8 bits

View the contents of a DD image while it's being made

I'm acquiring an old hard drive. The hard drive is not recognized in Windows. So, the only option for me is to make the image with Linux. At the moment I'm making a DD image, using this command:

dd if=/dev/sdc1 of=/home/my_name/my_dir/partition.image bs=4096 conv=notrunc,noerror

To my surprise, I can open and view the contents of the DD image with FTK Imager, while the DD image is being made and certainly not ready yet. No error warnings at all, in the background the DD process keeps goin' on and the image get's bigger and bigger.

I think this is quiet cool, maybe this trick can be usefull in very urgent cases, what do you think ?

Lab FTK Imager: file carving using the MFT

NTFS uses the MFT as a kind of database to keep track of files. We can use the MFT to find the location (cluster) of the file and we can carve the file in order to study it. Let's use FTK Imager to see how it works. 

Capture memory with FTK Imager v. 2.6.1

It's possible to capture the contents of RAM memory with FTK Imager v. 2.6.1 now. As you can see, a new button has appeared in the toolbar:

 

Download FTK Imager v. 2.6.1 at http://www.accessdata.com/downloads/current_releases/imager/imager-ftk_imager-2.6.1.exe

Guidance Software and Access Data are not "court validated"

I read an interesting discussion on Twitter today, about the fact FTK and Encase are not "court validated", although both Access Data and Guidance Software say the're the best.

Read the article

FTK Imager en Winhex: een sterk koppel

De goedkope combinatie van FTK Imager en Winhex blijkt erg krachtig te zijn. Met een beetje vindingrijkheid kun je heel veel voor elkaar krijgen. Ik heb een voorbeeld hiervan beschreven: zoek met regular expressions en vind vervolgens het bestand waarin het zoekresultaat thuishoort.

FTK Imager 2.5.3.14 uitvoerig getest

Op de weblog van Andreas Schuster las ik dat het NIST het programma FTK Imager uitvoerig had getest. Het testresultaat:

Expected results achieved

Meer dan 300 bestandsformaten met FTK Imager

FTK Imager maakt voor het bekijken van bestanden gebruik van de engine van Internet Explorer (deze engine is standaard aanwezig in XP en Vista). Dankzij deze engine kun je gebruik maken van Quick View Plus, waarmee je het mogelijk maakt om met FTK Imager meer dan 300 verschillende bestandsformaten (waaronder Microsoft Office 2007 bestanden) te bekijken.

FTK Imager en regular expressions

FTK Imager blijft me verrassen met diens mogelijkheden. Ik heb me de laatste tijd een beetje verdiept in regular expressions (wellicht beter bekend als GREP), en FTK Imager blijkt daar zeer goed mee om te kunnen gaan. Véél beter dan bijvoorbeeld Encase.

Lab: FTK Imager

FTK Imager is klein genoeg om te functioneren vanaf USB stick. Toch is het programma uitgebreid genoeg om snel, forensisch interessante data te vinden. Als je goed met FTK Imager om kunt gaan kun je een hoop andere tools links laten liggen. Ik heb een beknopte handleiding gemaakt met betrekking tot de volgende basisonderwerpen van Windows:

• Linkfiles (snelkoppelingen)
• Prefetch bestanden
• Index.dat bestanden
• INFO2 bestanden

De eigenaar van een bestand vinden met FTK Imager

Als je met FTK Imager een NTFS partitie aan het bekijken bent, dan is het mogelijk om snel te zien aan welke gebruiker een bestand toebehoort. Dit kan handig zijn om te zien welke gebruiker (naar alle waarschijnlijkheid) een bestand heeft gemaakt, gedownloadt of verspreid.