Forense caso 00c: mudanças entre as edições
Sem resumo de edição |
Sem resumo de edição |
||
| Linha 25: | Linha 25: | ||
# Explique a lógica do comando utilizado na questão anterior. | # Explique a lógica do comando utilizado na questão anterior. | ||
# Há um e-mail criado por Sávio gravado na memória. Encontre o conteúdo desse e-mail, que é destinado a uma moça de nome Cristina. Observe que, na memória, vários caracteres são armazenados em ''unicode HTML''.'''*''' (strings + grep) | # Há um e-mail criado por Sávio gravado na memória. Encontre o conteúdo desse e-mail, que é destinado a uma moça de nome Cristina. Observe que, na memória, vários caracteres são armazenados em ''unicode HTML''.'''*''' (strings + grep) | ||
# Depois de encontrar a mensagem citada | # Descubra o endereço de e-mail da Cristina. (strings + grep, podendo ser que o caractere @ esteja no formato unicode'''*''' %40). | ||
# Depois de encontrar a mensagem citada em item anterior, copie e cole o conteúdo original dentro de um arquivo chamado ''msg.txt''. A seguir, execute o seguinte comando para "limpá-la":<br><br><nowiki>$ cat msg.txt | echo -e $(sed 's/%/\\x/g') | sed 's/<br \/>/\n/g'</nowiki><br><br> | |||
# Explique a lógica do comando utilizado na questão anterior. | # Explique a lógica do comando utilizado na questão anterior. | ||
# Descubra o endereço e a senha de e-mail do Sávio. (strings + grep | # Descubra o endereço e a senha de e-mail do Sávio. (strings + grep [Pp]ass) | ||
# Analisando a memória, cite uma URL de download do programa Eraser. (strings + grep) | # Analisando a memória, cite uma URL de download do programa Eraser. (strings + grep) | ||
'''*''' Há vários sites sitando esses caracteres. O espaço, por exemplo, é representado por %20. Uma referência: http://www.blooberry.com/indexdot/html/topics/urlencoding.htm. | '''*''' Há vários sites sitando esses caracteres. O espaço, por exemplo, é representado por %20. Uma referência: http://www.blooberry.com/indexdot/html/topics/urlencoding.htm. | ||
Edição das 11h05min de 21 de fevereiro de 2013
by (C) João Eriberto Mota Filho <eriberto (a) eriberto pro br>
Caso para estudo, ligado diretamente ao artigo perícia forense computacional, existente neste wiki.
Última atualização: veja o rodapé desta página.
Neste exercício serão realizadas análises de memória coletada em ambiente MS Windows.
Um determinado usuário, chamado Sávio, baixou algumas imagens no seu computador mas, depois, apagou usando uma ferramenta chamada Eraser, que é um Software Livre que realiza uma ação de wipe. Além disso, ele navegou em alguns sites via Internet Explorer. Um deles foi o do próprio Eraser, pois Sávio teve que baixá-lo para poder instalar.
Uma outra ação de Sávio foi enviar um e-mail para uma amiga.
Serão feitas várias perguntas. Por tratar-se de um exercício avançado, serão citadas ferramentas e técnicas que deverão ser empregadas para obter resultados.
Cabe ressaltar que não foi fornecido o dump de memória completo e sim um arquivo strings, uma vez que o referido dump, compactado, ocuparia cerca de 1 GB de espaço, tornando inviável, para muitos, o seu download.
Exercício: responda às perguntas a seguir, analisando os dados encontrados no arquivo ram.dd.strings.bz2 (52 MB comprimidos e 143 MB totalmente descomprimidos).
O hash MD5 da imagem comprimida é 606da3c813731275bee86ce5e1ec912e.
Para descompactar a imagem, utilize o comando:
$ bunzip2 ram.dd.strings.bz2
Responda:
- Qual é a versão do MS Windows utilizado? (Dica completa: $ cat ram.dd.strings |egrep '(KB[0-9]{6})'| grep -i windows)
- Explique a lógica do comando utilizado na questão anterior.
- Há um e-mail criado por Sávio gravado na memória. Encontre o conteúdo desse e-mail, que é destinado a uma moça de nome Cristina. Observe que, na memória, vários caracteres são armazenados em unicode HTML.* (strings + grep)
- Descubra o endereço de e-mail da Cristina. (strings + grep, podendo ser que o caractere @ esteja no formato unicode* %40).
- Depois de encontrar a mensagem citada em item anterior, copie e cole o conteúdo original dentro de um arquivo chamado msg.txt. A seguir, execute o seguinte comando para "limpá-la":
$ cat msg.txt | echo -e $(sed 's/%/\\x/g') | sed 's/<br \/>/\n/g' - Explique a lógica do comando utilizado na questão anterior.
- Descubra o endereço e a senha de e-mail do Sávio. (strings + grep [Pp]ass)
- Analisando a memória, cite uma URL de download do programa Eraser. (strings + grep)
* Há vários sites sitando esses caracteres. O espaço, por exemplo, é representado por %20. Uma referência: http://www.blooberry.com/indexdot/html/topics/urlencoding.htm.