8 bits

Installatie van PTK 1.0

Zojuist heb ik versie 1.0 van PTK geinstalleerd op een stand alone Ubuntu 8.04 server. De installatie verliep als volgt:

Zorg dat je eerst de volgende software hebt geinstalleerd op de Ubuntu server:

Sleuthkit
Libewf
Afflib
afflib-dev
apache2
apache2-utils
apache2.2-common
apache2-mpm-prefork
libapache2-mod-php5
php5
php5-cgi
php5-common
php5-mysql
php5-pgsql
mysql-server-5.0
mysql-common
mysql-client-5.0
libmysqlclient15off
libdbd-mysql-perl
dcfldd
foremost
libtsk-dev
rdd
scalpel
tct
unhide
vinetto
libapr1

Het merendeel van deze pakketten zijn aanwezig in de Ubuntu repositories en kunnen eenvoudig via apt-get install ... worden geinstalleerd.

Download PTK 1.0

De release versie van PTK (een nieuwe schil voor het onvolprezen Sleuthkit, en daarmee een alternatief voor Autopsy) kan nu worden gedownload via Sourceforge. Het is mijn bedoeling om deze toolkit zo spoedig mogelijk uit te proberen en het resultaat in mijn blog te vermelden. 

Sleuthkit 3.0.0 released

Brian Carrier heeft de releaseversie van Sleuthkit 3.0.0 beschikbaar gesteld. Deze uitvoerige update bevat een aantal nieuwe tools:

• Orphan files (verwijderde bestanden waarvan de metastructuur nog bekend is, doch waarvan de parent directory verwijderd is) worden nu zichtbaar in de $OrphanFiles map
• De FAT MBR en File Allocation Tables kunnen nu als aparte bestanden vanuit de root root directory worden benaderd
• Meer verwijderde bestanden worden nu getoond bij het gebruik van het 'fls' commando
• Nieuwe mmcat tool om de inhoud van een aparte volume te tonen
• Nieuwe mmls flags om enkele specifieke volumes te tonen
• Er worden backup FAT MBRs gebruikt in het geval de primary FAT MBR corrupt is
• * d* tools (dls, dcat, etc.) zijn hernoemd in blk* (blkls, blkcat, etc.)
• Nieuwe '-b' optie in sorter om een minimale bestandsgrootte aan te geven
• etc.

PTK forensics

Op 30 september zal Dflabs zijn release versie van PTK lanceren. PTK is een alternatieve interface voor Sleuthkit en bevat volgens de maker de nieuwste technieken om complexe digitale onderzoeken mee te kunnen uitvoeren. PTK is gratis en kan worden geïnstalleerd op een server met Apache en MySQL.

Screenshots van PTK kun je hier vinden.

Sleuthkit 3.0 beta: nu ook ondersteuning voor EWF bestanden onder Windows

De nieuwe win32 versie van Sleuthkit (3.0 beta) beschikt nu ook over libewf. Kort gezegd betekent dit dat de Sleuthkit tools nu ook onder Windows gebruikt kunnen worden om images te onderzoeken die met programma's als Encase en FTK Imager gemaakt zijn (EWF bestanden in de vorm van .E01 etc.). Sleuthkit hoeft onder Windows eigenlijk helemaal niet geinstalleerd te worden (uitsluitend het zip bestand uitpakken en alles is klaar voor gebruik).

Sleuthkit 3.0 beta

Sleuthkit 3.0 beta kan worden gedownloadt via http://www.sleuthkit.org/betas/

Goochelen met Sleuthkit: lijst van verwijderde bestanden

Je kunt op de volgende manier een lijst van verwijderde bestanden samenstellen met Sleuthkit:

./fls -ldr -z ''GMT+0100'' -s '0' -o 0 -i ewf '/cygdrive/c/image.E01' >>  /cygdrive/c/output.txt

Het is ook mogelijk om met Sleuthkit verwijderde bestanden weer te herstellen, doch daarvoor zijn andere tools zoals Photorec veel handiger

Goochelen met Sleuthkit: sector - cluster - bestandsnaam

Stel dat je met behulp van een programma als FTK Imager informatie hebt gevonden. Je hebt in dat geval bijvoorbeeld alleen het clusternummer waarin de informatie staat en je beschikt verder niet over een bestandsnaam etc. Met Sleuthkit kun je hier toch achter komen. Voorbeeld: cluster 45000

1) ./dcat -h /cygdrive/c/temp/image.E01 45000

hexadecimale weergave van de inhoud van de sector

2) ./dstat /cygdrive/c/temp/image.E01 45000

Sector: 45000
Allocated
Cluster: 4123

3) ./ifind -d 45000 /cygdrive/c/temp/image.E01

440112

4) ./ffind /cygdrive/c/temp/image.E01 440112

/WINDOWS/system32/drivers/flpydisk.sys