• Открыта запись на вторую часть курса по анонимности и безопасности в сети интернет "Paranoid II" от команды codeby. Анонимные роутеры, Подъём, настройка и администрирование Tor-ноды, Работа с железом ПК, Удаление аппаратных закладок, Минимизация рисков, Авторские разработки и многое другое. Подробнее ...

Статья Виртуализация криминалистических образов в Windows

  • Автор темы Sunnych
  • Дата начала
Sunnych

Sunnych

Mod. Forensics
Gold Team
01.06.2018
220
1 016
Сподвигло к написанию статьи то что в интернете множество статей как запустить образы в виртуальной среде, но по факту такие статьи как "How to create copy of Suspects Evidence Using (FTK Imager)", "Booting up evidence E01 image using free tools (FTK Imager & Virtualbox)" и.т.п просто не работоспособны на практике после обновлений самих виртуальных программ.

Начало, что дано и что нужно:

имеем toshiba.E01 (500 Гб) форматы могут отличаться (Ваш выбор или то что есть), данный файл / образ был получен FTK Imager;
требуется зайти именно в рабочую операционную систему и в ней произвести исследования; дополнительные ресурсы - (физическое место) для конвертации отсутствуют и время ограничено. Приступим, я выбрал для использования Arsenal Image Mounter могут отличаться (Ваш выбор) - выбираем программу FTK Imager, Mount Image Pro, OSFMount и.т.п - которая будет поддерживать монтирование Вашего образа (dd, raw, e01, 001 и.т.д) смотрим технические возможности программы и основываясь им выбираем подходящую нам, монтируем наш образ
Виртуализация криминалистических образов в Windows
Запускаем Win+R->cmd с правами Администратора и Diskpart
Код:
DISKPART
list disk
//определяем наш hdd
SELECT DISK 3
//выбрали наш примонтированный диск
OFFLINE DISK
Виртуализация криминалистических образов в Windows
Запускаем VMware Workstation -> Create a New Virtual Machine->"Custom (advanced)"->Next >>
Виртуализация криминалистических образов в Windows
Важно выбрать ESXi 6.7 или ESXi 6.5
Виртуализация криминалистических образов в Windows
Виртуализация криминалистических образов в Windows
далее окна выбора количества памяти ОЗУ и контролеров sata я упускаю и остановлюсь на HDD, тут мы и выберем наш PhysicalDrive3
Виртуализация криминалистических образов в Windows
Виртуализация криминалистических образов в Windows
Наш результат
Виртуализация криминалистических образов в Windows
 
Последнее редактирование:
L

Langolier

Спасибо за статью ))
Очень познавательно.
Мне кажется, что данная статья является хорошим продолжением более ранней статьи, в которой говорится, как снимать образы с системы.
Снятие образа RAM памяти с windows и linux
Неплохо было-бы как-то указать их связь в шапке ))
 
Sunnych

Sunnych

Mod. Forensics
Gold Team
01.06.2018
220
1 016
Мне кажется, что данная статья является хорошим продолжением более ранней статьи, в которой говорится, как снимать образы с системы.
Снятие образа RAM памяти с windows и linux
Неплохо было-бы как-то указать их связь в шапке ))
RAM память и дамп с нее и методы снятия и методы не нарушающие текущее её состояние при снятии дампа это целое отдельное направление - совсем другая тема и выковыривание ключей криптования и.т.п
 
wittmann404

wittmann404

Active member
28.03.2016
37
8
Замечательная статья. 5+.
 
SearcherSlava

SearcherSlava

Red Team
10.06.2017
705
1 033
Сподвигло к написанию статьи то что в интернете множество статей как запустить образы в виртуальной среде, но по факту такие статьи как "How to create copy of Suspects Evidence Using (FTK Imager)", "Booting up evidence E01 image using free tools (FTK Imager & Virtualbox)" и.т.п просто не работоспособны на практике после обновлений самих виртуальных программ.

Начало, что дано и что нужно:

имеем toshiba.E01 (500 Гб) форматы могут отличаться (Ваш выбор или то что есть), данный файл/образ был получен FTK Imager;
требуется зайти именно в рабочую операционную систему и в ней произвести исследования;дополнительные ресурсы - (физическое место) для конвертации отсутствуют и время ограничено.Приступим.я выбрал для использования Arsenal Image Mounter могут отличаться (Ваш выбор) - выбираем программу FTK Imager, Mount Image Pro, OSFMount и.т.п - которая будет поддерживать монтирование Вашего образа (dd, raw, e01, 001 и.т.д) смотрим технические возможности программы и основываясь им выбираем подходящую нам, монтируем наш образ
Запускаем Win+R->cmd с правами Администратора и Diskpart
Код:
DISKPART
list disk
//определяем наш hdd
SELECT DISK 3
//выбрали наш примонтированный диск
OFFLINE DISK
Запускаем VMware Workstation -> Create a New Virtual Machine->"Custom (advanced)"->Next >>
Важно выбрать ESXi 6.7 или ESXi 6.5
далее окна выбора количества памяти ОЗУ и контролеров sata я упускаю и остановлюсь на HDD, тут мы и выберем наш PhysicalDrive3
Наш результат
@Sunnych, здрав будь! Кое-что о Digital Evidence в гугле или уточке:
Digital Evidence pdf
Digital Evidence Book pdf
Digital Evidence Thesis pdf
Digital Evidence Guide pdf
Digital Evidence Windows pdf
Digital Evidence Investigator pdf
Digital Evidence Virtual Machine pdf

1.jpg
 
  • Нравится
Реакции: Underwood и Sunnych
Мы в соцсетях: