搜索

[21011] 2020-05-07_NTFS交换数据流隐写

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-05-07_NTFS交换数据流隐写 N T F S 交 换 数 据 流 隐 写 L e m o n S e c   2 0 2 0 - 0 5 - 0 7 本 周 斗 哥 给 大 家 带 来 的 议 题 是 磁 盘 镜 像 文 件 在 杂 项 类 题 目 中 的 知 识 点 ， 与 前 几 周 斗 哥 的 《 C T F   |   攻 击 取 证 值 内 存 分 析 》 的 区 别 是 上 周 的 议 题 讨 论 是 内 存 的 文 件 ， 而 本 周 我 们 要 讨 论 的 是 磁 盘 中 的 文 件 。 先 来 了 解 一 下 目 前 常 见 的 取 证 有 如 下 分 类 ： 从 上 图 我 们 知 道 了 取 证 的 主 要 分 类 ， 以 P C 端 的 取 证 为 例 展 开 ， 斗 哥 主 要 整 理 了 P C 端 有 关 w i n d o w s 系 列 的 取 证 相 关 的 知 识 点 框 架 （ 初 稿 ） ， 本 周 我 们 主 要 要 分 享 的 是 N F T S 交 换 数 据 流 的 隐 写 以 及 F T K 这 款 工 具 的 使 用 。 0 × 0 1 工 具 工 具 F T K 使 用 使 用 在 实 际 的 磁 盘 文 件 的 取 证 过 程 中 我 们 一 定 不 能 直 接 在 原 P C 上 直 接 进 行 ， 正 确 的 方 法 应 该 是 通 过 相 关 的 工 具 将 磁 盘 文 件 备 份 一 份 下 来 ， 然 后 在 备 份 文 件 的 基 础 进 行 取 证 操 作 ， 那 么 今 天 斗 哥 为 大 家 介 绍 的 就 是 这 款 提 取 磁 盘 文 件 的 工 具 F T K ， F T K 支 持 多 种 操 作 系 统 ， 本 次 主 要 讲 的 是 w i n d o w s 下 的 F T K ， 毕 竟 图 形 化 的 操 作 工 具 使 用 界 面 对 初 学 者 是 比 较 友 好 的 。   F T K 下 载 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 d e 5 d J Y G S f h Z 3 2 O Y H K - Q i N w     提 取 码 ： i k 3 k
F T K 主 要 有 上 面 5 个 功 能 ， 本 次 我 们 先 来 学 习 证 据 的 获 取 这 部 分 ： 证 据 的 获 取 ： 证 据 的 获 取 ： ( 1 )   F T K 运 行 打 开 ， 选 项 卡 点 击 F i l e ， 选 择 C r e a t e   D i s k   I m a g e r （ 创 建 磁 盘 镜 像 ） ： ( 2 )   选 择 磁 盘 镜 像 的 类 型 ， 有 如 下 5 种 分 类 ， 本 次 演 示 以 逻 辑 磁 盘 为 例 ：
( 3 )   选 定 J 盘 ， 点 击 F i n i s h ： ( 4 )   有 三 个 复 选 框 ， 根 据 需 要 进 行 选 择 ， 通 常 按 照 默 认 即 可 ：   v e r i f y   i m a g e s   a f t e r   t h e y   a r e   c r e a t e d （ 创 建 完 成 后 进 行 校 验 ） 、 p r e c a l c u l a t e   p r o g r e s s   s t a t i s t i c s （ 显 示 预 估 处 理 进 度 ）   c r e a t e   d i r e c t o r y   l i s t i n g s   o f   a l l   f i l e s   i n   t h e   i m a g e s   a f t e r   t h e y   a r e   c r e a t e d （ 创 建 镜 像 文 件 清 单 ）
( 5 )   选 择 生 成 进 行 的 文 件 类 型 ， 通 常 选 择 E 0 1 格 式 ： ( 6 )   然 后 填 写 镜 像 文 件 的 相 关 描 述 信 息 ， 如 下 所 示 ：
( 7 )   最 后 根 据 下 图 进 行 选 填 ， 点 击 f i n i s 即 可 完 成 证 据 的 保 存 ： ( 8 )   根 据 上 述 配 置 ， 最 后 生 成 文 件 如 下 ： ●   证 据 的 读 取 证 据 的 读 取 除 了 可 以 用 F T K 对 磁 盘 文 件 进 行 获 取 ， F T K 还 支 持 对 制 作 好 的 磁 盘 镜 像 文 件 进 行 读 取 ， 从 而 查 看 磁 盘 中 的 文 件 内 容 ， F T K 支 持 两 种 镜 像 读 取 的 方 式 ： 1 . F T K 直 接 加 载 镜 像 文 件 进 行 读 取 查 看 ：   ( 1 )   菜 单 选 项 卡 点 击 F i l e ， 选 择 A d d   E v i d e n c e   I t e m 。
( 2 )   然 后 选 择 I m a g e s   F i l e 。 ( 3 )   选 择 要 加 载 的 镜 像 文 件 。 ( 4 )   载 完 成 后 即 可 在 F T K 软 件 内 对 镜 像 文 件 进 行 调 查 取 证 ：
2 . 第 二 种 证 据 读 取 的 方 式 是 通 过 将 镜 像 文 件 直 接 挂 在 到 操 作 系 统 文 件 系 统 上 来 对 进 行 内 的 文 件 进 行 操 作 。   ( 1 )   菜 单 选 项 卡 点 击 F i l e ， 选 择 I m a g e s   M o u n t i n g 。 ( 2 )   添 加 以 及 选 择 挂 载 选 项 后 ， 点 击 m o u n t ， 即 可 在 M a p p e d   I m a g e   L i s t 看 到 挂 载 的 情 况 ：
( 3 )   直 接 在 操 作 系 统 的 文 件 系 统 上 就 可 查 看 到 挂 载 的 磁 盘 镜 像 ： 0 × 0 2   N T F S 交 换 数 据 流 初 了 解 交 换 数 据 流 初 了 解 N T F S 交 换 数 据 流 是 一 项 比 较 早 期 的 技 术 ， 最 早 是 因 为 W i n d o w s 系 统 与 苹 果 的 H F S 系 统 的 交 互 需 求 。   N T F S 使 用 M a s t e r   F i l e   T a b l e （ M F T ） 来 管 理 文 件 ， 因 此 在 w i n d o w s 系 统 中 每 个 文 件 都 对 应 一 个 M F T 记 录 ， 并 且 每 个 记 录 由 若 干 个 属 性 组 成 ， 属 性 主 要 用 来 描 述 该 文 件 的 具 体 信 息 。 比 如   $ F I L E _ N A M E   属 性 描 述 了 该 文 件 的 文 件 名 和 创 建 修 改 访 问 时 间 ， 而 $ D A T A 属 性 包 含 了 该 文 件 的 具 体 内 容 。 当 某 个 文 件 存 在 多 个 属 性 时 ， 第 一 个 属 性 称 为 主 数 据 流 供 （ p r i m a r y   d a t a   s t r e a m ） ， 主 数 据 流 在 文 件 创 建 的 同 时 就 被 创 建 ， 并 且 默 认 是 没 有 名 称 ， 因 此 也 被 未 名 数 据 流 （ u n n a m e d   d a t a   s t r e a m ） 。 除 了 主 数 据 流 之 外 还 可 以 创 建 供 选 数 据 流 （ a l t e r n a t e   d a t a s t r e a m ， A D S ） ， 并 且 可 以 赋 予 名 称 （ T h i s   i s   a n   A D S ） ， 绝 大 部 分 情 况 下 用 户 智 慧 与 主 数 据 流 打 交 道 ， 因 此 从 用 户 角 度 来
说 ， A D S 即 供 选 数 据 流 对 用 户 是 隐 藏 的 。 用 常 规 的 d i r 命 令 和 w i n d o w s 文 件 管 理 器 都 没 法 发 现 A D S 。 正 常 我 们 查 看 文 件 内 容 的 时 候 也 仅 仅 显 示 主 数 据 流 的 内 容 。 因 此 利 用 这 个 特 性 我 们 可 以 将 数 据 隐 藏 在 A D S 中 以 达 到 隐 写 的 目 的 。 0 × 0 3   牛 刀 小 试 牛 刀 小 试 在 了 解 上 面 的 两 个 知 识 点 之 后 ， 斗 哥 尝 试 利 用 这 个 特 性 来 出 一 个 C T F 题 ：   （ 注 ： 由 于 真 实 的 物 理 磁 盘 证 据 保 存 下 来 文 件 较 大 ， 因 此 斗 哥 这 里 使 用 U 盘 来 制 作 ）   在 本 机 的 磁 盘 管 理 工 具 中 创 建 逻 辑 磁 盘 如 下 ： T r y   o n e ： ：   在 磁 盘 中 创 建 s y s t e m 文 件 夹 ， 同 时 创 建 一 个 s y s t e m . t x t 文 本 ， 并 且 写 入 一 些 数 据 进 行 保 存 ： 使 用 命 令 创 建 A D S 隐 写 数 据 ： 正 常 无 法 看 到 隐 写 数 据 ： k a l i 下 使 用 b i n w a l k 也 不 能 看 到 隐 写 的 数 据 ： 使 用 F T K 将 整 个 磁 盘 文 件 保 存 下 来 就 成 为 我 们 的 题 目 ， 注 意 选 择 保 存 镜 像 文 件 类 型 E 0 1 ， 然 后 解 题 时 我 们 通 过 用 F T K 读 取 就 可 以 看 到 我 们 的 A D S 隐 写 数 据 ：
备 注 ： 当 然 通 过 d i r   / r   参 数 或 者 p o w e r s h e l l 的 命 令 我 们 可 以 直 接 在 本 地 磁 盘 系 统 中 直 接 看 到 我 们 隐 写 的 f l a g 数 据 ： 0 × 0 4   写 在 最 后 写 在 最 后 : 由 于 篇 幅 有 限 ， 本 次 斗 哥 仅 简 单 演 示 了 F T K 的 部 分 功 能 使 用 ， 以 及 A D S 的 文 本 隐 写 ， 相 信 聪 明 的 小 伙 伴 肯 定 能 举 一 反 三 进 行 其 他 有 趣 的 扩 展 ， 纸 上 得 来 终 觉 浅 ， 还 需 动 动 小 手 来 实 践 ， 赶 快 来 尝 试 在 图 种 、 程 序 、 压 缩 包 等 文 件 上 进 行 A D S 的 数 据 隐 藏 吧 ~ ~ ~ 参 考 资 料 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / 7 3 2 7 0 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理