Kali Linux - Strumenti forensi

In questo capitolo, impareremo a conoscere gli strumenti forensi disponibili in Kali Linux.

p0f

p0fè uno strumento in grado di identificare il sistema operativo di un host di destinazione semplicemente esaminando i pacchetti catturati anche quando il dispositivo in questione si trova dietro un firewall a pacchetti. P0f non genera alcun traffico di rete aggiuntivo, diretto o indiretto; nessuna ricerca di nomi; nessuna sonda misteriosa; nessuna query ARIN; Niente. Nelle mani di utenti esperti, P0f è in grado di rilevare la presenza del firewall, l'utilizzo del NAT e l'esistenza di load balancer.

genere “p0f – h” nel terminale per vedere come usarlo e otterrai i seguenti risultati.

Elencherà anche le interfacce disponibili.

Quindi, digita il seguente comando: “p0f –i eth0 –p -o filename”.

Dove il parametro "-i" è il nome dell'interfaccia mostrato sopra. "-p" significa che è in modalità promiscua. "-o" significa che l'output verrà salvato in un file.

Apri una pagina web con l'indirizzo 192.168.1.2

Dai risultati, puoi osservare che il server Web utilizza apache 2.x e il sistema operativo è Debian.

pdf-parser

pdf-parser è uno strumento che analizza un documento PDF per identificare gli elementi fondamentali utilizzati nel file pdf analizzato. Non renderà un documento PDF. Non è consigliato per la custodia di libri di testo per parser PDF, tuttavia fa il suo lavoro. In genere, viene utilizzato per i file PDF che si sospetta abbiano uno script incorporato al loro interno.

Il comando è -

pdf-parser  -o 10 filepath

dove "-o" è il numero di oggetti.

Come puoi vedere nello screenshot seguente, il file pdf apre un comando CMD.

Dumpzilla

L'applicazione Dumpzilla è sviluppata in Python 3.x e ha lo scopo di estrarre tutte le informazioni forensi interessanti dei browser Firefox, Iceweasel e Seamonkey da analizzare.

ddrescue

Copia i dati da un file o dispositivo a blocchi (hard disk, cdrom, ecc.) A un altro, cercando di recuperare prima le parti buone in caso di errori di lettura.

Il funzionamento di base di ddrescue è completamente automatico. Cioè, non devi aspettare un errore, fermare il programma, riavviarlo da una nuova posizione, ecc.

Se si utilizza la funzionalità mapfile di ddrescue, i dati vengono salvati in modo molto efficiente (vengono letti solo i blocchi necessari). Inoltre, puoi interrompere il salvataggio in qualsiasi momento e riprenderlo più tardi nello stesso punto. Il mapfile è una parte essenziale dell'efficacia di ddrescue. Usalo a meno che tu non sappia cosa stai facendo.

La riga di comando è -

dd_rescue infilepath  outfilepath

Parametro "–v" significa verboso. "/dev/sdb"è la cartella da salvare. Ilimg file è l'immagine recuperata.

DFF

È un altro strumento forense utilizzato per recuperare i file. Ha anche una GUI. Per aprirlo, digita“dff-gui” nel terminale e si aprirà la seguente GUI web.

Fare clic su File → "Apri prova".

Si aprirà la seguente tabella. Controllare "Formato Raw" e fare clic su "+" per selezionare la cartella che si desidera ripristinare.

Quindi, puoi sfogliare i file sulla sinistra del riquadro per vedere cosa è stato ripristinato.