-
🚨 29 мая стартует курс «Пентест Active Directory: от теории к практике» от Академии Кодебай
🔍 Изучите реальные техники атак на инфраструктуру Active Directory: от первоначального доступа до полной компрометации.
🛠️ Освойте инструменты, такие как BloodHound, Mimikatz, CrackMapExec и другие.
🧪 Пройдите практические лабораторные работы, имитирующие реальные сценарии атак.
🧠 Получите знания, которые помогут вам стать востребованным специалистом в области информационной безопасности.После старта курса запись открыта еще 10 дней Подробнее о курсе ...
-
Познакомьтесь с пентестом веб-приложений на практике в нашем новом бесплатном курсе
Форензика - Forensics
"Форензика"-от латинского «foren»,«речь перед форумом»,выступление перед судом, судебные дебаты. В русский язык пришло из английского. Сам термин «forensics» это сокращенная форма от «forensic science», дословно «судебная наука», то есть наука об исследовании доказательств – криминалистика. Криминалистика которая изучает компьютерные доказательства, по английски будет «computer forensics». В России слово форензика имеет одно значение - компьютерная криминалистика.
Статья Преобразование в читабельный вид Даты Времени в БД SQLite (Web Browser)
Всем привет! В процессе работы с БД SQLite в таблицах Дата и Время хранится с типом данных integet:
Для преобразования Даты и времени в БД History(Opera) используем следующий код SQL в программе DB Browser for SQLite:
Значение в ячейке last_visit_time – это дата и время, которая хранится в 17 символах и исчисление идёт с 01.01.1601, поэтому для её преобразования потребуется нехитрая конструкция:
...
SQL:
SELECT datetime(last_visit_time / 1000000 + (strftime('%s', '1601-01-01')), 'unixepoch','localtime') AS [Дата],
url AS [URL], title AS [Сайт], visit_count AS [Количество посещений]
FROM urls
ORDER BY last_visit_time DESC
SQL:
datetime(last_visit_time / 1000000 + (strftime('%s', '1601-01-01')), 'unixepoch','localtime')Статья [3 часть] Получение сообщений из базы данных Telegram, Viber и WhatsApp
Всем привет! В продолжение к статьям: Способ изъятия сообщений из базы данных Telegram , Форензика Android, расшифровать и собрать данные из баз Viber , Способ изъятия сообщений из базы данных Telegram и Viber совместными силами с @Sunnych доработан модуль работы с БД WhatsApp.
После открытия программы переходим в контекстное меню "Работы с БД" меню и выбираем: "Работа с БД WhatsApp"
Файл БД WhatsApp находится:
/data/data/com.whatsapp/databases/msgstore.db
Для работы с БД звонков загружаем msgstore:
[SPOILER="Загрузка БД...
После открытия программы переходим в контекстное меню "Работы с БД" меню и выбираем: "Работа с БД WhatsApp"
Файл БД WhatsApp находится:
/data/data/com.whatsapp/databases/msgstore.db
Для работы с БД звонков загружаем msgstore:
[SPOILER="Загрузка БД...
Статья RDP Cache Forensics на стороне клиента
Механизм кэширования RDP уменьшает объем данных, которые необходимо отправить клиенту RDP. Это делается путем кэширования тех частей экрана, которые не изменились с момента последнего обновления дисплея.
Есть два типа файла кеша:
Кэш-файлы хранят сырые растровые изображения в виде плиток. Размер каждой плитки может...
При использовании клиента mstsc.exe в Windows кеш хранится в профиле пользователя.
Кэш состоит из сжатых данных растрового изображения, которые необходимо извлечь, прежде чем сможете их просмотреть.
Целью кэша, как Вы можете себе представить, является повышение производительности за счет сохранения разделов экрана, которые редко меняются.
Кэш состоит из сжатых данных растрового изображения, которые необходимо извлечь, прежде чем сможете их просмотреть.
Целью кэша, как Вы можете себе представить, является повышение производительности за счет сохранения разделов экрана, которые редко меняются.
- *.bmc
- Cachennnn.bin (где nnnn - это 4-значное число)
Код:
c:\Users\{user}\AppData\Local\Microsoft\Terminal Server Client\Cache\Кэш-файлы хранят сырые растровые изображения в виде плиток. Размер каждой плитки может...
Статья [2 часть] Получение сообщений из базы данных Telegram и Viber
Всем привет! В продолжение к статье: Способ изъятия сообщений из базы данных Telegram и статье: Форензика Android, расшифровать и собрать данные из баз Viber совместными силами с @Sunnych доработан модуль работы с БД Viber.
После открытия программы переходим в контекстное меню "Работы с БД" меню и выбираем: "Работа с БД Viber"
Файлы БД Viber находятся:
Сообщения Viber:
Звонки Viber:
Для работы с БД звонков загружаем viber_data:
И выведем все звонки в Viber...
После открытия программы переходим в контекстное меню "Работы с БД" меню и выбираем: "Работа с БД Viber"
Файлы БД Viber находятся:
Сообщения Viber:
/data/data/com.viber.voip/databases/viber_messagesЗвонки Viber:
/data/data/com.viber.voip/databases/viber_dataДля работы с БД звонков загружаем viber_data:
И выведем все звонки в Viber...
Статья Криминалистический анализ USB - реконструкция цифровых данных с USB-накопителя
Криминалистический цифровой анализ USB включает в себя сохранение, сбор, проверку, идентификацию, анализ, интерпретацию, документацию и представление цифровых данных (улик), полученных из цифровых источников, с целью облегчения или дальнейшего восстановления событий, которые были признаны преступными.
Обработка образа диска – криминалистический анализ USB:
- Образ диска определяется как компьютерный файл, где имеется контент и структура устройства хранения данных, это может быть жесткий диск, CD-привод, телефон, планшет, оперативная память или USB-накопитель.
- Образ диска состоит из фактического контента устройства хранения данных, а также информации, необходимой для репликации структуры и компоновки содержимого устройства.
- Однако широкий ассортимент известных инструментов используется в суде для проведения анализа...
Статья [1 часть] Получение сообщений из базы данных Telegram
Всем привет. Совместно с @Sunnych возникла идея получить переписку телеграмма на рутированном смартфоне.
База данных Telegram, а именно файл cache4.db находиться в смартфоне по адресу:
После получения файла БД было разработано приложение Receiver под Windows 7/8/10, приложение использует Microsoft .NET Framework 4.6
требует только распаковки и запуска файла Receiver.exe.
После запуска приложения требуется подключить БД:
При удачном подключении:
Так как в Telegram не все пользователи могут быть связаны с номером телефона для начала выведем таблицу пользователей с их:
База данных Telegram, а именно файл cache4.db находиться в смартфоне по адресу:
/data/data/org.telegram.messenger/files/cache4.db
После получения файла БД было разработано приложение Receiver под Windows 7/8/10, приложение использует Microsoft .NET Framework 4.6
требует только распаковки и запуска файла Receiver.exe.
После запуска приложения требуется подключить БД:
При удачном подключении:
Так как в Telegram не все пользователи могут быть связаны с номером телефона для начала выведем таблицу пользователей с их:
- uid (уникальным идентификатором)...
Статья [2 часть] Форензика списков переходов Jump Lists в Windows 10
Записи, поддерживаемые списками переходов, могут предоставить богатый источник доказательств хронологии действий пользователя для судебного эксперта. Структура и артефакты, записанные списками переходов, широко обсуждались в различных судебных сообществах с момента его дебюта в Microsoft Windows 7. Однако эта функция имеет больше возможностей для выявления доказательств в Windows 10 из-за своей измененной структуры. В структуре списков переходов в Windows 10 нет литературы, и однозначных инструментов, которые могут успешно разобрать списки переходов как в Windows 7/8, то что доступно (не учитывая специализированные коммерческие комплексы) не работает должным образом для Windows 10.
В этой статье мы определим (в дополнительной информации прикрепленной в наших ресурсах, ссылка ниже) структуру списков переходов в Windows 10 и сравним её с Windows 7/8.
Кроме того, инструмент доказательной концепции JumpListExt (Jump List Extractor) разработан на основе идентифицированной структуры...
В этой статье мы определим (в дополнительной информации прикрепленной в наших ресурсах, ссылка ниже) структуру списков переходов в Windows 10 и сравним её с Windows 7/8.
Кроме того, инструмент доказательной концепции JumpListExt (Jump List Extractor) разработан на основе идентифицированной структуры...
Статья [1 часть] Форензика списков переходов Jump Lists в Windows 7
Jump List (Списки переходов) – эта функция впервые появилась в Windows 7.
Списки похожи на ярлыки, за исключением того что списки создаться для файлов или каталогов которые используются регулярно.
В отличии от ярлыков они несут в себе больше информации.
Например, браузеры создают списки для просмотра часто посещаемых сайтов, текстовые редакторы (есть исключения) последние открытые документы, другие позволяют создавать для них задачи.
Для пользователя списки переходов упрощают поиск и работу, обеспечивая быстрый доступ к файлам и задачам, связанным с приложениями.
Для криминалиста списки переходов являются хорошим показателем какие файлы были открыты недавно...
Списки похожи на ярлыки, за исключением того что списки создаться для файлов или каталогов которые используются регулярно.
В отличии от ярлыков они несут в себе больше информации.
Например, браузеры создают списки для просмотра часто посещаемых сайтов, текстовые редакторы (есть исключения) последние открытые документы, другие позволяют создавать для них задачи.
Для пользователя списки переходов упрощают поиск и работу, обеспечивая быстрый доступ к файлам и задачам, связанным с приложениями.
Для криминалиста списки переходов являются хорошим показателем какие файлы были открыты недавно...
Статья Инструкция по анализу файла PCAP с помощью XPLICO - инструмента криминалистического сетевого анализа
Сетевая криминалистика является подразделением цифровой криминалистики, связанной с мониторингом и анализом трафика компьютерной сети в целях сбора информации, юридических данных или обнаружения вторжений.
В отличие от других областей , сетевые исследования касаются изменчивой и динамичной информации. Сетевой трафик передается и затем теряется, поэтому
Что такое файл PCAP
В области администрирования компьютерной сети, pcap (захват пакетов) состоит из интерфейса прикладного программирования (API) для захвата сетевого трафика.
Unix-подобные системы реализуют pcap в библиотеке libpcap; Windows использует порт libpcap, известный как WinPcap.
Это файл данных, созданный Wireshark (ранее Ethereal), бесплатной...
Hacker Lab
Курс AD
Категории блога
Наши курсы
Наши книги
