搜索

[16833] 2021-05-27_如何使用Judge-Jury-and-Executable进行文件系统取证和威胁分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-05-27_如何使用Judge-Jury-and-Executable进行文件系统取证和威胁分析 如 何 使 用 J u d g e - J u r y - a n d - E x e c u t a b l e 进 行 文 件 系 统 取 证 和 威 胁 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 5 - 2 7 关 于 关 于 J u d g e - J u r y - a n d - E x e c u t a b l e J u d g e - J u r y - a n d - E x e c u t a b l e 是 一 款 文 件 系 统 取 证 分 析 扫 描 和 威 胁 捕 捉 工 具 。 该 工 具 能 够 在 M F T 和 操 作 系 统 级 别 上 进 行 文 件 系 统 扫 描 ， 并 且 还 可 以 扫 描 存 储 在 S Q L 、 S Q L i t e 或 C S V 中 的 数 据 。 除 此 之 外 ， J u d g e - J u r y - a n d - E x e c u t a b l e 还 可 以 利 用 S Q L 的 强 大 功 能 和 语 法 来 探 测 威 胁 和 数 据 。 功 能 介 绍 功 能 介 绍 立 即 扫 描 已 安 装 的 文 件 系 统 以 查 找 威 胁 。 或 者 在 事 件 发 生 前 收 集 系 统 基 线 ， 以 获 得 额 外 的 威 胁 搜 寻 能 力 ， 可 在 事 件 发 生 之 前 、 期 间 或 之 后 使 用 。 一 对 多 工 作 站 。 扫 描 M F T ， 绕 过 文 件 权 限 、 文 件 锁 定 或 操 作 系 统 文 件 保 护 / 隐 藏 。 为 每 个 文 件 收 集 多 达 5 1 个 不 同 的 属 性 。 扫 描 结 果 进 入 S Q L 表 ， 以 便 以 后 进 行 搜 索 ， 在 许 多 扫 描 和 / 或 许 多 机 器 上 聚 合 结 果 ， 并 进 行 历 史 或 回 顾 性 分 析 。 利 用 S Q L 的 强 大 功 能 来 搜 索 文 件 系 统 、 查 询 文 件 属 性 、 回 答 复 杂 或 高 级 问 题 ， 以 及 寻 找 威 胁 或 危 害 迹 象 。 工 具 要 求 工 具 要 求 . N E T   F r a m e w o r k   v 4 . 8 带 有 读 取 / 写 入 / 创 建 访 问 权 的 本 地 或 远 程 S Q L 数 据 库 V i s u a l   S t u d i o 接 入 网 络 S Q L 基 础 知 识 高 级 数 据 分 析 高 级 数 据 分 析 在 M F T 和 取 证 级 别 的 数 据 得 到 保 护 之 后 ， 将 收 集 每 个 文 件 的 操 作 系 统 级 别 属 性 、 可 用 数 据 和 元 数 据 ， 并 扩 充 M F T 条 目 所 创 建 的 每 个 条 目 。 因 此 ， 即 使 由 于 文 件 权 限 （ A C L ） 、 文 件 锁 定 （ 正 在 使 用 ） 、 磁 盘 损 坏 、 零 字 节 长 度 文 件 或 任 何 其 他 原 因 而 无 法 访 问 操 作 系 统 A P I ， 工 具 仍 将 记 录 和 跟 踪 该 文 件 的 存 在 。 但 是 ， 条 目 将 不 包 含 操 作 系 统 无 法 访 问 的 信 息 。 每 个 文 件 最 多 可 收 集 5 1 个 不 同 的 数 据 点 。
每 份 文 件 收 集 的 信 息 每 份 文 件 收 集 的 信 息 S H A 2 5 6 哈 希 M D 5 哈 希 导 入 表 哈 希 M F T 号 & 序 列 号 M F T 创 建 / 修 改 / 访 问 的 数 据 操 作 系 统 创 建 / 修 改 / 访 问 的 数 据 所 有 的 标 准 操 作 系 统 文 件 属 性 ： 位 置 、 大 小 、 日 期 时 间 戳 、 属 性 、 元 数 据 是 否 是 P E 或 D L L 或 驱 动 器 认 证 代 码 是 否 已 签 名 是 否 验 证 了 5 0 9 证 书 链 自 定 义 Y A R A 规 则 文 件 熵 样 本 数 据 行 样 本 数 据 行


固 定 查 询 样 例 固 定 查 询 样 例 / * I D E A :   A l l   f i l e s   i n   t h e   d i r e c t o r y   C : W i n d o w s S y s t e m 3 2   s h o u l d   b e   ' o w n e d '   b y   T r u s t e d I n s t a l l e r . I f   a   f i l e   i n   t h e   S y s t e m 3 2   d i r e c t o r y   i s   o w n e d   b y   a   d i f f e r e n t   u s e r ,   t h i s   i n d i c a t e s   a n   a n o m a l y , a n d   t h a t   u s e r   i s   l i k e l y   t h e   u s e r   t h a t   c r e a t e d   t h a t   f i l e .
a n d   t h a t   u s e r   i s   l i k e l y   t h e   u s e r   t h a t   c r e a t e d   t h a t   f i l e . M a l w a r e   l i k e s   t o   m a s q u e r a d e   a r o u n d   a s   v a l i d   W i n d o w s   s y s t e m   f i l e s . E x e c u t a b l e s   t h a t   a r e   p l a c e d   i n   t h e   S y s t e m 3 2   d i r e c t o r y   n o t   o n l y   l o o k   m o r e   o f f i c i a l ,   a s   i t   i s   a   c o m m o n   p a t h   f o r s y s t e m   f i l e s ,   b u t   a n   e x p l i c i t   p a t h   t o   t h a t   e x e c u t a b l e   d o e s   n o t   n e e d   t o   b e   s u p p l i e d   t o   e x e c u t e   i t   f r o m   t h e c o m m a n d   l i n e ,   w i n d o w s   ' R u n '   d i a l o g   b o x   o f   t h e   s t a r t   m e n u ,   o r   t h e   w i n 3 2   A P I   c a l l   S h e l l E x e c u t e . * / S E L E C T T O P   1 0 0 0   * F R O M     [ F i l e P r o p e r t i e s ] W H E R E                 [ F i l e O w n e r ]   < >   ' T r u s t e d I n s t a l l e r '         A N D   [ D i r e c t o r y L o c a t i o n ]   =   ' : W i n d o w s S y s t e m 3 2 '         A N D   I s S i g n e d   =   0 O R D E R   B Y   [ P r e v a l e n c e C o u n t ]   D E S C / * I D E A :   T h e   M F T   c r e a t i o n   t i m e s t a m p   a n d   t h e   O S   c r e a t i o n   t i m e s t a m p   s h o u l d   m a t c h . I f   t h e   M F T   c r e a t i o n   t i m e s t a m p   o c c u r s   a f t e r   t h e   c r e a t i o n   t i m e   r e p o r t e d   b y   t h e   O S   m e t a - d a t a , t h i s   i n d i c a t e s   a n   a n o m a l y . T i m e s t o m p   i s   a   t o o l   t h a t   i s   p a r t   o f   t h e   M e t a s p l o i t   F r a m e w o r k   t h a t   a l l o w s   a   u s e r   t o   b a c k d a t e   a   f i l e t o   a n   a r b i t r a r y   t i m e   o f   t h e i r   c h o o s i n g .   T h e r e   r e a l l y   i s n ' t   a   g o o d   l e g i t i m a t e   r e a s o n   f o r   d o i n g   t h i s ( l e t   m e   k n o w   i f   y o u   c a n   t h i n k   o f   o n e ) ,   a n d   i s   c o n s i d e r e d   a n   a n t i - f o r e n s i c s   t e c h n i q u e . * / S E L E C T T O P   1 0 0 0   * F R O M     [ F i l e P r o p e r t i e s ] W H E R E ( [ M f t T i m e A c c e s s e d ]   < >   [ L a s t A c c e s s T i m e ] )   O R ( [ M f t T i m e C r e a t i o n ]   < >   [ C r e a t i o n T i m e ] )   O R ( [ M f t T i m e M f t M o d i f i e d ]   < >   [ L a s t W r i t e T i m e ] ) O R D E R   B Y   [ D a t e S e e n ]   D E S C
项 目 地 址 ： 点 击 底 部 【 阅 读 原 文 】 获 取 精 彩 推 荐 精 彩 推 荐 / * I D E A :   T h e   ' C o m p i l e D a t e '   p r o p e r t y   o f   a n y   e x e c u t a b l e   o r   d l l   s h o u l d   a l w a y s   c o m e   b e f o r e   t h e   c r e a t i o n   t i m e s t a m p   f o r   t h a t   f i l e . S i m i l a r   l o g i c   a p p l i e s   a s   f o r   t h e   M F T   c r e a t i o n   t i m e s t a m p   o c c u r i n g   a f t e r   t h e   c r e a t i o n   t i m e s t a m p .   H o w   c o u l d   a   p r o g r a m   h a v e   b e e n c o m p i l e d   A F T E R   t h e   f i l e   t h a t   h o l d s   i t   w a s   c r e a t e d ?   T h i s   a n o m a l y   i n d i c a t e s   b a c k d a t i n g   o r   t i m e s t o m p i n g   h a s   o c c u r r e d . * / S E L E C T T O P   1 0 0 0   * F R O M     [ F i l e P r o p e r t i e s ] W H E R E ( [ M f t T i m e C r e a t i o n ]   <   [ C o m p i l e D a t e ] )   O R ( [ C r e a t i o n T i m e ]   <   [ C o m p i l e D a t e ] ) O R D E R   B Y   [ D a t e S e e n ]   D E S C
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理