[14515] 2019-08-26_用于监控USB设备连接事件的取证工具

文档创建者:s7ckTeam
浏览次数:4
最后更新:2025-01-18
2019-08-26_用于监控USB设备连接事件的取证工具 U S B s e c i s t   F r e e B u f   2 0 1 9 - 0 8 - 2 6 u s b r i p U S B   R i p p e r U S B   R . I . P . C L I / L i n u x U S B U S B u s b r i p P y t h o n   3 使 D e p e n d e n c i e s / P I P L i n u x / v a r / l o g / s y s l o g o r / v a r / l o g / m e s s a g e s   U S B U s e r V I D I D P I D I D P r o d u c t   J S O N U S B J S O N a u t h . j s o n ; a u t h . j s o n J S O N U S B a u t h . j s o n 使 - s 7 z i p c r o n t a b U S B U S B V I D / P I D u s b r i p P y P I G i t   C l o n e ~ / u s b r i p $ ~ / u s b r i p g i t   c l o n e u s b r i p s y s l o g s 使 s y s l o g - n g r s y s l o g U S B C o n n e c t e d D i s c o n n e c t e d d e b   p y t h o n 3 . 6   ( )   i n t e r p r e t e r p y t h o n 3 - v e n v $   p i p 3   i n s t a l l   u s b r i p ~ $   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / s n o v v c r a s h / u s b r i p . g i t   u s b r i p   & &   c d   u s b r i p ~ / u s b r i p $
p 7 z i p - f u l l s t o r a g e s 使 P I P   u s b r i p 使 t e r m i n a l t a b l e s t e r m c o l o r P y t h o n p i p s e t u p . p y p i p p i p e n v u s b r i p u s b r i p p i p s e t u p . p y p i p     s e t u p . p y u s b r i p p i p g i t   c l o n i n g r e p o p i p u s b r i p   P y t h o n 使 s e t u p . p y P y t h o n i n s t a l l . s h u s b r i p 使 . / i n s t a l l e r s / i n s t a l l . s h 使 . / i n s t a l l e r s / i n s t a l l . s h 使 c r o n t a b   j o b U S B u s b r i p / c r o n / u s b r i p . c r o n c r o n t a b   j o b 使 c r o n t a b 使 s u d o   c r o n t a b   - e c r o n   j o b s t o r a g e   u p d a t e r o o t U S B / v a r / o p t / u s b r i p / u s b r i p . i n i . / i n s t a l l e r s / u n i n s t a l l . s h u s b r i p - l . t a r . / 3 r d P a r t y T o o l s / P y P I P y t h o n - s u s b r i p U S B 使 - s U S B u s b r i p u s b r i p u s b r i p / o p t / u s b r i p /   / v a r / o p t / u s b r i p / u s b r i p . i n i u s b r i p 7 z i p / v a r / o p t / u s b r i p / s t o r a g e / U S B h i s t o r y . 7 z v i o l a t i o n . 7 z / v a r / o p t / u s b r i p / l o g /   u s b r i p 使 c r o n t a b u s b r i p u s b r i p / c r o n / u s b r i p . c r o n ~ $   s u d o   a p t   i n s t a l l   p y t h o n 3 - v e n v   p 7 z i p - f u l l   - y ~ / u s b r i p $   p y t h o n 3   - m   v e n v   v e n v   & &   s o u r c e   v e n v / b i n / a c t i v a t e ( v e n v )   ~ / u s b r i p $   p i p   i n s t a l l   - r   r e q u i r e m e n t s . t x t ~ / u s b r i p $   p i p e n v   i n s t a l l   & &   p i p e n v   s h e l l ( v e n v )   ~ / u s b r i p $   p y t h o n   - m   u s b r i p   - h O r ( v e n v )   ~ / u s b r i p $   p y t h o n   _ _ m a i n _ _ . p y   - h ~ / u s b r i p $   p y t h o n 3   - m   v e n v   v e n v   & &   s o u r c e   v e n v / b i n / a c t i v a t e ( v e n v )   ~ / u s b r i p $   p i p   i n s t a l l   . ( v e n v )   ~ / u s b r i p $   u s b r i p   - h ~ / u s b r i p $   p y t h o n 3   - m   v e n v   v e n v   & &   s o u r c e   v e n v / b i n / a c t i v a t e ( v e n v )   ~ / u s b r i p $   p y t h o n   s e t u p . p y   i n s t a l l ( v e n v )   ~ / u s b r i p $   u s b r i p   - h ~ / u s b r i p $   c h m o d   + x   . / i n s t a l l e r s / i n s t a l l . s h ~ / u s b r i p $   s u d o   - H   . / i n s t a l l e r s / i n s t a l l . s h   [ - l / - - l o c a l ]   [ - s / - - s t o r a g e s ] ~ / u s b r i p $   c d ~ $   u s b r i p   - h
/ v a r / o p t / u s b r i p / t r u s t e d /   U S B / u s r / l o c a l / b i n / u s b r i p   s y m l i n k / o p t / u s b r i p / v e n v / b i n / u s b r i p c r o n C r o n   j o b s u n i n s t a l l . s h u s b r i p - a u s b r i p u s b r i p c r o n   j o b 使 使 H e l p ~ / u s b r i p $   s u d o   c r o n t a b   - l   >   t m p c r o n   & &   e c h o   " "   > >   t m p c r o n ~ / u s b r i p $   c a t   u s b r i p / c r o n / u s b r i p . c r o n   |   t e e   - a   t m p c r o n ~ / u s b r i p $   s u d o   c r o n t a b   t m p c r o n ~ / u s b r i p $   r m   t m p c r o n ~ / u s b r i p $   c h m o d   + x   . / i n s t a l l e r s / u n i n s t a l l . s h ~ / u s b r i p $   s u d o   . / i n s t a l l e r s / u n i n s t a l l . s h   [ - a / - - a l l ] #   - - - - - - - - - -   B A N N E R   - - - - - - - - - - $   u s b r i p   b a n n e r G e t   u s b r i p   b a n n e r . #   - - - - - - - - - -   E V E N T S   - - - - - - - - - - $   u s b r i p   e v e n t s   h i s t o r y   [ - t   |   - l ]   [ - e ]   [ - n   < N U M B E R _ O F _ E V E N T S > ]   [ - d   < D A T E >   [ < D A T E >   . . . ] ]   [ - - u s e r   < U S E R >   [ < U S E R >   . . . ] ]   [ - - v i d   < V I D >   [ < V I D >   . . . ] ]   [ - - p i d   < P I D >   [ < P I D >   . . . ] ]   [ - - p r o d   G e t   U S B   e v e n t   h i s t o r y . $   u s b r i p   e v e n t s   o p e n   < D U M P . J S O N >   [ - t   |   - l ]   [ - e ]   [ - n   < N U M B E R _ O F _ E V E N T S > ]   [ - d   < D A T E >   [ < D A T E >   . . . ] ]   [ - - u s e r   < U S E R >   [ < U S E R >   . . . ] ]   [ - - v i d   < V I D >   [ < V I D >   . . . ] ]   [ - - p i d   < P I D >   [ < P I D >   . . . ] ]   [ - - p r o d   O p e n   U S B   e v e n t   d u m p . $   u s b r i p   e v e n t s   g e n _ a u t h   < O U T _ A U T H . J S O N >   [ - a   < A T T R I B U T E >   [ < A T T R I B U T E >   . . . ] ]   [ - e ]   [ - n   < N U M B E R _ O F _ E V E N T S > ]   [ - d   < D A T E >   [ < D A T E >   . . . ] ]   [ - - u s e r   < U S E R >   [ < U S E R >   . . . ] ]   [ - - v i d   < V I D >   [ < G e n e r a t e   a   l i s t   o f   t r u s t e d   ( a u t h o r i z e d )   U S B   d e v i c e s . $   u s b r i p   e v e n t s   v i o l a t i o n s   < I N _ A U T H . J S O N >   [ - a   < A T T R I B U T E >   [ < A T T R I B U T E >   . . . ] ]   [ - t   |   - l ]   [ - e ]   [ - n   < N U M B E R _ O F _ E V E N T S > ]   [ - d   < D A T E >   [ < D A T E >   . . . ] ]   [ - - u s e r   < U S E R >   [ < U S E R >   . . . ] ]   [ - - v i d   G e t   U S B   v i o l a t i o n   e v e n t s   b a s e d   o n   t h e   l i s t   o f   t r u s t e d   d e v i c e s . #   - - - - - - - - - -   S T O R A G E   - - - - - - - - - - $   u s b r i p   s t o r a g e   l i s t   < S T O R A G E _ T Y P E >   [ - q ]   [ - - d e b u g ] L i s t   c o n t e n t s   o f   t h e   s e l e c t e d   s t o r a g e   ( 7 z i p   a r c h i v e ) .   S T O R A G E _ T Y P E   i s   " h i s t o r y "   o r   " v i o l a t i o n s " . $   u s b r i p   s t o r a g e   o p e n   < S T O R A G E _ T Y P E >   [ - t   |   - l ]   [ - e ]   [ - n   < N U M B E R _ O F _ E V E N T S > ]   [ - d   < D A T E >   [ < D A T E >   . . . ] ]   [ - - u s e r   < U S E R >   [ < U S E R >   . . . ] ]   [ - - v i d   < V I D >   [ < V I D >   . . . ] ]   [ - - p i d   < P I D >   [ < P I D O p e n   s e l e c t e d   s t o r a g e   ( 7 z i p   a r c h i v e ) .   B e h a v e s   s i m i l a r y   t o   t h e   E V E N T S   O P E N   s u b m o d u l e . $   u s b r i p   s t o r a g e   u p d a t e   < S T O R A G E _ T Y P E >   [ - a   < A T T R I B U T E >   [ < A T T R I B U T E >   . . . ] ]   [ - e ]   [ - n   < N U M B E R _ O F _ E V E N T S > ]   [ - d   < D A T E >   [ < D A T E >   . . . ] ]   [ - - u s e r   < U S E R >   [ < U S E R >   . . . ] ]   [ - - v i d   < V I D >   [ < V I D U p d a t e   s t o r a g e     a d d   U S B   e v e n t s   t o   t h e   e x i s t i n g   s t o r a g e   ( 7 z i p   a r c h i v e ) .   C O M P R E S S I O N _ L E V E L   i s   a   n u m b e r   i n   [ 0 . . 9 ] . $   u s b r i p   s t o r a g e   c r e a t e   < S T O R A G E _ T Y P E >   [ - a   < A T T R I B U T E >   [ < A T T R I B U T E >   . . . ] ]   [ - e ]   [ - n   < N U M B E R _ O F _ E V E N T S > ]   [ - d   < D A T E >   [ < D A T E >   . . . ] ]   [ - - u s e r   < U S E R >   [ < U S E R >   . . . ] ]   [ - - v i d   < V I D >   [ < V I D C r e a t e   s t o r a g e     c r e a t e   7 z i p   a r c h i v e   a n d   a d d   U S B   e v e n t s   t o   i t   a c c o r d i n g   t o   t h e   s e l e c t e d   o p t i o n s . $   u s b r i p   s t o r a g e   p a s s w d   < S T O R A G E _ T Y P E >   [ - - l v l   < C O M P R E S S I O N _ L E V E L > ]   [ - q ]   [ - - d e b u g ] C h a n g e   p a s s w o r d   o f   t h e   e x i s t i n g   s t o r a g e . #   - - - - - - - - - -   I D s   - - - - - - - - - - $   u s b r i p   i d s   s e a r c h   [ - - v i d   < V I D > ]   [ - - p i d   < P I D > ]   [ - - o f f l i n e ]   [ - q ]   [ - - d e b u g ] G e t   e x t r a   d e t a i l s   a b o u t   a   s p e c i f i c   U S B   d e v i c e   b y   i t s   < V I D >   a n d / o r   < P I D >   f r o m   t h e   U S B   I D   d a t a b a s e . $   u s b r i p   i d s   d o w n l o a d   [ - q ]   [ - - d e b u g ] U p d a t e   ( d o w n l o a d )   t h e   U S B   I D   d a t a b a s e . $   u s b r i p   - h $   u s b r i p   < m o d u l e >   - h $   u s b r i p   < m o d u l e >   < s u b m o d u l e >   - h
U S B b a n n e r - q - - q u i e t - l , - - l i s t 1 0 0   - n   N U M B E R - - n u m b e r   N U M B E R   U S B - e - - e x t e r n a l C o n n e c t e d V I D P I D D i s c o n n e c t e d - t - - t a b l e   - c   C O L U M N [ C O L U M N ] , - - c o l u m n   C O L U M N   [ C O L U M N ] - f   F I L E   [ F I L E   . . . ] , - - f i l e   F I L E   [ F I L E   . . . ] U S B s t d o u t   |     > A N S I 使 u s b r i p 使 U N I C O D E U T F - 8 使 e n c o v W i n d o w s 便 使 a w k 使 s t d o u t u s b r i p . o u t a w k U S B j s o n t r u s t e d / a u t h . j s o n 9 2 6 V I D P I D U S B u s b r i p S N g e n _ a u t h P I D U S B t r u s t e d / a u t h . j s o n U S B B o b E v i l U S B M a n u f a c t u r e r 1 2 3 4 5 6 7 8 9 0 C o n n e c t e d V I D P I D V I D - - v i d   V I D P I D - - p i d   P I D U S B u s b _ i d s / u s b . i d s L i n u x - ф о р е н з и к а   в   л и ц е   т р е к и н г а   и с т о р и и   п о д к л ю ч е н и й   U S B - у с т р о й с т в   /   Х а б р u s b r i p :   U S B - ф о р е н з и к а   д л я   Л и н у к с о в ,   и л и   К а к   А л и с а   с т а л а   Е в о й * G i t H u b F B s e c i s t F r e e B u f . C O M $   u s b r i p   e v e n t s   h i s t o r y   - q l   - n   1 0 0 $   u s b r i p   e v e n t s   h i s t o r y   - e t   - c   c o n n   v i d   p i d   d i s c o n n   s e r i a l   - d   " D e c     9 "   " D e c   1 0 "   - f   / v a r / l o g / s y s l o g . 1   / v a r / l o g / s y s l o g . 2 . g z u s b r i p   h i s t o r y   e v e n t s   - t   |   a w k   ' {   s u b ( " $ " ,   " r " ) ;   p r i n t   } '   >   u s b r i p . o u t   & &   e n c o n v   - x   U T F 8   u s b r i p . o u t a w k   ' {   s u b ( " $ " ,   " r " ) ;   g s u b ( " x 1 B [ [ 0 - ? ] * [   - / ] * [ @ - ~ ] " ,   " " ) ;   p r i n t   } '   u s b r i p . o u t   & &   e n c o n v   - x   U T F 8   u s b r i p . o u t $   u s b r i p   e v e n t s   g e n _ a u t h   t r u s t e d / a u t h . j s o n   - a   v i d   p i d   - n   3   - d   " S e p   2 6 " $   u s b r i p   e v e n t s   v i o l a t i o n s   t r u s t e d / a u t h . j s o n   - a   p i d   - e t   - - u s e r   B o b   - - m a n u f a c t   E v i l U S B M a n u f a c t u r e r   - - s e r i a l   1 2 3 4 5 6 7 8 9 0   - c   c o n n   v i d   p i d $   u s b r i p   i d s   s e a r c h   - - v i d   0 7 8 1   - - p i d   5 5 8 0 $   u s b r i p   i d s   d o w n l o a d

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则