Carving tools

Autopsy

ファイルを抽出するためにフォレンジックで最も一般的に使用されるツールはAutopsyです。ダウンロードしてインストールし、ファイルを取り込んで「隠れた」ファイルを見つけるようにします。Autopsyはディスクイメージやその他の種類のイメージをサポートするように構築されていますが、単純なファイルには対応していません。

Binwalk

Binwalkは、画像や音声ファイルなどのバイナリファイルを検索して埋め込まれたファイルやデータを見つけるためのツールです。 aptを使用してインストールできますが、ソースはgithubで見つけることができます。 便利なコマンド:

sudo apt install binwalk #Insllation
binwalk file #Displays the embedded data in the given file
binwalk -e file #Displays and extracts some files from the given file
binwalk --dd ".*" file #Displays and extracts all files from the given file

Foremost

もう1つの一般的な隠しファイルを見つけるためのツールはforemostです。 foremostの設定ファイルは/etc/foremost.confにあります。特定のファイルを検索したい場合は、それらのコメントを外してください。何もコメントアウトしない場合、foremostはデフォルトで構成されたファイルタイプを検索します。

sudo apt-get install foremost
foremost -v -i file.img -o output
#Discovered files will appear inside the folder "output"

Scalpel

Scalpelは、ファイルに埋め込まれたファイルを見つけて抽出するために使用できる別のツールです。この場合、抽出したいファイルタイプを設定ファイル（/etc/scalpel/scalpel.conf）からコメントアウトする必要があります。

sudo apt-get install scalpel
scalpel file.img -o output

Bulk Extractor

このツールはKaliに含まれていますが、こちらで見つけることができます: https://github.com/simsong/bulk_extractor

このツールは画像をスキャンし、その中に含まれるpcapsを抽出し、ネットワーク情報（URL、ドメイン、IP、MAC、メール）やさらにファイルを抽出することができます。行う必要があるのは次の通りです:

bulk_extractor memory.img -o out_folder

ファイルデータの彫刻ツール

PhotoRec

https://www.cgsecurity.org/wiki/TestDisk_Download で入手できます。

GUI バージョンと CLI バージョンがあります。PhotoRec が検索するファイルタイプを選択できます。

FindAES

AES キーを検索するためにキースケジュールを検索します。TrueCrypt や BitLocker で使用されるような 128、192、256 ビットのキーを見つけることができます。

こちらからダウンロードできます。

補足ツール

ターミナルから画像を表示するには viu を使用できます。 PDF をテキストに変換して読むには Linux コマンドラインツール pdftotext を使用できます。

4.7 KiB Raw Blame History Unescape Escape