Windows Phone 7 aus forensischer Sicht

Transkript

1 Windows Phone 7 aus forensischer Sicht Thomas Schaefer FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 1

2 Inhalt Einleitung Windows Phone 7 Dateisystem Analyse (live) Fazit FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 2

3 Einleitung Neues Smartphone Betriebssystem Release: Oktober 2010 Ziel: Möglichkeiten einer Analyse: Logisch: SMS / MMS, CallLogs, Audio/Video etc. Dateisystem: Dateien, Apps etc. FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 3

4 Windows Phone 7 Neues Smartphone Betriebssystem Release: Oktober 2010 Neuerungen unter anderem: Hardware Marketplace Anbindung Entwicklung FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 4

5 Windows Phone 7 Freischalte-Prozess (normal) 1. Einrichtung von Entwicklerkonten 2. GeoTrust Verifikation 3. Freischaltung des physischen Gerätes 4. Deploy möglich FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 5

6 Windows Phone 7 Freischalte-Request (mit Registrierungs-Tool) XML Reply Entwickler-Workstation mit Phone Microsoft Registrierungs-Server Freischalte-Prozess (normal) FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 6

7 Windows Phone 7 Freischalte-Prozess (ChevronWP7) Bildet Registration Tool nach (Reflector) Modifiziert den Prozess Verteilt gefälschtes Reply-XML FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 7

8 Windows Phone 7 Status prüfen Byte-Array schicken (Deploy-Versuch) Registrierungs-Status-Check : XML Reply ChevronWP7 Laufender Check des Ports Windows Phone 7 Freischalte-Prozess (ChevronWP7) FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 8

9 Windows Phone 7 Reply-XML FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 9

10 Windows Phone 7 Dateisystem Dateisystem nicht zugänglich! IsolatedStorage Prinzip: Anwendungen dürfen nur auf ihren eigenen IsolatedStorage zugreifen FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 10

11 Windows Phone 7 Dateisystem Unterbau ist Windows CE 6! Windows Phone 7 Windows CE 6 FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 11

12 Windows Phone 7 Dateisystem Tunnel zu Unterbau über DLL: Microsoft.Phone.InteropServices.dll Klasse ComBridge Herkunft: WireShark Sniff Es ist möglich COM Elemente zu importieren und zu benutzen (Windows CE DLLs) FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 12

13 Managed vs. Unmanaged Code Managed Unmanaged Registry ComBridge Native DLLs (unmanaged Code) Import FileSystem Access Windows Phone 7 Windows CE 6 FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 13

14 Analyse (live) Auf dieser Basis sind folgende Auswertungen (bisher) erfolgreich: System Daten Registry Aktive Tasks Telefon Informationen Datei-System Tool Una, PhoneApp Una, PhoneApp Una, PhoneApp WPDM FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 14

15 Analyse (live) Auf dieser Basis sind folgende Auswertungen (bisher) erfolgreich: Anwendungsdaten Daten Nachrichten (SMS / / Facebook) Dokumente CallHistory Facebook Anwendungen WPDM, TouchXperience, HexEditor, Perl-Skript WPDM WPDM, Hex-Editor WPDM, Hex-Editor (und andere ) FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 15

16 Fazit Vieles ist schon jetzt möglich Auswertungs-Anwendungen werden mächtiger Grundlage für eine Forensic-Suite ist gegeben FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 16

17 Fazit Ende FH AACHEN UNIVERSITY OF APPLIED SCIENCES Hier steht der Titel - Hier steht der Name des Vortragenden 17