디지털 포렌식(Digital Forensics)/네이버 웨일 웹 포렌식(Naver Whale Web Forensics)15 네이버웨일 종료 시 일반모드와 시크릿모드의 검색기록 환경 : VMware15.5 pro / Windows7x64 각각 일반모드와 시크릿모드에서 검색 실행 후, 브라우저 창을 닫고 suspend 모드로 전환 . 환경구축 (일반모드와 시크릿모드에서 각각 다른 문장 검색) 일반모드에서 today is friday를 검색한 뒤, 브라우저 창을 종료했다. 시크릿모드에서 this is searching in incognito mode. 를 검색한 뒤, 브라우저 창을 종료했다. . 웹 브라우저 창을 종료했을 때 약 10분정도 경과된 뒤, VMware를 Suspend 모드로 돌려 .vmem 파일을 생성했다. 늘 하던 방식대로, imageinfo 명령어를 통해 프로세스명을 확인했다. (Win7SP1x64) pslist를 통해 프로세스 목록을 확인해보았다. 프로세스를 종료.. 2020. 7. 24. 네이버웨일(Naver Whale) 일반모드와 시크릿모드에서의 검색기록 환경 : VMware15.5 pro / Windows 7 Home Premium x64 각각 일반모드와 시크릿모드에서 검색을 한 뒤, 프로세스를 종료하지 않고(==브라우저 창을 닫지 않고), suspend 모드로 전환 네이버 웨일 일반 모드에서 'today is thursday'를 검색해주었다. 네이버 웨일 시크릿 모드(incognito mode)에서는 'this is incognito mode'를 검색해주었다. 그 후 VMware를 Suspend 모드로 전환시킨 뒤 남는 .vmem 파일을 가지고 실습을 진행했다. (네이버웨일 브라우저 창은 끄지 않음) imageinfo 명령어를 통해 프로파일명이 Win7SP1x64 임을 알 수 있다. 형식 : vol.py -f [덤프 파일] imageinfo pslis.. 2020. 7. 16. 웹 브라우저 포렌식과 아티팩트 1. 웹 브라우저 포렌식 웹 브라우저 포렌식은 용의자의 컴퓨터에 저장되는 웹 브라우저 사용 흔적을 디지털 포렌식적인 방법을 이용하여 조사하는 것을 의미한다. 즉, 웹 브라우저가 남기는 로그파일을 분석하는 것이다. *로그: 컴퓨터의 처리 내용이나 이용상황을 시간의 흐름에 따라 기록한 것, 또 PC통신에서 메일 등 통신 내용의 기록을 말하기도 함. (이 파일을 로그파일이라고 함.) 디지털 증거는 생성증거와 보관증거 두가지로 나뉜다. 구분 정의 예시 생성증거 시스템이나 애플리케이션이 자동으로 생성한 데이터 윈도우 시스템에서 레지스트리, 프리/슈퍼패치, 이벤트로그 등 보관증거 사람의 사상이나 감정을 표현하기 위해 작성한 데이터 직접 작성한 메일 내용, 블로그 작성 내용, 직접 작성한 문서 등 . 2. 아티팩트의.. 2020. 6. 13. 1. 볼라틸리티(Volatility) 기본 명령어 실습 - 프로파일(Profiles) 환경 : Win7x64 Home (VMware) (처음엔 Win10x64를 시도해 봤지만 pslist같은 명령어들이 되지 않았다 ㅠ) 1. imageinfo imageinfo는 덤프파일의 이미지 정보를 분석할 수 있는 명령어이다. pslist와 같은 다른 중요 명령어를 사용할 때 프로파일명이 필요하기 때문에, 프로파일명을 잘 알아두어야 한다. C:\Python27\Lib\site-packages\volatility-2.6\volatility-master>vol.py -f "C:\Users\[사용자명]\Documents\Virtual Machines\Windows 7 x64\Windows 7 x64-74924c7c.vmem" imageinfo Volatility Foundation Volatility Fr.. 2020. 6. 13. 0-2. Windows7 ISO 이미지 파일 설치 ↑ 클릭 시, 바로 iso 파일 다운로드 첨부된 파일을 다운로드 받고 실행하면 위와 같은 화면이 뜬다. 이때, Windows7 (August 2018)을 선택하고 각자에게 필요한 버전을 선택한다. 나는 Windows7 Home Premium 64-bit을 다운받았고, 언어는 영어밖에 없었다. 다운로드를 받고 나면 위와 같은 ISO 파일이 생긴다. 이 파일을 이용해 VMware에서 Windows 7 환경을 구축하면 된다. 아래 링크를 참고해 환경구축을 하면 될 듯! https://nan491.tistory.com/entry/VMware-%EA%B0%80%EC%83%81%EB%A8%B8%EC%8B%A0%EC%97%90-Windows-7-64Bit-%EC%84%A4%EC%B9%98%ED%95%98%EA%B8%.. 2020. 6. 13. 0-1. Python2.7버전 pip 설치 오류 및 UnicodeDecodeError 에러 PIP(Package Manager) 파이썬은 다양한 패키지를 제공하며, 패치지를 쉽게 설치하고 사용할 수 있다. pip는 파이썬의 패키지를 설치하거나 관리할 수 있는 패키지 관리 시스템이다. 파이썬 최신버전(2.7.9 이후버전 또는 3.4 이후 버전)에서는 pip를 기본적으로 포함해서 설치할 수 있다. cmd 창에서 pip를 실행하려고 할 때, 오류가 나서 몇시간동안 고생을 했다. 두가지의 오류가 났는데 하나는 'pip은(는) 내부 또는 외부 명령, 실행할 수 있는 프로그램, 또는 배치 파일이 아닙니다'와 'UnicodeDecodeError : 'ascii' codec cant decode byte 0xb1 in position 7:ordinal not in range(128)' 이었다. 두가지 오류를.. 2020. 6. 13. 이전 1 2 3 다음
