd in hexadezimaler Darstellung anzeigen.

# xxd mbr.dd 
0000000: 33c0 8ed0 bc00 7cfb 5007 501f fcbe 1b7c  3.....|.P.P....|
0000010: bf1b 0650 57b9 e501 f3a4 cbbd be07 b104  ...PW...........
0000020: 386e 007c 0975 1383 c510 e2f4 cd18 8bf5  8n.|.u..........
0000030: 83c6 1049 7419 382c 74f6 a0b5 07b4 078b  ...It.8,t.......
0000040: f0ac 3c00 74fc bb07 00b4 0ecd 10eb f288  ..<.t...........
0000050: 4e10 e846 0073 2afe 4610 807e 040b 740b  N..F.s*.F..~..t.
0000060: 807e 040c 7405 a0b6 0775 d280 4602 0683  .~..t....u..F...
0000070: 4608 0683 560a 00e8 2100 7305 a0b6 07eb  F...V...!.s.....
0000080: bc81 3efe 7d55 aa74 0b80 7e10 0074 c8a0  ..>.}U.t..~..t..
0000090: b707 eba9 8bfc 1e57 8bf5 cbbf 0500 8a56  .......W.......V
00000a0: 00b4 08cd 1372 238a c124 3f98 8ade 8afc  .....r#..$?.....
00000b0: 43f7 e38b d186 d6b1 06d2 ee42 f7e2 3956  C..........B..9V
00000c0: 0a77 2372 0539 4608 731c b801 02bb 007c  .w#r.9F.s......|
00000d0: 8b4e 028b 5600 cd13 7351 4f74 4e32 e48a  .N..V...sQOtN2..
00000e0: 5600 cd13 ebe4 8a56 0060 bbaa 55b4 41cd  V......V.`..U.A.
00000f0: 1372 3681 fb55 aa75 30f6 c101 742b 6160  .r6..U.u0...t+a`
0000100: 6a00 6a00 ff76 0aff 7608 6a00 6800 7c6a  j.j..v..v.j.h.|j
0000110: 016a 10b4 428b f4cd 1361 6173 0e4f 740b  .j..B....aas.Ot.
0000120: 32e4 8a56 00cd 13eb d661 f9c3 496e 7661  2..V.....a..Inva
0000130: 6c69 6420 7061 7274 6974 696f 6e20 7461  lid partition ta
0000140: 626c 6500 4572 726f 7220 6c6f 6164 696e  ble.Error loadin
0000150: 6720 6f70 6572 6174 696e 6720 7379 7374  g operating syst
0000160: 656d 004d 6973 7369 6e67 206f 7065 7261  em.Missing opera
0000170: 7469 6e67 2073 7973 7465 6d00 0000 0000  ting system.....
0000180: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000190: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001a0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001b0: 0000 0000 002c 4463 fc3a e4db 0000 8020  .....,Dc.:..... 
00001c0: 2100 07e5 a97c 0008 0000 0018 9c00 00e5  !....|..........
00001d0: aa7c 0672 b37f 0020 9c00 00a0 0000 00b8  .|.r... ........
00001e0: b980 0ffe ff12 0010 9d00 00e8 2300 0000  ............#...
00001f0: 0000 0000 0000 0000 0000 0000 0000 55aa  ..............U.

Mit dieser Darstellung lässt sich jedoch noch nicht viel anfangen. Per Konvention liegt in dem Bereich zwischen 0x01BE und 0x1FD die 64 Byte große Partitionstabelle. Extrahiert man diese Informationen und ordnet sie in Gruppen an, so ergibt sich folgende Partitionierung der Festplatte.

In der Partitionstabelle des MBR sind drei Partitionen vermerkt. Vergleicht man dies mit der Auswertung durch das Tool mmls, so lässt sich spätestens an dieser Stelle folgern, dass die Partition am Startblock 0010295296 durch eine erweiterte Partition mit eigener Partitionstabelle realisiert wurde. Da es sich bei erweiterten Partitionen um verkettete Listen handelt, muss die Partitionstabelle am Anfang der dritten Partition liegen. Dies wird in mmls anschaulich gezeigt. Dort wird eine erweiterte Tabelle an Block 0010293248 angezeigt.

Bestimmen Sie anhand der mbr.dd unter anderem für alle Partitionen den CHS Eintrag, den Typ der Partition, den Startsektor, die Anzahl der Sektoren in der Partition und ob diese bootfähig ist.

Als Voraussetzung für diesen Schritt muss die Übersetzung der hexadezimalen Darstellung der CHS-Adressierung in die reguläre Form erklärt werden.

Die folgende Tabelle bildet die zweite Wissensgrundlage und beschreibt, wie die Partitionstypen anhand ihrer Kennnummern identifiziert werden können.

Nun übertragen wir die hexadezimalen Daten aus der Partitionstabelle nach den genannten Schemata ein und analyisieren diese.

Bestimmen Sie diese Informationen zusätzlich fur die sekundären Partitionen.

Wir gehen wie gehabt vor und extrahieren den 512 Byte großen Block, der die Partitionsinformationen enthalten soll. Für diesen wird der Hashwert erzeugt.

# sha256sum mbr2.dd 
02e3892dca9ee74f4a2b9491696a1b4a2a0651a2408a636ad35bc70f77d97362  mbr2.dd
  
# dd if=arbeitskopie.dd of=mbr2.dd skip=0010293248 count=1  bs=512
1+0 records in
1+0 records out
512 bytes (512 B) copied, 0.000205835 s, 2.5 MB/s

Wie bei der vorherigen Aufgabe betrachten wir die hexadezimale Darstellung, um Informationen zu sammeln.

# xxd mbr2.dd 
0000000: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000010: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000020: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000030: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000040: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000050: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000060: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000070: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000080: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000090: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000a0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000b0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000c0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000d0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000e0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000f0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000100: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000110: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000120: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000130: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000140: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000150: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000160: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000170: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000180: 0000 0000 0000 0000 0000 0000 0000 0000  ................
0000190: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001a0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001b0: 0000 0000 0000 0000 0000 0000 0000 00d9  ................
00001c0: 9a80 0795 a2f3 0008 0000 0020 1c00 0000  ........... ....
00001d0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001e0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00001f0: 0000 0000 0000 0000 0000 0000 0000 55aa  ..............U.

In diesem Bereich sind die Boot Record Signature (0x55aa) und eine Partition (00d9 9a80 0795 a2f3 0008 0000 0020 1c00) zu finden. Wie zuvor werden die Informationen analysiert und notiert.

Geben Sie die LBA der nicht-allozierten Speicherbereiche an. Wie viele nicht-allozierte Speicherbereiche finden Sie?

Es gibt drei nicht-allozierte Speicherbereiche mit den LBA 0000000000, 0010293248 und 0012138496.

     Slot    Start        End          Length       Description
01:  -----   0000000000   0000002047   0000002048   Unallocated
04:  -----   0010272768   0010295295   0000022528   Unallocated
08:  -----   0012138496   0012648613   0000510118   Unallocated

Analyse der Partitionen

Schreiben Sie mittels dd die erste und die zweite Primäre Partition nach partition_1.dd bzw. partition_2.dd.

# dd if=arbeitskopie.dd of=partition_1.dd skip=2048 count=0010229760 bs=512
10229760+0 records in
10229760+0 records out
5237637120 bytes (5.2 GB) copied, 207.949 s, 25.2 MB/s

# dd if=arbeitskopie.dd of=partition_2.dd skip=10231808 count=40960  bs=512
40960+0 records in
40960+0 records out
20971520 bytes (21 MB) copied, 0.256054 s, 81.9 MB/s

Vermerken Sie deren Hashwerte.

# sha256sum partition_1.dd partition_2.dd 
cc224419f690065a653efa9cb58dbf546b72e7db752fe71229bfb4d11dd8e685  partition_1.dd
af1b66fdf5ae27c07da0fb9915c4d7f6f6be2941484136698e73fa75cc6aab86  partition_2.dd

Welche Dateisysteme sollten Sie laut Partitionstabelle dort vorfinden?

Laut Partitionstabelle sollte die erste Partition NTFS und die zweite Partition FAT16 verwenden.

Stimmen die Angaben?

Mit dem Werkzeug fsstat können konkrete Informationen über ein Dateisystem ausgelesen und angezeigt werden. Es eignet sich also bestens, um diese Frage zu beantworten.

# fsstat partition_1.dd 
FILE SYSTEM INFORMATION
--------------------------------------------
File System Type: NTFS
Volume Serial Number: 5C0E509B0E50704E
OEM Name: NTFS    
Volume Name: Volume1
Version: Windows XP

# fsstat partition_2.dd 
FILE SYSTEM INFORMATION
--------------------------------------------
File System Type: FAT16

OEM Name: mkdosfs
Volume ID: 0x3ccb36b8
Volume Label (Boot Sector):            
Volume Label (Root Directory):
File System Type Label: FAT16

Vergleicht man diese Informationen nun, so scheinen die Angaben im MBR bzw. der Partitionstabelle korrekt zu sein.

Analyse des nicht-allozierten Bereichs

Suchen Sie im dritten nicht-allozierten Speicherbereich nach versteckten Informationen. Geben Sie gefundene Informationen an.

Zunächst extrahieren wir den nicht-allozierten Speicherbereich und generieren eine Prüfsumme, um die Nachvollziehbarkeit und Integrität zu gewährleisten.

# dd if=arbeitskopie.dd of=u.dd skip=0012138496 count=0000510118 bs=512
510118+0 records in
510118+0 records out
261180416 bytes (261 MB) copied, 3.80292 s, 68.7 MB/s

# sha256sum u.dd 
5ceace853194138924c6fffad721d051d4f7735de261a60666af75d60702418f  u.dd

Mit dem Werkzeug scalpel lassen sich gelöschte Dateien auf einem Laufwerk wiederherstellen. Es ist somit ebenfalls geeignet die Daten im nicht-allozierten Bereich zu rekonstruieren. Diese Klasse von Programmen wird auch file carver genannt.

# scalpel -o out u.dd

Scalpel version 1.60 audit file
Started at Thu Apr 30 09:03:15 2015
Command line:
scalpel -o out u.dd 

Output directory: /root/Downloads/P1/u/out
Configuration file: /etc/scalpel/scalpel.conf

Opening target "H="

The following files were carved:
File                Start		Chop		Length		Extracted From
00000004.png       120455		NO          1111330		u.dd
00000001.jpg       212540		NO            44428		u.dd
00000000.jpg       100354		NO            13484		u.dd
00000002.jpg     51381248		NO            13484		u.dd
00000005.png     61672449		NO          1111330		u.dd
00000003.jpg    108820480		NO            44428		u.dd
00000016.pdf    204800000		NO          1115386		u.dd
...

An dieser Stelle werden alle Einträge, die nicht erfolgreich extrahiert werden können, nicht aufgeführt. Es verbleiben somit 7 Dateien, die sich regulär von den Anwendungen öffnen lassen. Laut Praktikumsbetreuer gibt es einen Fehler in scalpel bezüglich des png-Headers, wodurch einige Dateien nicht korrekt identifiziert oder extrahiert werden.

Der Beitrag Computer Forensik (Praktikum 2) erschien zuerst auf Maximilian Krieg.

Kopieren

Duplizieren Sie die Masterkopie EDF.dd mittels dd in die Datei arbeitskopie.dd.

Mit dem Werkzeug dd lassen sich bit-genaue Kopien von Dateien erzeugen. Im Gegensatz zu anderen Kopierfunktionen bleiben alle Informationen vom originalen Zustand erhalten.

# dd if=EDF.dd of=arbeitskopie.dd
12648614+0 records in
12648614+0 records out
6476090368 bytes (6.5 GB) copied, 442.091 s, 14.6 MB/s

Prüfen Sie die Übereinstimmung der beiden Hashwerte von EDF.dd und arbeitskopie.dd.

# sha256sum arbeitskopie.dd EDF.dd 
d93f75c0eb592538c49baeaa8081b90f3f2ddfd91e8d059b94e08bdca6b9f288  arbeitskopie.dd
d93f75c0eb592538c49baeaa8081b90f3f2ddfd91e8d059b94e08bdca6b9f288  EDF.dd

Wie sich zeigt sind die berechneten Hashwerte absolut identisch, weshalb die Dateien identisch sein müssen.

Kopieren Sie mittels dd aus arbeitskopie.dd ab Block 2048 bis einschließlich Block 10231807 nach partition_1.dd.

Bevor wir die Partition 1 extrahieren, möchte ich mir die eigentliche Partitionstabelle ansehen. Hierfür verwenden wir den Befehl mmls.

# mmls arbeitskopie.dd 
DOS Partition Table
Offset Sector: 0
Units are in 512-byte sectors

     Slot    Start        End          Length       Description
00:  Meta    0000000000   0000000000   0000000001   Primary Table (#0)
01:  -----   0000000000   0000002047   0000002048   Unallocated
02:  00:00   0000002048   0010231807   0010229760   NTFS (0x07)
03:  00:01   0010231808   0010272767   0000040960   DOS FAT16 (0x06)
04:  -----   0010272768   0010295295   0000022528   Unallocated
05:  Meta    0010293248   0012646399   0002353152   Win95 Extended (0x0f)
06:  Meta    0010293248   0010293248   0000000001   Extended Table (#1)
07:  01:00   0010295296   0012138495   0001843200   NTFS (0x07)
08:  -----   0012138496   0012648613   0000510118   Unallocated

Nun extrahieren wir die erste Partition, indem wir dd die ersten 2048 Blöcke überspringen lassen (beginnend mit 0) und lesen die nächsten 10229760 Blöcke ein. Die so erzeugte Datei umfasst ausschließlich den Bereich der Blöcke 2048 bis 10231807.

# dd if=arbeitskopie.dd of=partition_1.dd skip=2048 count=10229760 bs=512
10231807+0 records in
10231807+0 records out
5238685184 bytes (5.2 GB) copied, 189.473 s, 27.6 MB/s

Notieren Sie die Hashsumme von partition_1.dd.

# sha256sum partition_1.dd
cc224419f690065a653efa9cb58dbf546b72e7db752fe71229bfb4d11dd8e685  partition_1.dd

Hashsummen

Mounten Sie partition_1.dd nach /mnt/.

# mount partition_1.dd /mnt
The disk contains an unclean file system (0, 0).
The file system wasn't safely closed on Windows. Fixing.

Auf der Partition hat sich scheinbar eine Windows-Partition befunden, die nun wieder erfolgreich gemountet wird. Lediglich ein Fehler durch eine unsaubere Beendigung scheint zu existieren, der zunächst behoben werden muss. Danach lassen sich erfolgreich Ordnerstrukturen erkennen.

Kopieren Sie alle Dateien unter /mnt/Documents/ auf Ihre Festplatte und vergleichen Sie die SHA256-Hashsumme von Kopie und Original.

# cp -R /mnt/Documents /root/Downloads/P1

# sha256sum /mnt/Documents/* /root/Downloads/P1/Documents/*
f1a450d97f7779f8049af5dd4877b6867a01f0687a3fc62c388320ba243eae51  /mnt/Documents/file1
3bb8c855771c073508923e4a8818c076f2dc8a88dc30f2eb27b976f730064e62  /mnt/Documents/file2
68d11c70f05b7020ea3802a3b3c97489fd2bfe7c98c04579ce8607317f3dde07  /mnt/Documents/file3
f3861e09be1824ca693c302674abfbb99d313485446ad5fd9d3b54f964418bd3  /mnt/Documents/file4
45380bf0de0e900543cc9c9a9ac23491f3ee2de3e646f8f6d23ab5f149111c90  /mnt/Documents/file5
0ebd56d6f836d10618a909fad35578d0da8413ad8fcd0625e70005030662b674  /mnt/Documents/file6
fb6f1b1ff819f14688dccfae6be26b6ef1630c60cab30858e0b559f47e124ffa  /mnt/Documents/file7
c1c462a67811b81ad9aebe57c95107a9ae07c18f8178da5f43278fd45e2cfa50  /mnt/Documents/file8
f1a450d97f7779f8049af5dd4877b6867a01f0687a3fc62c388320ba243eae51  /root/Downloads/P1/Documents/file1
3bb8c855771c073508923e4a8818c076f2dc8a88dc30f2eb27b976f730064e62  /root/Downloads/P1/Documents/file2
68d11c70f05b7020ea3802a3b3c97489fd2bfe7c98c04579ce8607317f3dde07  /root/Downloads/P1/Documents/file3
f3861e09be1824ca693c302674abfbb99d313485446ad5fd9d3b54f964418bd3  /root/Downloads/P1/Documents/file4
45380bf0de0e900543cc9c9a9ac23491f3ee2de3e646f8f6d23ab5f149111c90  /root/Downloads/P1/Documents/file5
0ebd56d6f836d10618a909fad35578d0da8413ad8fcd0625e70005030662b674  /root/Downloads/P1/Documents/file6
fb6f1b1ff819f14688dccfae6be26b6ef1630c60cab30858e0b559f47e124ffa  /root/Downloads/P1/Documents/file7
c1c462a67811b81ad9aebe57c95107a9ae07c18f8178da5f43278fd45e2cfa50  /root/Downloads/P1/Documents/file8

Die Dateien wurden offensichtlich ohne Veränderung in den neuen Ordner kopiert. Die identischen Hashsummen sind ein Nachweis dafür.

Zu welchem Zweck werden Hashsummen in der Computer Forensik eingesetzt?

Kryptologische Hashfunktionen besitzen spezielle Eigenschaften, in der Praxis sind es kollisionsresistente Einwegfunktionen. Sie werden verwendet, um Nachrichten zu signieren bzw. die Integrität von Daten sicherzustellen.http://de.wikipedia.org/wiki/Hashfunktion

Hat sich die Hashsumme von partition_1.dd geändert? Falls ja, warum?

# sha256sum partition_1.dd 
e01d086ec789334fb8e8956e2d31169cf301841a0f01448e55bb8e90e1f0a8f5  partition_1.dd

Beim Zugriff auf das Festplattenabbild kann es immer zu unerwünschten Schreibzugriffen kommen, die Informationen ändern. Die Fehlerkorrektur beim Mounten der Datei hat vermutlich zu der Veränderung geführt. Die Verwendung des readonly-Parameters hätte an dieser Stelle zuverlässig geholfen.

# mount -o ro partition_1.dd /mnt

Klassifikation verschiedener Dateitypen

Klassifizieren Sie die Art der Dateien anhand der Metadaten-Informationen, die in jeder Datei enthalten sind. Erläutern Sie, wie Sie den Dateityp bestimmt haben.

Wir schauen uns zunächst an, wie das Betriebssystem diese Dateien identifiziert. Das Werkzeug file untersucht dafür die sogenannten Magic numbers, die am Anfang der Dateien stehen.

# file *
file1: JPEG image data, JFIF standard 1.01
file2: Zip archive data, at least v2.0 to extract
file3: data
file4: data
file5: data
file6: data
file7: PC bitmap, Windows 3.x format, 607 x 351 x 32
file8: data

Wir überprüfen die Aussagen des Werkzeugs indem wir die Dateien 1, 2 und 7 zu öffnen versuchen. Dies lässt sich auch bewerkstelligen. Die Dateien 1 und 7 sind Bilder, letztere ist jedoch beschädigt. Bei Datei 2 handelt es sich um einen BSI-Leitfaden.

Für die restlichen Dateien verwenden wir zunächst xxd, um uns die Dateiköpfe anzusehen.

# xxd -l 32 file3
0000000: 8950 6466 0d0a 1a0a 0000 000d 4948 4452  .Pdf........IHDR
0000010: 0000 0238 0000 01ab 0802 0000 0042 0d7a  ...8.........B.z

# xxd -l 32 file4
0000000: 3a94 d49a 6fb4 0027 62a6 7b87 0719 8ef9  :...o..'b.{.....
0000010: 5f36 23de 16f8 4b1b 1f52 d4aa 1e48 ff00  _6#...K..R...H..

# xxd -l 32 file5
0000000: 5044 462d 312e 360d 25e2 e3cf d30d 0a32  PDF-1.6.%......2
0000010: 3730 3820 3020 6f62 6a0d 3c3c 2f4c 696e  708 0 obj.<</Lin

# xxd -l 32 file6
0000000: 5241 5221 1a07 0066 6f72 6d61 7420 3300  RAR!...format 3.
0000010: 1000 0101 0040 2000 0000 001c 0000 0004  .....@ .........

# xxd -l 32 file8
0000000: ffff 504b 0304 1400 0008 0000 2285 483d  ..PK........".H=
0000010: 5ec6 320c 2700 0000 2700 0000 0800 0000  ^.2.'...'.......

Auf den ersten Blick scheint es sich bei den Dateien 3,5 und 6 um PDFs und ein RAR-Archiv zu handeln. Vergleicht man die Magic Numbers mit einer Liste im Internet (Link), so erkennt man, dass hier kaum etwas komplett stimmt.

Wir untersuchen zunächst die Datei 3 mit strings, um mehr über deren Inhalt zu erfahren.

# strings file3
IHDR
sRGB
pHYs
tIME
IDATx
uEQt
jjjB
...

In Datei 3 sind Zeichenketten, wie IHDR, sRGB und pHYs zu finden, die typisch für png-Dateien sind. Eine vollständige Betrachtung der hexadezimalen Darstellung und ein Abgleich mit den Magic Numbers zeigt, dass der Datei-Trailer (49 45 4E 44 AE 42 60 82) ebenfalls zu png-Dateien gehört und der Dateikopf (89 50 4E 47 0D 0A 1A 0A) nahezu korrekt ist, mit kleinen Abweichungen.

# xxd file3
...
...
003add0: f52f 35d2 2a22 5c66 6d18 0000 0000 4945  ./5.*"\fm.....IE
003ade0: 4e44 ae42 6082

Korrigiert man die Abweichung 64 66 zu 4e 47, so lässt sich die Datei wieder öffnen. Sie zeigt den Campusplan der Hochschule Darmstadt. Der Dateikopf sieht nun wie folgt aus.

# xxd -l 16 f3
0000000: 8950 4e47 0d0a 1a0a 0000 000d 4948 4452  .PNG........IHDR

Nun nehmen wir uns Datei 4 vor. Die Idee, sich den Datei-Trailer anzusehen, ist ein guter Ansatzpunkt. Die Kennzeichnung FF D9 stimmt mit dem Ende des JPEG-Formats überein. Betrachtet man den Dateikopf, so scheint dieser komplett zu fehlen oder falsch zu sein. Wir untersuchen die funktionierende JPEG-Datei (Datei 1) und erkennen, dass der Inhalt von Datei 4 komplett in Datei 1 enthalten ist. Wir fügen mit Hilfe eines Hexeditors den fehlenden Teil von Datei 1 ein.

FF D8 FF E0 00 10 4A 46 49 46 00 01 01 00 00 01 00 01 00 00 FF DB 00 84 00 09 06 06 14 12 11 15 14 10 14 14 14 15 15 17 14 14 15 14 14 15 14 14 17 14 14 14 14 15 15 14 14 15 14 17 1C 26 1E 17 19 23 19 14 14 1F 2F 20 24 27 29 2C 2C 2C 15 1E 31 35 30 2A 35 26 2B 2C 29 01 09 0A 0A 0E 0C 0E 17 0F 0F 14 29 1C 1C 1C 29 29 29 29 29 2C 29 29 29 2C 29 34 2D 29 29 2C 29 29 2C 29 2C 29 29 2C 29 29 29 29 29 2C 29 29 29 29 29 29 29 29 29 29 29 29 2C 2E 2C 2B 29 29 29 29 FF C0 00 11 08 00 C2 01 03 03 01 22 00 02 11 01 03 11 01 FF C4 00 1B 00 00 02 02 03 01 00 00 00 00 00 00 00 00 00 00 00 00 03 02 07 04 05 06 01 FF C4 00 42 10 00 02 01 02 02 06 06 06 08 05 04 02 03 00 00 00 01 02 00 03 11 04 21 05 06 12 31 41 51 22 61 71 81 91 A1 07 13 32 52 B1 C1 24 42 72 73 82 92 B2 D1 23 33 A2 C2 F0 14 34 62 93 63 E1 16 43 B3 FF C4 00 1A 01 00 03 00 03 01 00 00 00 00 00 00 00 00 00 00 00 00 01 02 03 05 06 04 FF C4 00 21 11 01 01 01 00 01 04 02 03 01 00 00 00 00 00 00 00 00 01 02 11 03 04 12 21 31 51 22 41 61 13 FF DA 00 0C 03 01 00 02 11 03 11 00 3F 00 AA EA AD 82 8E A9 2A 29 61 BE 4B 10 33 EC 92 51 95 A4 69 71 E8 23 AE 1E B2 DC 24 48 EB 82 66 6C A0 9B E4 07 39 0A 3B 0B 41 EA B8 44 CC 93 DD D6 4F 57 5C EC 75 6F 1D 42 98 F5 41 B6 5C 12 1B 6A CB B6 C0 DA E0 EE 3B B2 1B E7 BA 03 44 8A 2B 72 06 DB 7B 47 97 FC 41 9C 66 34 F4 DB ED 37 EA 32 E6 79 2E 56 E2 18 F5 32 AF D1 5A D7 5A 8D 85 F6 D4 7D 57 E0 39 06 DE 3E 1D 53 B5 D1 1A D9 46 B5 85 F6 1F DD 72 05 FE CB 6E 3E 47 AA 17 3C 0E 5D 0A 98 E5 31 08 63 14 C4 0E 06 31 4C 52 99 31 00 72 B4 60 33 1C 34 60 68 0E 4F 53 18 A6 63 83 18 8D 03 47 15 81 4A 82 CE 2F 63 70 77 10 79 82 33 06 6B F1 0A D4 F2 AB 77 4E 15 40 BB A0 FF 00 C8 A3 DA 1D 62 6D 54 C9 03 2F 1B D6 2F 32 A7 59 9B 9C 6A 34 AC B9 02 08 65 3B 99 4D C1 1D 46 46 65 D7 D1 85 49 6A 04 29 39 B5 33 FC B7 ED 1F 55 BA C7 9C C4 4A 81 89 00 15 71 9B 53 6F 68 0E 6B EF AF 58 9B 5E 8F 75 37 EB 5E AB 55 D7 ED 2E 3D E7 DC 10 84 27 B1 E2 10 84 20 04 21 08 01 08 42 00 42 10 80 10 84 20 1E C2 10 88 28 FA C7 A4 7B 60 C6 45 CF C6 7A D3 9D D7 CB A2 88 CE 9F 57 B4 3E C5 AA 54 1D 22 3A 23 DD 1F B9 F9 CD 66 89 C1 9B 8A 8C 85 97 80 16 27 B7 64 EF 13 A9 C2 63 11 FD 92 2F EE 9C 88 EE 31 06 75 14 00 DF 9C AD F1 2D D2 3D 64 FC 65 92 B2 B2 AA D9 F7 CB C9 51 78 C5 68 8B C9 A9 99 09 6E 6A CD 4B E1 68 FD 85 FD A6 DD 0C D0 EA BB 7D 12 97 D8 1F 13 37 54 DA 61 AA 64 29 93 43 13 4D A3 11 A2 06 C9 83 14 0C 98 8C 1A 1A 49 0C 54 98 31 19 CA D2 60 C4 03 26 1B 7C 01 EA 66 3E 33 47 A5 51 D2 19 8F 65 86 4C A7 98 61 98 8C 53 27 B7 18 69 71 01 A9 9B 56 CD 78 56 51 BB EF 54 6E FB 43 2E 76 83 2D BB 0E 60 8C C1 1C C1 9B D2 2F 35 98 8D 16 53 A5 42 D6 39 B5 23 EC 31 E6 BE E3 75 8C B9 CF 6F 47 BA B8 F5 AF 71 E3 EB 76 B9 DF BC FA AC 48 41 18 35 C0 B8 61 ED 53 6C 9D 7A ED C4 75 88 4D 9E 37 9D CE 73 5A BD E3 58 BC 6A 08 42 12 D0 21 08 40 08 42 10 02 10 84 03 D8 42 11 05 1C 46 62 66 68 FC 07 AC 6B 9F 64 1C FA FA A2 F0 D8 03 51 B7 D8 79 CE 86 85 10 A0 05 C8 09 CE D7 45 CB 2A 8A 5B 21 BA 3A A6 19 5F DA 00 F5 F1 EE 23 39 14 11 D4 E2 04 35

Nach diesem Schritt lässt sich Datei 4 wieder öffnen. Tatsächlich sind die Dateien identisch.

Nun wenden wir uns Datei 5 zu. Normalerweise verfügen PDF-Dateien über den Anfang 25 50 44 46. Mit der Idee im Kopf, dass man nur kleinere Fehler korrigieren muss, fügen wir die fehlenden 0x25 am Anfang der Datei ein.

# xxd -l 16 file5
0000000: 2550 4446 2d31 2e36 0d25 e2e3 cfd3 0d0a  %PDF-1.6.%......

Daraufhin lässt sich die Datei wieder öffnen. Es handelt sich um den gleichen BSI-Leitfaden, der in Datei 2 enthalten ist.

Die vorhergehenden Schritte haben wir nun auch auf Datei 6 angewendet, ohne Erfolg. Das format 3 weist jedoch auf eine sqlite-Datei hin. Die Auswertung von strings zeigt, dass tatsächlich die Datensätze einer sqlite-Datei enthalten sind.

/tablecontactscontacts
CREATE TABLE contacts (
    name VARCHAR(32) PRIMARY KEY,
    no INTEGER UNIQUE
indexsqlite_autoindex_contacts_2contacts
indexsqlite_autoindex_contacts_1contacts

Untersucht man Datei 8 mit strings, so finden sich Zeichenketten wie application/vnd.oasis.opendocument.text darin, die auf eine OpenDocument-Textdatei schließen lässt.

Datei Header Analyse

Finden Sie so viel wie möglich uber die Datei file7 heraus, in dem Sie nur das Linux Kommando hexdump oder xxd auf die ersten 27 Bytes der Datei anwenden.

# xxd -l 27 file7
0000000: 424d 42df 0a00 0000 0000 3600 0000 2800  BMB.......6...(.
0000010: 0000 5f02 0000 5f01 0000 01              .._..._....

Wir übertragen diese Informationen auf ein Tabellenschema und analyisieren diese Werte nun. Man muss darauf achten, dass die Berechnung von Werten durch die Byte-Reihenfolge (endianess) beeinflusst wird. Die Zahlen, bis auf den Typ, sind also von rechts nach links auszuwerten.

Sind alle angegebenen Informationen korrekt? Wie erklären Sie sich die Unstimmigkeiten?

Die Größe der Bitmap-Datei ist nicht korrekt. Auf dem Dateisystem nimmt das Bild 692034 Byte ein. Vermutlich sind Informationen beim Wiederherstellungsvorgang verloren gegangen.

Der Beitrag Computer Forensik (Praktikum 1) erschien zuerst auf Maximilian Krieg.

Für diesen Termin habe ich keine Lösung implementiert.

Der Beitrag Verteilte Systeme (Praktikum 5) erschien zuerst auf Maximilian Krieg.

Für diesen Termin habe ich keine Lösung implementiert.

Der Beitrag Verteilte Systeme (Praktikum 4) erschien zuerst auf Maximilian Krieg.