Статья usbrip: USB-форензика для Линуксов, или Как Алиса стала Евой

MLNK · 12.06.2018

О Т Л И Ч Н А Я С Т А Т Ь Я ! ! !

MLNK · 12.06.2018

neonh4ze сказал(а):
моя верная возлюбленная

теперь будет учиться чистить системные логи. xD

neonh4ze · 12.06.2018

5h3ll сказал(а):
О Т Л И Ч Н А Я С Т А Т Ь Я ! ! !

Мерси)

5h3ll сказал(а):
теперь будет учиться чистить системные логи. xD

Эта то почистит, да еще меня идиотом выставит

MLNK · 12.06.2018

вообще чтоб вас не спаслили по логам --> shipcod3/TuxLogCleaner скрипт легко адоптируется под себя. после ещё рам почистить чемнибудь вроде пандоры и замусорить освободившееся место )))

neonh4ze · 12.06.2018

5h3ll сказал(а):
вообще чтоб вас не спаслили по логам --> shipcod3/TuxLogCleaner скрипт легко адоптируется под себя. после ещё рам почистить чемнибудь вроде пандоры и замусорить освободившееся место )))

Удобный скрипт (пути к логам вспоминать не надо), но по мне так, если уж чистить следы, то как-нибудь а-ля shred -zvu -n7 /var/log/syslog* ))

MLNK · 12.06.2018

neonh4ze сказал(а):
Удобный скрипт (пути к логам вспоминать не надо), но по мне так, если уж чистить следы, то как-нибудь а-ля shred -zvu -n7 /var/log/syslog* ))

тоже вариант просто в спешке можно чтото забыть ) а так автоматизировал всё и красотища )))

qwertyytrewq · 12.06.2018

Хорошая статья. Удобно юзать данную прогу для проверки логов.
Удобно смотреть кто запихнул и когда в ноут + портабильность это прям бомба. Однозначно в копилку форензики. Правда оставлять в скринах свои серийные номера не лучшая затея =D
Интересно эти сислоги можно как-то почистить не из под рута или сделать так, чтобы они не видели флешку?

neonh4ze · 13.06.2018

qwertyytrewq сказал(а):
Хорошая статья. Удобно юзать данную прогу для проверки логов.
Удобно смотреть кто запихнул и когда в ноут + портабильность это прям бомба. Однозначно в копилку форензики. Правда оставлять в скринах свои серийные номера не лучшая затея =D
Интересно эти сислоги можно как-то почистить не из под рута или сделать так, чтобы они не видели флешку?

Мало (читай "ничего"), что можно сделать плохого, обладая лишь серийниками устройств, и не зная ничего больше об этих устройствах. И, к тому же, кто сказал, что серийники остались оригинальными

?
Что касается рут-прав – да, они нужны при любом раскладе (и чтобы почистить логи, и чтобы скрыть правду от софтины).

mrOkey · 13.06.2018

А хорошо, интересно было читать)

Remir · 13.06.2018

Нисколько не оспариваю реальность событий, но смешно (извините) было читать после упоминаний о подключенном в 8 вечера "Самсунге". И об умопомрачительных умозаключениях по этому поводу

Аж сомнения в реальности возникают.

Бро, твой "Боб" должен тебе проставиться однозначно. Но не за то, что ты ему "рога" снял, а за то, что его несложившаяся (к счастью Боба) пассия оказалась ... м-м-м... , как бы это помягче выразиться... - с IQ на уровне первоклашки и такое вот сомнительное (IMHO) "счастье" ему не досталось на всю оставшуюся жизнь. "Обертка" у нее, может, и красивая, но вот "начинка" - оставляет желать лучшего. А жить ведь не с "оберткой" ...

Я просто фигею от связи "чужой смарт в ноуте"-"измена"! Никакой связи нет.
И куча вполне реальных сопоставлений этому "грандиозному" "залету", начиная от "...подруга забыла свой смарт со шнуром, а я принесла и включила подзарядить..." (...нашла смарт в пакете, включила и решила вернуть владельцу(-ице)... ) до "...к соседям пришли гости, смарт сел, а у них только USB-шнур с собой, у соседей компа нет..."
И если у нее не хватает ума скрыть свое непостоянство, то она и по жизни бы его не могла бы скрыть, т.е. об этом знали бы ВСЕ. И ходил бы твой "Боб", покачивая ветвистыми рогами и контролируя габариты по высоте и ширине...

Tihon49 · 13.06.2018

Так тот Боб и без форензики уже заподозрил не ладное. Значит было с чего. А уж поймав на лжи свою пассию сумел докрутить до чистосердечного признания. Вполне реальная ситуация.
P.s. Читал как детектив ))) даже забыл что статья про некую тулзу )))))) статья классная!!!!

neonh4ze · 13.06.2018

Remir сказал(а):
Нисколько не оспариваю реальность событий, но смешно (извините) было читать после упоминаний о подключенном в 8 вечера "Самсунге". И об умопомрачительных умозаключениях по этому поводу
Аж сомнения в реальности возникают.

Бро, твой "Боб" должен тебе проставиться однозначно. Но не за то, что ты ему "рога" снял, а за то, что его несложившаяся (к счастью Боба) пассия оказалась ... м-м-м... , как бы это помягче выразиться... - с IQ на уровне первоклашки и такое вот сомнительное (IMHO) "счастье" ему не досталось на всю оставшуюся жизнь. "Обертка" у нее, может, и красивая, но вот "начинка" - оставляет желать лучшего. А жить ведь не с "оберткой" ...

Я просто фигею от связи "чужой смарт в ноуте"-"измена"! Никакой связи нет.
И куча вполне реальных сопоставлений этому "грандиозному" "залету", начиная от "...подруга забыла свой смарт со шнуром, а я принесла и включила подзарядить..." (...нашла смарт в пакете, включила и решила вернуть владельцу(-ице)... ) до "...к соседям пришли гости, смарт сел, а у них только USB-шнур с собой, у соседей компа нет..."
И если у нее не хватает ума скрыть свое непостоянство, то она и по жизни бы его не могла бы скрыть, т.е. об этом знали бы ВСЕ. И ходил бы твой "Боб", покачивая ветвистыми рогами и контролируя габариты по высоте и ширине...

Ты угадал, на стадии сбора информации я практически не придал значения появлению неопознанного телефона в логах (даже несмотря на то, что отключился он в 3 ночи). А вот Боб после того, как выслушал, придал ахаха. Без понятия, почему, мб уже были стычки с или подозрения на обладателя такого девайса. Мы не большие друзья, чтобы я у него детали выпытывал, да и не особо интересно уже было под конец, знаешь) Просто вдруг он стал настолько уверен, что эта мобила есть корень всех бед, что я немедленно в это поверил

.
Что девушка так легко сдалась – наверно, на то тоже свои причины-тараканы. В глубинных смыслах чужих отношений копаться – упаси боже...

Tayrus · 20.06.2018

5h3ll сказал(а):
вообще чтоб вас не спаслили по логам --> shipcod3/TuxLogCleaner скрипт легко адоптируется под себя. после ещё рам почистить чемнибудь вроде пандоры и замусорить освободившееся место )))

Модифицировал скрипт:

Код:

#You need install shred!
import subprocess
logs =     ["/var/log/lastlog",
            "/var/log/messages",
            "/var/log/warn",
            "/var/log/wtmp",
            "/var/log/poplog",
            "/var/log/qmail",
            "/var/log/smtpd",
            "/var/log/telnetd",
            "/var/log/secure",
            "/var/log/auth",
            "/var/log/auth.log",
            "/var/log/cups/access_log",
            "/var/log/cups/error_log",
            "/var/log/thttpd_log",
            "/var/log/spooler",
            "/var/spool/tmp",
            "/var/spool/errors",
            "/var/spool/locks",
            "/var/log/nctfpd.errs",
            "/var/log/acct",
            "/var/apache/log",
            "/var/apache/logs",
            "/usr/local/apache/log",
            "/usr/local/apache/logs",
            "/usr/local/www/logs/thttpd_log",
            "/var/log/news",
            "/var/log/news/news",
            "/var/log/news.all",
            "/var/log/news/news.all",
            "/var/log/news/news.crit",
            "/var/log/news/news.err",
            "/var/log/news/news.notice",
            "/var/log/news/suck.err",
            "/var/log/news/suck.notice",
            "/var/log/xferlog",
            "/var/log/proftpd/xferlog.legacy",
            "/var/log/proftpd.xferlog",
            "/var/log/proftpd.access_log",
            "/var/log/httpd/error_log",
            "/var/log/httpsd/ssl_log",
            "/var/log/httpsd/ssl.access_log",
            "/var/adm",
            "/var/run/utmp",
            "/etc/wtmp",
            "/etc/utmp",
            "/etc/mail/access",
            "/var/log/mail/info.log",
            "/var/log/mail/errors.log",
            "/var/log/httpd/*_log",
            "/var/log/ncftpd/misclog.txt",
            "/var/account/pacct",
            "/var/log/snort",
            "/var/log/bandwidth",
            "/var/log/explanations",
            "/var/log/syslog",
            "/var/log/user.log",
            "/var/log/daemons/info.log",
            "/var/log/daemons/warnings.log",
            "/var/log/daemons/errors.log",
            "/etc/httpd/logs/error_log",
            "/etc/httpd/logs/*_log",
            "/var/log/mysqld/mysqld.log"
            "/root/.ksh_history",
            "/root/.bash_history",
            "/root/.sh_history",
            "/root/.history",
            "/root/*_history",
            "/root/.login",
            "/root/.logout",
            "/root/.bash_logut",
            "/root/.Xauthority"]
print 'Start...'
for log in logs:
    try:
        out = subprocess.check_output(['shred','-zvu','-n7',log])
        print out
    except:
        continue
print 'Done.'

MLNK · 20.06.2018

Tayrus сказал(а):

Модифицировал скрипт:

Код:

#You need install shred!
import subprocess
logs =     ["/var/log/lastlog",
            "/var/log/messages",
            "/var/log/warn",
            "/var/log/wtmp",
            "/var/log/poplog",
            "/var/log/qmail",
            "/var/log/smtpd",
            "/var/log/telnetd",
            "/var/log/secure",
            "/var/log/auth",
            "/var/log/auth.log",
            "/var/log/cups/access_log",
            "/var/log/cups/error_log",
            "/var/log/thttpd_log",
            "/var/log/spooler",
            "/var/spool/tmp",
            "/var/spool/errors",
            "/var/spool/locks",
            "/var/log/nctfpd.errs",
            "/var/log/acct",
            "/var/apache/log",
            "/var/apache/logs",
            "/usr/local/apache/log",
            "/usr/local/apache/logs",
            "/usr/local/www/logs/thttpd_log",
            "/var/log/news",
            "/var/log/news/news",
            "/var/log/news.all",
            "/var/log/news/news.all",
            "/var/log/news/news.crit",
            "/var/log/news/news.err",
            "/var/log/news/news.notice",
            "/var/log/news/suck.err",
            "/var/log/news/suck.notice",
            "/var/log/xferlog",
            "/var/log/proftpd/xferlog.legacy",
            "/var/log/proftpd.xferlog",
            "/var/log/proftpd.access_log",
            "/var/log/httpd/error_log",
            "/var/log/httpsd/ssl_log",
            "/var/log/httpsd/ssl.access_log",
            "/var/adm",
            "/var/run/utmp",
            "/etc/wtmp",
            "/etc/utmp",
            "/etc/mail/access",
            "/var/log/mail/info.log",
            "/var/log/mail/errors.log",
            "/var/log/httpd/*_log",
            "/var/log/ncftpd/misclog.txt",
            "/var/account/pacct",
            "/var/log/snort",
            "/var/log/bandwidth",
            "/var/log/explanations",
            "/var/log/syslog",
            "/var/log/user.log",
            "/var/log/daemons/info.log",
            "/var/log/daemons/warnings.log",
            "/var/log/daemons/errors.log",
            "/etc/httpd/logs/error_log",
            "/etc/httpd/logs/*_log",
            "/var/log/mysqld/mysqld.log"
            "/root/.ksh_history",
            "/root/.bash_history",
            "/root/.sh_history",
            "/root/.history",
            "/root/*_history",
            "/root/.login",
            "/root/.logout",
            "/root/.bash_logut",
            "/root/.Xauthority"]
print 'Start...'
for log in logs:
    try:
        out = subprocess.check_output(['shred','-zvu','-n7',log])
        print out
    except:
        continue
print 'Done.'

ябы оставил всётаки проверку на запуск от рута.

Код:

if __name__ == "__main__":
    if not os.geteuid() == 0:
        sys.exit("Пссс, пацанчик, от рута меня запустил БИСТРО!")

    else:
        tux()

ghost · 20.06.2018

Tayrus сказал(а):

Модифицировал скрипт:

Код:

#You need install shred!
import subprocess
logs =     ["/var/log/lastlog",
            "/var/log/messages",
            "/var/log/warn",
            "/var/log/wtmp",
            "/var/log/poplog",
            "/var/log/qmail",
            "/var/log/smtpd",
            "/var/log/telnetd",
            "/var/log/secure",
            "/var/log/auth",
            "/var/log/auth.log",
            "/var/log/cups/access_log",
            "/var/log/cups/error_log",
            "/var/log/thttpd_log",
            "/var/log/spooler",
            "/var/spool/tmp",
            "/var/spool/errors",
            "/var/spool/locks",
            "/var/log/nctfpd.errs",
            "/var/log/acct",
            "/var/apache/log",
            "/var/apache/logs",
            "/usr/local/apache/log",
            "/usr/local/apache/logs",
            "/usr/local/www/logs/thttpd_log",
            "/var/log/news",
            "/var/log/news/news",
            "/var/log/news.all",
            "/var/log/news/news.all",
            "/var/log/news/news.crit",
            "/var/log/news/news.err",
            "/var/log/news/news.notice",
            "/var/log/news/suck.err",
            "/var/log/news/suck.notice",
            "/var/log/xferlog",
            "/var/log/proftpd/xferlog.legacy",
            "/var/log/proftpd.xferlog",
            "/var/log/proftpd.access_log",
            "/var/log/httpd/error_log",
            "/var/log/httpsd/ssl_log",
            "/var/log/httpsd/ssl.access_log",
            "/var/adm",
            "/var/run/utmp",
            "/etc/wtmp",
            "/etc/utmp",
            "/etc/mail/access",
            "/var/log/mail/info.log",
            "/var/log/mail/errors.log",
            "/var/log/httpd/*_log",
            "/var/log/ncftpd/misclog.txt",
            "/var/account/pacct",
            "/var/log/snort",
            "/var/log/bandwidth",
            "/var/log/explanations",
            "/var/log/syslog",
            "/var/log/user.log",
            "/var/log/daemons/info.log",
            "/var/log/daemons/warnings.log",
            "/var/log/daemons/errors.log",
            "/etc/httpd/logs/error_log",
            "/etc/httpd/logs/*_log",
            "/var/log/mysqld/mysqld.log"
            "/root/.ksh_history",
            "/root/.bash_history",
            "/root/.sh_history",
            "/root/.history",
            "/root/*_history",
            "/root/.login",
            "/root/.logout",
            "/root/.bash_logut",
            "/root/.Xauthority"]
print 'Start...'
for log in logs:
    try:
        out = subprocess.check_output(['shred','-zvu','-n7',log])
        print out
    except:
        continue
print 'Done.'

Спасибо за скрипт. А ТС за интересную статью.
Я бы, например, в скрипте shred заменил на srm из пакета secure-delete.
И затирал логи Гутманом в 35 проходов. Но это если никуда не торопишься...

MLNK · 20.06.2018

ghost сказал(а):
Спасибо за скрипт. А ТС за интересную статью.
Я бы, например, в скрипте shred заменил на srm из пакета secure-delete.
И затирал логи Гутманом в 35 проходов. Но это если никуда не торопишься...

это если совсем никуда не торопиться ))))

Sunnych · 23.06.2018

Tayrus сказал(а):
Модифицировал скрипт:

Код:

#You need install shred! print 'Done.'

Tayrus
Это классно что такие вещи Вы создаете, но есть программные продукты и комплексы которые поднимают информацию, а вот если скрипт все эти файлы будет внутри очищать и туда записывать случайное количество строк с "неразрывный пробел" (что бы произошло изменение файла) и ещё устроить смену атрибутов создания и изменение файлов, то восстановить уже будет не возможно, а некоторые комплексы из за смены атрибутов вообще станут бесполезны в применении и не смогут даже при наличии кусочка считаться уликой (проверенно), а потом этот же скрипт просто удалит эти файлы ;-)
Или по надобности добавить в свою систему нужный из этого софт

Ссылка скрыта от гостей

Tayrus · 23.06.2018

Sunnych сказал(а):
Tayrus
Это классно что такие вещи Вы создаете, но есть программные продукты и комплексы которые поднимают информацию, а вот если скрипт все эти файлы будет внутри очищать и туда записывать случайное количество строк с "неразрывный пробел" (что бы произошло изменение файла) и ещё устроить смену атрибутов создания и изменение файлов, то восстановить уже будет не возможно, а некоторые комплексы из за смены атрибутов вообще станут бесполезны в применении и не смогут даже при наличии кусочка считаться уликой (проверенно), а потом этот же скрипт просто удалит эти файлы ;-)
Или по надобности добавить в свою систему нужный из этого софт
Ссылка скрыта от гостей

Конечно, если просто удалить файл он еще будет на HDD, но мой скрипт автоматизирует работу с shred(утилита для безвозвратного удаления файлов ), смотрите какие параметры стоят и что они означают:
z - в конце перезаписать нулями, чтобы скрыть измельчение .
u - обрезать и удалить файл после перезаписи .
n7 - переписать 7 раз.
Тем самым файлы восстановить уже не удастся.

IioS · 08.08.2018

Отличная статья, и интересная история, хоть для кого-то она и не приятная. Спасибо за инструмент в копилку!

Все сервисы Codeby

Поиск

Поиск

Статья usbrip: USB-форензика для Линуксов, или Как Алиса стала Евой

MLNK

Mod. Ethical Hacking

MLNK

Mod. Ethical Hacking

neonh4ze

Active member

MLNK

Mod. Ethical Hacking

neonh4ze

Active member

MLNK

Mod. Ethical Hacking

qwertyytrewq

New member

neonh4ze

Active member

mrOkey

Well-known member

Remir

Tihon49

neonh4ze

Active member

Tayrus

MLNK

Mod. Ethical Hacking

ghost

Well-known member

MLNK

Mod. Ethical Hacking

Sunnych

Mod. Forensics

Tayrus

IioS