设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [12507] 2018-03-25_如何对已损坏的SQLite数据库取证分 ...
返回列表 发新帖
查看: 0|回复: 0

[12507] 2018-03-25_如何对已损坏的SQLite数据库取证分析？

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2018-03-25_如何对已损坏的SQLite数据库取证分析？ 如 何 对 已 损 坏 的 S Q L i t e 数 据 库 取 证 分 析 ？ s e c i s t   F r e e B u f   2 0 1 8 - 0 3 - 2 5 S Q L i t e 是 当 今 最 流 行 的 数 据 库 之 一 ， 许 多 移 动 应 用 台 式 计 算 机 以 及 便 携 式 笔 记 本 上 都 用 它 来 存 储 数 据 （ 例 如 桌 是 当 今 最 流 行 的 数 据 库 之 一 ， 许 多 移 动 应 用 台 式 计 算 机 以 及 便 携 式 笔 记 本 上 都 用 它 来 存 储 数 据 （ 例 如 桌 面 工 具 、 浏 览 器 以 及 社 交 媒 体 软 件 等 ） ， 因 此 面 工 具 、 浏 览 器 以 及 社 交 媒 体 软 件 等 ） ， 因 此 S Q L i t e 在 电 子 取 证 当 中 也 扮 演 着 举 足 轻 重 的 角 色 。 取 证 网 络 浏 览 在 电 子 取 证 当 中 也 扮 演 着 举 足 轻 重 的 角 色 。 取 证 网 络 浏 览 器 ， 信 使 和 其 他 数 字 证 据 来 源 。 器 ， 信 使 和 其 他 数 字 证 据 来 源 。 市 面 上 有 许 多 支 持 对 S Q L i t e 数 据 库 分 析 取 证 的 工 具 ， 例 如 M a g n e t   A X I O M ， B e l k a s o f t   E v i d e n c e   C e n t e r 和 B l a c k B a g B l a c k L i g h t 等 等 。 这 些 工 具 可 以 自 动 解 析 这 些 数 据 库 ， 甚 至 可 以 从 空 闲 列 表 和 未 分 配 空 间 中 分 割 数 据 。 此 外 ， 它 们 还 提 供 了 S Q L i t e 查 看 器 ， 取 证 人 员 可 以 手 动 来 分 析 数 据 库 的 类 型 。 那 么 对 于 那 些 已 被 损 坏 或 破 坏 的 数 据 库 ， 我 们 又 该 如 何 取 证 呢 ？ 我 们 在 D F I R 上 收 到 了 一 个 无 法 用 任 何 工 具 打 开 的 S Q L i t e 数 据 库 。 在 此 之 前 该 数 据 库 还 曾 被 发 送 给 供 应 商 解 决 ， 但 得 到 的 答 案 是   -   并 未 在 数 据 库 中 发 现 任 何 表 格 。 话 不 多 说 让 我 们 直 奔 主 题 ， 该 数 据 库 名 为 ： “ c o n t a c t s 2 . d b ” 。 如 果 你 有 足 够 的 移 动 取 证 经 验 ， 那 么 你 应 该 能 猜 到 这 是 一 个 典 型 的 A n d r o i d 数 据 库 ， 其 中 包 含 了 有 关 用 户 的 联 系 人 信 息 。 在 我 们 手 头 有 许 多 专 业 的 取 证 工 具 包 ， 因 此 我 们 决 定 使 用 最 流 行 的 取 证 工 具 来 尝 试 打 开 它 ， 其 中 包 括 有 B e l k a s o f t E v i d e n c e   C e n t e r ， B l a c k B a g   B l a c k L i g h t ， C e l l e b r i t e   U F E D   P h y s i c a l   A n a l y s e r ， S Q L i t e 数 据 库 浏 览 器 ， M a g n e t A X I O M 和 O x y g e n   F o r e n s i c   D e t e c t i v e 。 但 让 我 们 感 到 惊 讶 的 是 ， 该 数 据 库 正 如 发 布 者 所 述 ， 没 有 任 何 工 具 能 打 开 它 。 如 下 截 图 所 示 ： B e l k a s o f t   E v i d e n c e   C e n t e r B l a c k B a g   B l a c k L i g h t
C e l l e b r i t e   U F E D   P h y s i c a l   A n a l y z e r S Q L i t e 数 据 库 浏 览 器 M a g n e t   A X I O M
O x y g e n   F o r e n s i c   D e t e c t i v e 正 如 你 所 看 到 的 没 有 任 何 工 具 可 以 打 开 它 。 那 么 接 下 来 我 们 该 怎 么 做 呢 ？ 让 我 们 回 到 最 开 始 ！ 首 先 ， 我 们 进 入 到 S Q L i t e 的 官 方 网 站 ， 并 下 载 用 于 管 理 数 据 库 文 件 的 命 令 行 工 具 。 （ 阅 读 原 文 查 看 下 载 链 接 ） 接 着 我 们 提 取 存 档 内 容 并 将 数 据 库 放 到 相 同 的 文 件 夹 下 （ 可 选 ） 。 启 动 W i n d o w s 命 令 提 示 符 并 将 目 录 更 改 为 提 取 S Q L i t e 命 令 行 工 具 的 目 录 。 运 行 以 下 命 令 序 列 ： 现 在 你 有 一 个 包 含 d u m p 数 据 库 表 的 S Q L 文 件 。 如 果 运 气 好 的 话 ， 你 则 可 以 删 除 事 务 语 句 ， 比 如 B E G I N T R A N S A C T I O N 和 R O L L B A C K ， 并 将 文 件 导 入 到 一 个 新 的 S Q L i t e 数 据 库 中 ， 例 如 ， 使 用 S Q L i t e 数 据 库 浏 览 器 。 但 由 于 该 数 据 库 受 损 严 重 ， 所 以 我 们 必 须 手 动 检 查 文 件 并 将 感 兴 趣 的 表 保 存 在 单 独 的 S Q L 文 件 中 。 例 如 ， 我 们 找 到 ’ a c c o u n t s ’ 表 ， 它 看 起 来 像 下 面 这 样 ： 我 们 将 它 保 存 到 一 个 单 独 的 S Q L 文 件 中 ， 并 使 用 S Q L i t e 数 据 库 浏 览 器 创 建 数 据 库 。 创 建 过 程 如 下 ： s q l i t e 3 . e x e   d a t a b a s e _ n a m e . d b . m o d e   i n s e r t . o u t p u t   d a t a b a s e _ d u m p . s q l . d u m p . e x i t C R E A T E   T A B L E   a c c o u n t s   ( _ i d   I N T E G E R   P R I M A R Y   K E Y   A U T O I N C R E M E N T , a c c o u n t _ n a m e   T E X T ,   a c c o u n t _ t y p e   T E X T ,   d a t a _ s e t   T E X T ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 1 , ’ v n d . s e c . c o n t a c t . p h o n e ’ , ’ v n d . s e c . c o n t a c t . p h o n e ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 2 , ’ p r i m a r y . s i m . a c c o u n t _ n a m e ’ , ’ v n d . s e c . c o n t a c t . s i m ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 4 , ’ v n d . s e c . c o n t a c t . a g g . a c c o u n t _ n a m e ’ , ’ v n d . s e c . c o n t a c t . a g g . a c c o u n t _ t y p e ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 5 0 6 , ’ t e s t @ g m a i l . c o m ’ , ’ c o m . g o o g l e ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 5 3 8 , ’ W h a t s A p p ’ , ’ c o m . w h a t s a p p ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 6 5 5 , ’ t e s t ’ , ’ c o m . y a n d e x . p a s s p o r t ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 6 5 6 , ’ + 7   9 0 3   0 0 0 - 0 0 - 0 0 ′ , ’ c o m . y a n d e x . p a s s p o r t ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 6 5 7 , ’ + 7   9 2 5   0 0 0 - 0 0 - 0 0 ′ , ’ c o m . y a n d e x . p a s s p o r t ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 6 5 8 , ’ + 7   9 7 8   0 0 0 - 0 0 - 0 0 ′ , ’ c o m . y a n d e x . p a s s p o r t ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 6 7 2 , ’ t e s t ’ , ’ c o m . v k o n t a k t e . a c c o u n t ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 6 7 7 , ’ + 7   9 6 8   0 0 0 - 0 0 - 0 0 ′ , ’ c o m . y a n d e x . p a s s p o r t ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 6 8 7 , ’ Y o u l a   a c c o u n t ’ , ’ c o m . a l l g o t i t m . y o u l a ’ , N U L L ) ; I N S E R T   I N T O   a c c o u n t s   V A L U E S ( 7 9 2 , ’ + 7   9 6 8   0 0 0 - 0 0 - 0 0 ′ , ’ c o m . v i b e r . v o i p ’ , N U L L ) ;
打 开 S Q L i t e 数 据 库 浏 览 器 。 从 S Q L 文 件 转 到 文 件   -   导 入   -   数 据 库 … 选 择 S Q L 文 件 中 你 感 兴 趣 的 表 。 选 择 要 创 建 的 数 据 库 的 名 称 。 现 在 你 可 以 浏 览 数 据 并 使 用 简 单 的 S Q L 查 询 来 导 出 数 据 。 恢 复 的 表 格 如 果 你 想 查 看 所 有 表 格 只 需 重 复 以 上 步 骤 即 可 。 这 个 例 子 也 向 我 们 证 明 了 ， 数 字 取 证 分 析 不 能 只 依 赖 于 取 证 工 具 ， 应 该 根 据 情 况 结 合 手 动 检 查 的 方 式 ， 这 样 才 能 更 准 确 的 获 取 和 分 析 数 据 。 * 参 考 来 源 ： 参 考 来 源 ： c y b e r f o r e n s i c a t o r ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:24 , Processed in 0.256088 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表