• Passa al contenuto principale
  • Passa alla barra laterale primaria

Consulenti ICT

Professionisti e consulenti ICT

  • Home
  • News
    • News Generali
    • News Tecniche
    • News Pubblica Amministrazione
    • News Legali
  • Comunicazioni di servizio
  • Iniziative
  • PAFlow
  • Consigli per lavorare
  • Informatica Forense
Home » Raw2Fs e Scripts4CF scripts and tools…

Raw2Fs e Scripts4CF scripts and tools…

Raw2FS, acronimo che serve ad indicare lo scopo di questo mio nuovo bash script per Linux, ossia ricondurre i nomi dei file estratti con tool come Foremost, al nome presente nel file system, con tutto il suo percorso.

Sappiamo che Foremost, come altri carver, salvano i file nominandoli col numero di settore (da 512 bytes), di partenza, in cui questi si trovano, quindi mi serviva uno strumento per risalire all’eventuale nome presente nel file system. Se il file “carvato” non ha corrispondenza con un i-node allora il tool salva l’output hex/ascii di un settore/cluster/block in  un file di testo. Tutto è riassunto in un report in HTML.

Ma visto che ero in argomento, perchè non implementare anche una ricerca per stringhe? Raw2Fs permette di cercare più keywords oppure di caricare un file di testo, generato dal “grepping” e riportare tutti i file nel file system che contengono quelle keywords, se invece la keyword è contenuta nello slack space, allora viene salvato l’output hex/ascii di un settore/cluster/block.

Il motore di tutto è questo:

se ho un file nominato 00001234.doc (carving), quel numero “1234” rappresenta il settore in cui il file è stato trovato dal carver, quindi lo si moltiplica per 512 (dimensione minima del settore) e si ottiene l’offset in byes del file, che chiamremo $offcarv.

Poi il tool cerca a quale partizione appartiene il file, trova l’inizio della partizione/spazio non allocato e moltiplica lo starting sector per la dimensione del settore/cluster/blocco (es. 1024), che chiameremo $ss, per ottenere l’offset in bytes della partizione, che chiameremo $offbytepart. (ricodiamo che per fat -> settore, ntfs -> cluster, ext2/3 -> blocco).

Ed ecco la formuletta:

($offcarv – $offbytepart) / $ss

Ossia l’offset del file carvato meno l’offset di inizio partizione diviso la grandezza del settore/cluster/blocco usato in quella partizione da quel file system. Poi tramite i tools dello Sleuthkit, Raw2Fs fa tutto il resto…. 🙂

Per le keywords stesso discorso, solo che nel file derivante dalla ricerca con strings e grep, si trovano già gli offset in bytes delle stringhe, quindi non c’è bisogno di moltiplicare per 512.

Dopo quest’ennesima “fatica”, ho pensato di lanciare il sito https://scripts4cf.sf.net contenente alcuni scripts utili, ad oggi realizzati da me e da Denis Frati, ma aperto ad ospitare anche scripts fatti da altri, insomma una vera e propria piccola biblioteca di tools costruiti dagli “investigatori digitali”, man mano che si trovano a dover affrontare e risolvere i problemi che incontrano durante le loro indagini e/o esercizi.

Spero di aver fatto cosa utile… 😉

—

P.S. Consiglio la lettura anche di questo articolo sul tema.

Interazioni del lettore

Lascia un commento Annulla risposta

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Barra laterale primaria

Articoli recenti

  • Cyber security: come affrontare la sicurezza nelle aziende ICT 10 Novembre 2022
  • Anche la Regione Abruzzo comincia a pensare al software libero 29 Dicembre 2009
  • Utenti e permessi su Linux 27 Dicembre 2009
  • Tasksel 25 Dicembre 2009
  • Prorogato albo pretorio on-line: nuovo termine 1 luglio 2010 20 Dicembre 2009
  • L’avvocato risponde 18 Dicembre 2009
  • Precisazioni del Garante per AdS 15 Dicembre 2009
  • Attenti alle impostazioni di Facebook! 15 Dicembre 2009

Commenti recenti

  • Mauro su Il Dizionario degli Orrori
  • Adeguamento normative Garante della Privacy - Consulenti ICT su Amministratori di sistema sotto la lente.

Copyright © 2023 · Consulenti ICT · Sviluppato da Studio Wasabi · P.IVA 02114920461 · Accedi

Usiamo i cookie per fornirti la miglior esperienza d'uso e navigazione sul nostro sito web.

Puoi trovare altre informazioni riguardo a quali cookie usiamo sul sito o disabilitarli nelle impostazioni.

Consulenti ICT
Powered by  GDPR Cookie Compliance
Panoramica privacy

This website uses cookies so that we can provide you with the best user experience possible. Cookie information is stored in your browser and performs functions such as recognising you when you return to our website and helping our team to understand which sections of the website you find most interesting and useful.

Cookie strettamente necessari

I cookie strettamente necessari dovrebbero essere sempre attivati per poter salvare le tue preferenze per le impostazioni dei cookie.

Se disabiliti questo cookie, non saremo in grado di salvare le tue preferenze. Ciò significa che ogni volta che visiti questo sito web dovrai abilitare o disabilitare nuovamente i cookie.

Cookie di terze parti

This website uses Google Analytics to collect anonymous information such as the number of visitors to the site, and the most popular pages.

Keeping this cookie enabled helps us to improve our website.

Attiva i cookie strettamente necessari così da poter salvare le tue preferenze!

Cookie Policy

More information about our Cookie Policy