Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
コンピュータフォレンジックにちょっとだけ触れてみる
Search
Infiniteloop
July 14, 2023
Programming
0
54
コンピュータフォレンジックにちょっとだけ触れてみる
2014年6月20日に開催された勉強会 OpenIL Vol2内で使用されたスライド資料。
Infiniteloop
July 14, 2023
Tweet
Share
More Decks by Infiniteloop
See All by Infiniteloop
俺の PHP プロファイラの話 PHP スクリプトで PHP 処理系のメモリをのぞき込む
infiniteloop_inc
0
380
心理的安全性を学び直し、 「いい組織とは何か?」を考えてみる
infiniteloop_inc
0
470
ゼロからつくる 2D物理シミュレーション ~物理現象をコードに落とし込む方法~
infiniteloop_inc
1
640
詫び石の裏側
infiniteloop_inc
0
520
[新卒向け研修資料] テスト文字列に「うんこ」と入れるな(2024年版)
infiniteloop_inc
7
29k
リファクタリングで実装が○○分短縮した話
infiniteloop_inc
0
180
ADRという考えを取り入れてみて
infiniteloop_inc
0
170
500万行のPHPプロジェクトにおけるログ出力の歩み
infiniteloop_inc
0
140
I ❤ Virtual Machines 仮想環境をより便利に使うツールたち
infiniteloop_inc
0
110
Other Decks in Programming
See All in Programming
Expoによるアプリ開発の現在地とReact Server Componentsが切り開く未来
yukukotani
1
210
複数のAWSアカウントから横断で 利用する Lambda Authorizer の作り方
tc3jp
0
120
CDK開発におけるコーディング規約の運用
yamanashi_ren01
2
260
たのしいSocketのしくみ / Socket Under a Microscope
coe401_
8
1.4k
ABEMA iOS 大規模プロジェクトにおける段階的な技術刷新 / ABEMA iOS Technology Upgrade
akkyie
1
240
PHPカンファレンス名古屋2025 タスク分解の試行錯誤〜レビュー負荷を下げるために〜
soichi
1
740
苦しいTiDBへの移行を乗り越えて快適な運用を目指す
leveragestech
0
1.2k
Honoのおもしろいミドルウェアをみてみよう
yusukebe
1
240
⚪⚪の⚪⚪をSwiftUIで再現す る
u503
0
100
もう少しテストを書きたいんじゃ〜 #phpstudy
o0h
PRO
20
4.3k
なぜイベント駆動が必要なのか - CQRS/ESで解く複雑系システムの課題 -
j5ik2o
14
4.8k
PHPのバージョンアップ時にも役立ったAST
matsuo_atsushi
0
230
Featured
See All Featured
[RailsConf 2023 Opening Keynote] The Magic of Rails
eileencodes
28
9.3k
Principles of Awesome APIs and How to Build Them.
keavy
126
17k
A better future with KSS
kneath
238
17k
個人開発の失敗を避けるイケてる考え方 / tips for indie hackers
panda_program
100
18k
The Art of Delivering Value - GDevCon NA Keynote
reverentgeek
11
1.3k
Code Review Best Practice
trishagee
67
18k
GraphQLとの向き合い方2022年版
quramy
44
14k
Performance Is Good for Brains [We Love Speed 2024]
tammyeverts
7
660
How to Think Like a Performance Engineer
csswizardry
22
1.4k
The Psychology of Web Performance [Beyond Tellerrand 2023]
tammyeverts
46
2.4k
Raft: Consensus for Rubyists
vanstee
137
6.8k
Navigating Team Friction
lara
183
15k
Transcript
コンピュータフォレンジックに ちょっとだけ触れてみる OpenIL vol.2 松本聡
自己紹介 名前 松本聡(rarere) 仕事 インフラ方面
とある勉強会
せきゅぽろナイトセミナー♯10 インシデントレスポンスにおけるフォレンジック
実際にやってみました。 一部拡大
そのときのおやつ
None
きのとや チーズタルト
きのとや チーズタルト 通販も可 http://www.kinotoya.com/shop/
目次 • コンピュータフォレンジック? • どうやってやる? • やってみる
コンピュータフォレンジック?
コンピュータフォレンジック? • パソコンとかの機器のログやら状態やらを詳細 に調査して、何が起こったかを立証する証拠集 め(法的な意味で)
コンピュータフォレンジック? • パソコンとかの機器のログやら状態やらを詳細 に調査して、何が起こったかを立証する証拠集 め(法的な意味で) • フォレンジックには鑑識という意味もある
コンピュータフォレンジック? • パソコンとかの機器のログやら状態やらを詳細 に調査して、何が起こったかを立証する証拠集 め(法的な意味で) • フォレンジックには鑑識という意味もある • 意訳すると、デジタル鑑識
コンピュータフォレンジック? • パソコンとかの機器のログやら状態やらを詳細 に調査して、何が起こったかを立証する証拠集 め(法的な意味で) • フォレンジックには鑑識という意味もある • 意訳すると、デジタル鑑識 •
というのがIT用語辞典とかwikipediaとかに書い てある。
コンピュータフォレンジック? すごくざっくりとした説明なので、ネットエージェント さんのサイトとかwikipediaとかいろいろ見てくださ い。
フォレンジックでぐぐると デジタルフォレンジックが 上にでてくる
デジタルフォレンジック? コンピュータフォレンジック?
パソコンのフォレンジックするの がコンピュータフォレンジック (デジタルフォレンジックとも) ネットワークフォレンジック というのもある(パケット見たり)
文献によってさまざまなようなの で、今回は同じ意味ということに しておいてください。
具体的に何を見る? • いろんな設定 ◦ たとえばネットワークの設定やらグループポリシーやら。 • HDDに記録されてるログ ◦ イベントログ、レジストリ、プリフェッチとか •
メモリのダンプ とりあえず今回はこの辺を見る。
どうやってやる? OSSとかで、それができるものがある。
フォレンジックに使える道具たち • Sysinternals Suite • The Coroner’s Toolkit • Sleuth
Kit & Autopsy • userassist • winprefetchview • volatility • dumpit • ftkimager
フォレンジックに使える道具たち • Sysinternals Suite • The Coroner’s Toolkit • Sleuth
Kit & Autopsy • userassist • winprefetchview • volatility • dumpit • ftkimager 赤字のものを触ってみます。
フォレンジックに使える道具たち • Sysinternals Suite • The Coroner’s Toolkit • Sleuth
Kit & Autopsy • userassist • winprefetchview • volatility • dumpit • ftkimager 赤字のものを触ってみます。 UserAssist(レジストリ) プリフェッチ メモリの解析
UserAssist
UserAssist • レジストリに記録されてるもの • 使ったアプリケーションの履歴が記録されてる ◦ パス、実行回数、時間… • HKEY_CURRENT_USER\Software\Microsof t\Windows\CurrentVersion\Explorer\UserAssi
st\
UserAssist レジストリエディタで確認
UserAssist 一部拡大。 よくわからない文字列 日本語はそのまま ROT13という 暗号化処理された 文字列
ROT13 ROT13 または ROT-13、rot13 は単換字式暗号 (シーザー暗号)の一つである。アルファベットを一 文字毎に13文字後のアルファベットに置き換える。 Aは Nに、 B
は O に置き換えられ、以下同様であ る。英語の "Rotate by 13 places" の略(ry wikipedia http://ja.wikipedia.org/wiki/ROT13
ROT13 http://ja.wikipedia.org/wiki/ROT13
UserAssist こんな感じの バイナリ値で 保存されてる
UserAssist 赤:実行回数 青:時間
UserAssist わからん
UserAssist 見てくれるツールあるよ!
UserAssist デモ
プリフェッチ
プリフェッチ • Windows(XP以降)には、プリフェッチというアプ リケーション起動速度向上のための仕組みがあ る • 「%SystemRoot%\Prefetch」というプリフェッチ フォルダに、「.pf」という拡張子のファイルがあ る。
プリフェッチ http://windows.microsoft.com/ja-jp/windows-vista/what-is-the-prefetch-folder
プリフェッチ • 実行ファイル • ファイルパス • 実行時間 • 実行回数 •
関係しているファイル などがわかる
プリフェッチ フォルダを閲覧
プリフェッチ
プリフェッチ バイナリのどの部分が何で…というのは聞いたけ ど覚えてない。 やっぱりわからん
プリフェッチ
winprefetchview デモ
メモリの解析
メモリの解析 メモリのダンプとって解析する • OS情報 • プロセスのリスト • それらが使ってたDLL一覧 • コネクション情報
• 開いてたファイル など、いろいろわかる。
メモリの解析 • メモリのダンプ ◦ ftkimager • ダンプしたメモリの解析 ◦ volatility メモリのダンプできるのは他にもあるけどとりあえ
ず今回はこれで。
ftkimager FTK Imager Lite version 3.1.1でOK メモリのダンプはちょっと時間がかかります
volatility pythonのスクリプト Windows用のバイナリもある
volatility インストールはここ見て頑張る https://code.google. com/p/volatility/wiki/FullInstallation#Installation_ Prerequisites 結構面倒 pythonの3じゃ動かない 64bitのpyhton2.7だとだめかも? 多分準備するならLinuxのほうが楽。
自分のPCで解析しようと思ったけど… Windows7までしか対応してなかった。(手元のPC はWindows8.1) >Support for Windows 8, 8.1, Server 2012,
2012 R2, and OSX 10.9 (Mavericks) is either already in svn or just around the corner, so stay tuned for our next release! https://code.google.com/p/volatility/
サイトにあるメモリのサンプルでやる マルウェアが動いてる状態の分とか、 何もない自分のPC見るより面白そう
メモリ解析 デモ
\e