Análisis forense digital con Kali Linux: recuperar archivos borrados
Publicado: 08 Feb 2024, 14:42
Análisis forense digital con Kali Linux: recuperar archivos borrados
En el siguiente vídeo se explicara el uso de herramientas para poder extraer imágenes de discos duros, USB pen drive y de Flash memory de celulares con android. El propósito de lo mencionado es poder auditar esas imágenes, entender particiones, sistemas de archivos, recuperación de datos entre otras acciones. Vamos a utilizar herramientas conocidas como guymager, dc3dd, Sleuth Kit,
File Carving (recuperación de archivos borrados), Bulk extractor entre otras cosas.
LINKS y COMANDOS IMPORTANTES
VIDEO TUTORIAL
Temas relacionados: imágenes de discos y pendrives, particiones y sistemas de archivos, recuperación de datos.
En el siguiente vídeo se explicara el uso de herramientas para poder extraer imágenes de discos duros, USB pen drive y de Flash memory de celulares con android. El propósito de lo mencionado es poder auditar esas imágenes, entender particiones, sistemas de archivos, recuperación de datos entre otras acciones. Vamos a utilizar herramientas conocidas como guymager, dc3dd, Sleuth Kit,
File Carving (recuperación de archivos borrados), Bulk extractor entre otras cosas.
LINKS y COMANDOS IMPORTANTES
Código: Seleccionar todo
hdparm -I /dev/sdd
Para obtener info de donde esta montado el disco (antes montarlo via escritorio remoto)
df -h
Comando para crear una imagen del disco en un dispositvo externo
/dev/sdc1 932G 586M 931G 1% /media/rogerio24/01D894C0531ADA10
dc3dd if=/dev/sda hof=/media/rogerio24/01D894C0531ADA10/pcimg/maquina.img hash=sha512
/media/rogerio24/01D894C0531ADA10/maquina.img
instlar el comando dc3dd
https://installati.one/install-dc3dd-kalilinux/?expand_article=1
-------------------------------------------------------------------------------------------------------------
Obtener imagen en celular android
Reconocer el equipo conectado al kali (tiene que estar rooteado el equipo y tienen que entrar en el modo recovery boot)
mostrar que dice "recovery"
adb devices
Acceder al shell
adb shell
Tirar comandos
uname -a
ls -l
Tirar el siguiente comando
ls /data/data
salir del adb y tirar el siguiente comando para copiar toda la data de las apps y base de datos del android a una carpeeta de nuestra pc
adb pull -p /data/data /home/rogerio24/
subir el comando dc3dd a la memoria sd del movil
https://github.com/jakev/android-binaries
adb push dc3dd /external_sd
adb shell
determinamos que disco o flash memory total principal
mmcblk0
ls /dev/block
montamos la sdcard para poder ejecuntar el comando que nos permite generar la imagen
el comando como pueden ver esta ela memoria sd del movil
mount -o remount,rw,exec /external_sd/
es el mismo comando que en el disco duro pero con la diferencia
que al tener una memoria sd formateada en fat32, la imagen no pude ser superior
a 4 gigas, el tamaño del archivo, entonces lo dividimos en partes
./dc3dd if=/dev/block/mmcblk0 hofs=movil.img.00 ofsz=3G hash=sha512
si no tenes la porqueria de fat 32 tira este
./dc3dd if=/dev/block/mmcblk0 hof=movil.img hash=sha512
extraer la info de la particion de la data, para saberlo tenemos que ejecutar el siguiente comando
cat /proc/mounts
./dc3dd if=/dev/block/dm-0 hofs=movildata/movildata.img.00 ofsz=3G hash=sha512
adb pull -p /external_sd/flashmemory /media/rogerio24/01D894C0531ADA10/flashmemory
adb pull -p /external_sd/datapartition /media/rogerio24/01D894C0531ADA10/appsandroid
Creacion de una imagen de un pendrive with guymager
es una app visual via kali linux
----------------------------------------------------------------------------------------------------------------------------------------------
Analisis de las imagenes con las herramientas
Sleuth kit
------------
Primer caso imagen del sistema operativo
es para determinar la tabla de particiones y ver donde comienza y su tamaño
img_stat maquina.img
mmls maquina.img
Detalles del file system metada de esa particion con ese file system
el numero es el sector donde empieza la particion o el file system de esa particion
fsstat -o 0000239616 maquina.img
fsstat -o 0333686784 maquina.img
Listamos archivos y directorios de esa particion con ese sistema de archivos, algunos son ocultos, vemos
en resumidas cuentas tambien algo de la metaadata el file system (en directorio root)
fls -o 0000239616 maquina.img
inode
fls -o 0000239616 maquina.img 565996
fls -o 0333686784 maquina.img
Ver directorios borrrados en esa particicion
fls -o 0000239616 -rdp maquina.img
fls -o 0333686784 -rdp maquina.img
mas informacion de la particion
en este caso como esa estructura esta dividida en el dispositivo del almacenamiento
istat -o 0000239616 maquina.img 0
istat -o 0333686784 maquina.img 1
--------------
Imagen del celular
adb pull -p /external_sd /media/rogerio24/01D894C0531ADA10
img_stat movil.img.*
mmls movil.img.*
fsstat -o 0000023808 movil.img.*
fls -o 0000023808 movil.img.*
particion de datos del celular
imagen del pendrive
img_stat pendrivetest.E0*
mmls pendrive.E0*
fsstat -o 0000002048 pendrivetest.E0*
fls -o 0000002048 pendrivetest.E0*
----------------------------------------------------------------------------------------------------
Filecarving
de la imagen del pendrive
ver archivos borrados
fls -o 0000002048 -rdp pendrive.E0*
los sectores del disco que ocupa
istat -o 0000002048 pendrive.E0* 60112435
y recuperar el archivo exe
icat -o 0000002048 -r pendrive.E0* 60112435 > test.exe
exiftool test.exe
Usaremos la imagen de la particion del movil para recuperar
archivos
foremost -o recovery -i movildata.img.*
rm -r recovery
foremost -o recovery -i movildata.img.* -t pdf
rm -r recovery
foremost -o recovery -i movildata.img.* -t jpeg
rm -r recovery
scalpel -o prueba46 movildata.img.*
bulk_extractor -o probando movildata.img.*
links
https://s3.amazonaws.com/acmelabs-galleries/48/0000/2352/forensic_cheatsheet.pdf
http://www.sleuthkit.org/sleuthkit/man/fls.htmlTemas relacionados: imágenes de discos y pendrives, particiones y sistemas de archivos, recuperación de datos.