Metadata and File Carving

Cette leçon abordera ce que sont les métadonnées et comment elles peuvent contenir des informations précieuses, ce qu'est le découpage de fichiers et comment récupérer des fichiers cachés dans d'autres fichiers. Les métadonnées sont des « données sur les données », ce qui peut prêter à confusion, mais qui est relativement simple. Si vous avez un document Microsoft Word qui contient du texte, ce texte est une donnée. Les métadonnées sont des informations qui décrivent les données et peuvent inclure des détails tels que l'auteur du document. Sur les photos, elles peuvent contenir les paramètres de l'appareil photo, la position GPS, la résolution, etc. Le découpage de fichiers est un processus de recherche de fichiers dans un flux de données utilisé pour découper des fichiers supprimés à partir d'images de disque. Nous pouvons ainsi examiner les fichiers supprimés par un utilisateur, à condition qu'ils n'aient pas été remplacés par de nouvelles données.

Métadonnées

Examinons certaines métadonnées en consultant les propriétés des fichiers dans le système d'exploitation Windows. En cliquant avec le bouton droit sur un fichier Microsoft Word et en cliquant sur l'onglet « Détails », nous pouvons voir des informations utiles, notamment l'auteur, la date de création du fichier, le dernier enregistrement et le nombre de mots.

Nous pouvons également récupérer des métadonnées dans un Linux système en utilisant la même méthode que ci-dessus, en cliquant avec le bouton droit sur un fichier et en visualisant les propriétés, ou en utilisant deux commandes, ls -lisap <file> etstat <file>, comme indiqué ci-dessous. Dans ce cas, nous recevons des informations telles que les autorisations de lecture/écriture dont nous disposons, le nom et la taille du fichier, ainsi que les heures auxquelles le fichier a été consulté et modifié pour la dernière fois.

Un excellent outil de ligne de commande que nous pouvons utiliser dans Kali Linux est exiftool celui qui permet de récupérer les métadonnées des fichiers. Tapez « exiftool » pour voir si vous l'avez installé, sinon, utilisez-le sudo apt-get install exiftool pour télécharger et installer l'outil.

L'outil est simple à utiliser, il suffit de taper exiftool <filename> et nous pouvons récupérer une tonne d'informations utiles, comme le montre la démonstration GIF ci-dessous.

Gravure de fichiers

Nous allons vous montrer comment récupérer des fichiers supprimés à l'aide de l'outil de Linux ligne de commande. scalpel Si vous n'avez jamais utilisé cet outil auparavant, utilisez la commande man scalpel pour voir ce qu'il peut faire ! Lorsque vous essayez d'utiliser un scalpel sur un fichier image disque (.img), l'outil communique avec son fichier de configuration, qui se trouve /etc/scalpel/scalpel.conf par défaut à l'emplacement. Ce fichier de configuration nous permet de définir les types de fichiers que nous essayons de rechercher. Prenons un exemple où nous pensons qu'un suspect a supprimé un fichier image .jpg contenant des informations sensibles et que nous devons le récupérer sous forme de preuve numérique. Le disque dur semblait vide lorsqu'il a été récupéré sur la scène du crime, mais une image du disque a été prise bit par bit, ce qui nous a permis d'identifier les fichiers supprimés.

Tout d'abord, nous devons modifier le scalpel.conf fichier pour indiquer à scalpel que nous voulons identifier et extraire les fichiers Microsoft Office Word. Vous pouvez utiliser des éditeurs de texte en ligne de commande tels que nano ouvim, mais il est plus facile d'utiliser l'interface graphique du système de fichiers et de naviguer vous-même vers le fichier. Le chemin du fichier est /etc/scalpel/scalpel.conf.

Une fois que vous avez trouvé et ouvert le fichier de configuration dans l'éditeur de texte de votre choix, vous verrez apparaître un fichier qui ressemble à la capture d'écran ci-dessous, où nous examinons la section relative aux profils de documents Microsoft Office. Le « # » au début de chaque ligne signifie qu'elles sont commentées et ne sont pas lues par le programme lorsque le fichier .config est appelé.

Comme nous recherchons des fichiers image .jpg, nous devons localiser la section du fichier .conf qui fait référence aux fichiers jpg. Dans la capture d'écran ci-dessous, vous pouvez voir comment nous avons pu supprimer les hashtags pour permettre la détection de ce type de fichier (la ligne deviendra blanche pour indiquer qu'il n'est plus commenté).

Maintenant que nous avons configuré le scalpel pour comprendre les fichiers que nous recherchons, nous pouvons invoquer l'outil à l'aide de la commande suivante : scalpel -o <output> <disk image file>

• « scalpel » appelle l'outil que nous voulons utiliser
• « -o » <name>fournit un répertoire pour le stockage des fichiers récupérés. Ce doit être un répertoire vide, ou le nom d'un répertoire inexistant, car le scalpel en créera un
• « » <disk image file>indique au scalpel le fichier dans lequel nous voulons rechercher les fichiers

Exemple de commande : scalpel -o /root/Desktop/ Scalpel Output DiskImage1.img

Exécutons la commande et regardons scalpel récupérer tous les fichiers image JPG pour nous !

Dans la capture d'écran ci-dessus, nous pouvons voir que le scalpel a identifié et récupéré un fichier JPG, sur la base du message en bas du terminal « Scalpel c'est fait, fichiers gravés = 1, écoulés = 0 secondes » ! Allons voir ce qui Scalpel se trouve dans le répertoire de sortie que nous avons listé. Dans les captures d'écran ci-dessous, nous pouvons voir qu'un fichier audit.txt a Scalpel été créé qui contient des informations sur l'activité effectuée par l'outil, et le répertoire jpg inclut la photo supprimée que nous avons récupérée.

Il convient de mentionner que les profils du fichier scalpel.conf peuvent être créés par un utilisateur si vous devez rechercher des fichiers spécifiques ou personnalisés en modifiant les valeurs de l'extension, de l'en-tête et du pied de page du fichier. La partie supérieure du fichier .conf contient des informations détaillées sur l'écriture de profils de détection personnalisés pour le découpage de fichiers, alors lisez-les !

Commande Chown

Modifier des fichiers utilisateur avec Chown

Nous avons beaucoup parlé de l'interaction avec les fichiers utilisateur dans Linux , mais nous n'avons pas encore abordé la Linux commande chown, abréviation de « changer de propriétaire ». Cet outil crucial est utilisé pour gérer la propriété et les autorisations des fichiers sur les systèmes d'exploitation de type Unix tels que. Linux Cette commande est essentielle dans les scénarios où les analystes de criminalistique numérique doivent accorder ou révoquer l'accès à des ressources spécifiques.

Nous allons examiner les trois types d'autorisation de fichier utilisés dans la commande chown : utilisateur, groupe et autre. Examinons la syntaxe ci-dessous et décomposons les composants de Chown :

chown [options] new_owner[:new_group] file(s)

(Avertissement : vous pouvez également exécuter la commande man chown dans votre navigateur CLI pour une panne suffisante). Voici le détail des composants :

• `chown`: La commande de base.
• `options`: drapeaux facultatifs qui modifient le comportement de la chown` commande `.
• `new_owner[:new_group]`: le nouveau propriétaire et éventuellement le nouveau groupe. Si `new_group`est omis, seul le propriétaire est modifié.
• `file(s)`: le ou les fichiers dont la propriété doit être modifiée.