Kali Linux - Ferramentas Forenses

Neste capítulo, aprenderemos sobre as ferramentas forenses disponíveis no Kali Linux.

p0f

p0fé uma ferramenta que pode identificar o sistema operacional de um host de destino simplesmente examinando os pacotes capturados, mesmo quando o dispositivo em questão está atrás de um firewall de pacotes. P0f não gera nenhum tráfego de rede adicional, direto ou indireto; nenhuma pesquisa de nome; sem sondagens misteriosas; sem consultas ARIN; nada. Nas mãos de usuários avançados, o P0f pode detectar a presença do firewall, o uso do NAT e a existência de balanceadores de carga.

Tipo “p0f – h” no terminal para ver como usá-lo e você obterá os seguintes resultados.

Ele listará até as interfaces disponíveis.

Em seguida, digite o seguinte comando: “p0f –i eth0 –p -o filename”.

Onde o parâmetro "-i" é o nome da interface conforme mostrado acima. "-p" significa que está em modo promíscuo. "-o" significa que a saída será salva em um arquivo.

Abra uma página da web com o endereço 192.168.1.2

A partir dos resultados, você pode observar que o servidor da Web está usando apache 2.xe o sistema operacional é Debian.

pdf-parser

pdf-parser é uma ferramenta que analisa um documento PDF para identificar os elementos fundamentais usados ​​no arquivo PDF analisado. Não renderizará um documento PDF. Não é recomendado para o caso de livro de texto para analisadores de PDF, no entanto, ele faz o trabalho. Geralmente, isso é usado para arquivos PDF que você suspeita que tenham um script embutido.

O comando é -

pdf-parser  -o 10 filepath

onde "-o" é o número de objetos.

Como você pode ver na captura de tela a seguir, o arquivo pdf abre um comando CMD.

Dumpzilla

O aplicativo Dumpzilla é desenvolvido em Python 3.xe tem como objetivo extrair todas as informações forenses de interesse dos navegadores Firefox, Iceweasel e Seamonkey para serem analisadas.

ddrescue

Ele copia dados de um arquivo ou dispositivo de bloco (disco rígido, cdrom, etc.) para outro, tentando resgatar as partes boas primeiro em caso de erros de leitura.

A operação básica do ddrescue é totalmente automática. Ou seja, você não precisa esperar por um erro, parar o programa, reiniciá-lo de uma nova posição, etc.

Se você usar o recurso mapfile de ddrescue, os dados são resgatados de forma muito eficiente (apenas os blocos necessários são lidos). Além disso, você pode interromper o resgate a qualquer momento e reiniciá-lo mais tarde no mesmo ponto. O mapfile é uma parte essencial da eficácia do ddrescue. Use-o a menos que saiba o que está fazendo.

A linha de comando é -

dd_rescue infilepath  outfilepath

Parâmetro "–v" significa verboso. "/dev/sdb"é a pasta a ser resgatada. oimg file é a imagem recuperada.

DFF

É outra ferramenta forense usada para recuperar os arquivos. Ele também tem uma GUI. Para abri-lo, digite“dff-gui” no terminal e a seguinte GUI da web será aberta.

Clique em Arquivo → “Abrir evidência”.

A seguinte tabela será aberta. Marque “Formato bruto” e clique em “+” para selecionar a pasta que deseja recuperar.

Em seguida, você pode navegar pelos arquivos à esquerda do painel para ver o que foi recuperado.