• Passa al contenuto principale
  • Passa alla barra laterale primaria

Consulenti ICT

Professionisti e consulenti ICT

  • Home
  • News
    • News Generali
    • News Tecniche
    • News Pubblica Amministrazione
    • News Legali
  • Comunicazioni di servizio
  • Iniziative
  • PAFlow
  • Consigli per lavorare
  • Informatica Forense
Home » Raw2Fs e Scripts4CF scripts and tools…

Raw2Fs e Scripts4CF scripts and tools…

Raw2FS, acronimo che serve ad indicare lo scopo di questo mio nuovo bash script per Linux, ossia ricondurre i nomi dei file estratti con tool come Foremost, al nome presente nel file system, con tutto il suo percorso.

Sappiamo che Foremost, come altri carver, salvano i file nominandoli col numero di settore (da 512 bytes), di partenza, in cui questi si trovano, quindi mi serviva uno strumento per risalire all’eventuale nome presente nel file system. Se il file “carvato” non ha corrispondenza con un i-node allora il tool salva l’output hex/ascii di un settore/cluster/block in  un file di testo. Tutto è riassunto in un report in HTML.

Ma visto che ero in argomento, perchè non implementare anche una ricerca per stringhe? Raw2Fs permette di cercare più keywords oppure di caricare un file di testo, generato dal “grepping” e riportare tutti i file nel file system che contengono quelle keywords, se invece la keyword è contenuta nello slack space, allora viene salvato l’output hex/ascii di un settore/cluster/block.

Il motore di tutto è questo:

se ho un file nominato 00001234.doc (carving), quel numero “1234” rappresenta il settore in cui il file è stato trovato dal carver, quindi lo si moltiplica per 512 (dimensione minima del settore) e si ottiene l’offset in byes del file, che chiamremo $offcarv.

Poi il tool cerca a quale partizione appartiene il file, trova l’inizio della partizione/spazio non allocato e moltiplica lo starting sector per la dimensione del settore/cluster/blocco (es. 1024), che chiameremo $ss, per ottenere l’offset in bytes della partizione, che chiameremo $offbytepart. (ricodiamo che per fat -> settore, ntfs -> cluster, ext2/3 -> blocco).

Ed ecco la formuletta:

($offcarv – $offbytepart) / $ss

Ossia l’offset del file carvato meno l’offset di inizio partizione diviso la grandezza del settore/cluster/blocco usato in quella partizione da quel file system. Poi tramite i tools dello Sleuthkit, Raw2Fs fa tutto il resto…. 🙂

Per le keywords stesso discorso, solo che nel file derivante dalla ricerca con strings e grep, si trovano già gli offset in bytes delle stringhe, quindi non c’è bisogno di moltiplicare per 512.

Dopo quest’ennesima “fatica”, ho pensato di lanciare il sito http://scripts4cf.sf.net contenente alcuni scripts utili, ad oggi realizzati da me e da Denis Frati, ma aperto ad ospitare anche scripts fatti da altri, insomma una vera e propria piccola biblioteca di tools costruiti dagli “investigatori digitali”, man mano che si trovano a dover affrontare e risolvere i problemi che incontrano durante le loro indagini e/o esercizi.

Spero di aver fatto cosa utile… 😉

—

P.S. Consiglio la lettura anche di questo articolo sul tema.

Interazioni del lettore

Lascia un commento Annulla risposta

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Barra laterale primaria

Articoli recenti

  • Anche la Regione Abruzzo comincia a pensare al software libero
  • Utenti e permessi su Linux
  • Tasksel
  • Prorogato albo pretorio on-line: nuovo termine 1 luglio 2010
  • L’avvocato risponde

Commenti recenti

  • Adeguamento normative Garante della Privacy - Consulenti ICT su Amministratori di sistema sotto la lente.

Copyright © 2021 · Consulenti ICT · Sviluppato da Studio Wasabi · P.IVA 02114920461 · Accedi

Usiamo i cookie per fornirti la miglior esperienza d'uso e navigazione sul nostro sito web.

You can find out more about which cookies we are using or switch them off in settings.

Consulenti ICT
Powered by  GDPR Cookie Compliance
Panoramica privacy

This website uses cookies so that we can provide you with the best user experience possible. Cookie information is stored in your browser and performs functions such as recognising you when you return to our website and helping our team to understand which sections of the website you find most interesting and useful.

Cookie strettamente necessari

I cookie strettamente necessari dovrebbero essere sempre attivati per poter salvare le tue preferenze per le impostazioni dei cookie.

Se disabiliti questo cookie, non saremo in grado di salvare le tue preferenze. Ciò significa che ogni volta che visiti questo sito web dovrai abilitare o disabilitare nuovamente i cookie.