COMPUTER- FORENSIK HACKS

Transkript

1 COMPUTER- FORENSIK HACKS } ;+ lr M- Lorenz Kuhlee Victor Völzow all r>.iik'! J i.'..- O'REILLY 8 Beijing Cambridge Farnham Köln Sebastopol Tokyo ;

2 Inhalt Vorwort und Danksagungen Einleitung IX XIII Kapitel 1. Datensicherung 1 1. Woran Sie denken sollten 2 2. So säubern Sie Ihre Backup-Datenträger 5 3. Bevor es zu spät ist - RAM sichern 7 4. RAM sichern trotz Passwortsicherung 9 5. Wenn nichts mehr hilft: Cold Boot Weitere flüchtige Daten richtig sichern Automatisieren Sie Live-Sicherungen mit Skripten So sichern Sie Daten auf der Kommandozeile Wenn Sie doch eine GUI bevorzugen Vertrauen ist gut, Kontrolle ist besser Boot DVDs für die Datensicherung Aus der Ferne sichern Aus der Ferne sicher sichern Wenn Ihnen das Format nicht passt 35 Kapitel 2. Dateisysteme Analysieren Sie den Master Boot Record Identifizieren Sie verschiedene FAT-Dateisysteme Das Prinzip gelöschter Dateien unter NTFS Wie Sie Zeitstempel einer Datei validieren 46 I V

3 19. So identifizieren Sie unter NTFS die Eigenschaften einer gelöschten Datei ' ' Wie ein Puzzle: Setzen Sie trotz Fragmentierung gelöschte Dateien wieder zusammen Wenn Dateien keine Dateien sind Der Slack-Bereich Welche Daten Sie sonst noch in der MFT finden können Schreiben Sie Ihren eigenen MFT-Eintragsparser Der Unterschied zwischen Hard- und Soft-Link 70 Kapitel 3. Analyse und Wiederherstellung von Daten Zugriff auf Images mit grafischen Helfern Binden Sie Images in Ihr System ein Finden Sie alte Bekannte 81,' 29. Retten Sie in wenigen Minuten Dateien mit Freeware unter Windows Ausflug in die Welt der Zahlen 89./ 31. Decodieren Sie Rot 13 und Base Entdecken Sie das wahre Gesicht einer Datei Erst auspacken, dann suchen Wenn Sie doch einmal manuell Carven müssen Wenn nichts mehr hilft: Block Hashing Keywordsuche mit regulären Ausdrücken Volltreffer Listen für Forensiklaien generieren Kopieren nach Dateinamenerweiterung Jede Platte hat ihre Geschichte Visualisieren Sie Ihre Zeitleiste Logfile-Auswertung, Teil Logfile-Auswertung, Teil Automatisierte Auswertung von Logfiles Analyse der gesicherten RAM-Dumps 136 Kapitel 4. Digitale Spuren in Windows Wichtige Verzeichnisse in Windows XP / Vista / Die Registry-Top Ihre Goldgrube - MRU-Listen für alle Zwecke Welche Programme wurden gestartet? So werten Sie Ereignisprotokolle aus * 150 VI I Inhalt

4 51. Reisen Sie in die Vergangenheit Finden Sie Spuren in Vorschaudatenbanken Sehen Sie, was gedruckt wurde Stöbern Sie im Müll Passwort vergessen? Kein Problem! 167 Kapitel 5. Digitale Spuren in Linux Finden Sie heraus, welches Linux-Derivat vorliegt Verschaffen Sie sich einen Partitionsüberblick (Sys V) Verschaffen Sie sich einen Partitionsüberblick (BSD) Ermitteln Sie installierte Software Finden Sie Hinweise auf gelaufene Netzwerkdienste Stellen Sie die Netzwerkkonfiguration fest Spüren Sie Anomalien bei den Usern auf Auf den Spuren des Users Stellen Sie Beziehungen grafisch dar Analysieren eines LAMP(P)-Servers So rekonstruieren Sie eine dynamische Webseite 201 Kapitel 6. Internetartefakte So untersuchen Sie SQLite Datenbanken Analysieren der Firefox-History Sonstige Spuren des Browsers Firefox Analysieren der Internet-Explorer-History Sonstige Spuren des Browsers Internet Explorer Analysieren der Chrome-History Sonstige Spuren des Browsers Chrome So werten Sie den ICQ-Messenger aus Untersuchen Sie den Windows Live Messenger Finden Sie Spuren des Skype Messenger Analysieren Sie s von Microsoft Outlook Bereiten Sie s von Windows Live Mail auf Analysieren Sie s im Format mbox Der auf der Spur Finden Sie Spuren im HTML-Quelltext 259 Kapitel 7. Hacking & Co Top-10-Hinweise auf einen Angriff So funktioniert WLAN-Hacking 266 Inhalt I VII

5 84. Typische Suchmuster für Angriffe auf Datenbanken Lassen Sie sich Netzwerkverbindungen anzeigen Stellen Sie fest, ob ein Webserver leicht angreifbar war Der Kammerjäger: Stellen Sie fest, ob sich Malware eingenistet hat Überprüfen Sie Ihren Netzwerkverkehr PDF Malware-Analyse Machen Sie sich die Erfahrung der Profis zunutze 283 Kapitel 8. Virtualisierung Nutzen Sie QEMU für die Virtualisierung So virtualisieren Sie Ihr forensisches Image Richten Sie ein virtuelles Netzwerk ein Konvertieren zwischen virtuellen Festplatten Blue Screen ade mit OpenGates Penetrationstest für Passwörter eines (virtualisierten) Windows-Betriebssystems Penetrationstest für Passwörter eines (virtualisierten) Linux-Betriebssystems Passwortpenetration mit John the Ripper Booten eines Mac OS X-Image Eine VM, viele Gesichter 312 Index 315 r'.-.. VIII I Inhalt