| تحليل: أداة Pasco الكلاسيكية |
| الكاتب Sari Bukhari |
| الجمعة, 18 مارس 2011 23:50 |
|
تحليل يشرح ماهي ملفات index.dat, ولماذا تعتبر هذه الملفات دليل جنائي مهم, وأين يمكننا العثور عليها وكيف. بعد ذلك سوف نحلل الأداة إبتداءاً بتفصيل بسيط عنها, إيجابياتها, سلبياتها, وطريقة تنصيبها على جهاز المحقق. في هذا التحليل سنفصيل كافة المميزات التي تتمتع بها الأداة, حيث سنشرحها ونقييمها ثم في نهاية هذا التحليل سيكون هنالك مقارنة بسيطة بين هذه الأداة وأدوات\برامج من نفس النوع وبالطبع نتطرق لبعض التحسينات المقترحة لتحسين باسكو في حال رغب أحد بتطويرها.
أولاً, ماهي ملفات index.dat ؟هذه الملفات يستخدمها متصفح انترنت اكسبلورر منذ إصداره الرابع, حيث يحتوي هذا الملف على سجل لجميع المواقع, الكوكيز, عمليات البحث, وأحياناً بعض الملفات والمجلدات الذي تم الإطلاع عليها مؤخراً في جهاز المشتبه به.
لماذا يحتاج متصفح إنترنت إكسبلورر هذا الملف ؟من المعروف أنه عندما يقوم أي شخص بتصفح موقع يتم تخزين كافة المحتويات التي تمت زيارتها على القرص الصلب في سبيل تسريع عملية التصفح في حال رغب المستخدم في تصفح نفس الموقع مره أخرى وتجنب تحميل الموقع مره أخرى وبالتالي توفير بعض الباندويث. ولتعمل هذه الميزة في انترنت اكسبلورر, جميع المعلومات الخاصة بالملفات المعروف تسميتها “بالملفات المؤقتة” يتم تخزين تفاصيلها في ملفات index.dat المخفية.
لماذا تعتبر ملفات index.dat دليل جنائي رقمي؟ببساطة لأنها تحتوي على سجل كامل لجميع العمليات المسبق ذكرها التي قام بها المشتبه به عن طريق متصفح إنترنت إكسبلورر. وبالذات أنها توفر لنا التاريخ والوقت الذي قام به المشتبه به بزيارة الموقع آخر مره, وبالتالي سوف تفيدنا بشكل كبير في عملية التحقيق الجنائي. مع العلم, بأن ملفات index.dat مخفية ولا يستطيع المستخدم العادي تعديلها\مسحها ببساطة. فبسبب ماتم شرحه في هذه النقطة, البيانات التي يحملها هذا الملف تؤهله ليكون دليل أكثر من مفيد في أي قضية جنائية كونها تفصح لنا عن نشاط المشتبه بهم عن طريق متصفح إنترنت إكسبلورر.
هل ملفات index.dat يتم إستخدامها من جميع المتصفحات الأخرى؟لا, فقط لمتصفح إنترنت اكسبلورر, كون المتصفحات الأخرى تستخدم تكنيك وأسلوب مختلف لتخزين وإدارة ملفاتها المؤقتة.
أين يمكننا العثور على ملفات index.dat في أجهزة المشتبه بهم؟في العادة يتم العثور عليها بداخل الملف الأساسي لإسم المستخدم للنظام. في الجدول التالي سوف أعرض لكم مسار أكثر الملفات إستخداماً من قبل المحققين الجنائيين لمختلف إصدارات الويندوز. Windows 7 and Windows Vista:C:\Users\\Roaming\Microsoft\Windows\Cookies\index.dat C:\Users\\Roaming\Microsoft\Windows\Cookies\Low\index.dat C:\Users\\Local\Microsoft\Windows\History\History.IE5\index.dat C:\Users\\Local\Microsoft\Windows\History\History.IE5\Low\index.dat C:\Users\\Local\Microsoft\Windows\History\History.IE5\index.dat\MSHistXXXXXXX\index.dat C:\Users\\Local\Microsoft\Windows\History\History.IE5\Low\index.dat\MSHistXXXXX\index.dat C:\Users\\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat C:\Users\\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5index.dat C:\Users\\Roaming\Microsoft\Internet Explorer\UserData\index.dat C:\Users\\Roaming\Microsoft\Internet Explorer\UserData\Low\index.dat Windows XP and Windows 2000: Windows ME, 98, 95 or Windows NT:
باسكو :بعد معرفة ماهي ملفات index.dat ولماذا تعتبر مهمة, سوف أقوم الآن بالعودة للموضوع الرئيسي وتحليل الأداة.
لمحة لباسكو من سطر الأوامر باسكو عبارة عن برنامج سطري, الإصدار الذي سوف أقوم بتحليله هو أول وآخر إصدار لهذه الأداة حيث تم إصدارها في عام 2003. الشيء الجيد بخصوص هذه الأداة أنها مفتوحة المصدر, لهذا فهي مجانية ويمكن تطويرها من قبل أي شخص مهتم في حال رغب بتطويرها بحكم توفر الكود المصدري لها في الموقع الرسمي للأداة http://www.foundstone.com . قد يكون الإسم غريباً ! لكن قال مبرمج البرنامج بأن باسكو كلمة لاتينية تعني “browse” – تصفح. هذه الأداة يمكن تشغيلها على جميع أنظمة التشغيل الأساسية كويندوز (عن طريق cygwin), ماك, لينكس و فري بي اس دي. بالطبع باسكو يحتاج لملف index.dat حتى يعمل, بمعنى أنه لن يبحث عن الملف آلياً, بل يجب توفير الملف له حتى تتمكن الأداة من تحليل الملف.
الإيجابيات:
السلبيات:
أين يمكننا الحصول على هذه الأداة ؟يمكنكم تحميل باسكو مجاناً من الموقع الرسمي الخاص بالأداة Pasco-v1.0 , بعد الإنتهاء من التحميل, سوف تظهر الملفات التالية بعد عملية فك الضغط: 
التنصيب:بالنسبة لي كمستخدم لنظام لينكس أتبعت هذه الخطوات البسيطة بإعتبار بأني داخل المجلد pasco . $ cd src$ make بالنسبة لمستخدمي نظام ماك X : في حال لم يعمل الأمر الذي بالأعلي يرجى ترجمة الأداة كالتالي: $ gcc -o pasco pasco.c -lm -lcمستخدمي ويندوز: بالرغم بأن هنالك نسخة مترجمة جاهزه, لكن في حال رغبتم بالترجمة من الكود المصدري فضلاً أتبعوا الطريقة التالية عن طريق cygwin : $ gcc -DCYGWIN -o pasco.exe pasco.c -lm -lcلقد قمت بإضافة خطوة إضافية لعملية التنصيب الخاصة بي, وقمت بنسخ الأداة المترجمة إلى /usr/local/bin حتى يمكنني إستخدام الأداة من أي مسار عن طريق سطر الأوامر: $ sudo copy pasco /usr/local/bin
طريقة الإستخدام:بعد تشغيل باسكو عن طريق سطر الأوامر سوف نجد الناتج التالي: Usage: pasco [options]-d Undelete Activity Records -t Field Delimiter (TAB by default) باسكو سهل الإستخدام جداً, ولا يحتاج لخبرة عالية لإستخدامه, حيث لا يحتوي إلا على خيارين. بكل بساطة لقراءة ملف index.dat يمكننا كتابة الأمر التالي فقط: $ pasco /directory/index.datوهذا الأمر كفيل بإخراج المعلومات الخاصة بملف index.dat . لكن, سوف أقوم بشرح طريقة أفضل لقراءة هذا الملف بإستخدام نفس الأداة في هذا التحليل… لنتابع.
طريقة الإستخدام المثالية:كما شرحنا سابقاً ملف index.dat لابد بأن يكون متواجد في سبيل أن تعمل الأداة. لهذا على المحقق إستخراج الملف يدوياً من صورة القرص الصلب الخاصة بجهاز المشتبه به. سوف أقوم بإستخدام عينة متواجدة لدي من ملف index.dat . تشغيل باسكو لتحليل بيانات index.dat بشكل مباشر عن طريق الأمر السابق لن يكون إلا فكرة سيئة كون الملف يحمل العديد من السجلات حيث سوف ينتهي بك المطاف ببيانات غير لائقة كالتالي:
$ pasco index.dat > index.xls
index.xls من نافذة برنامج Calc الخاص بأوبن أوفيس.
هذه عينة لصف من الصفوف المعروضة في صورة الشاشة أعلاه:
HTTP/1.1 200 OK Content-Type: image/jpeg Keep-Alive: timeout=20, max=541 ETag: “6144-f36ea300″ Content-Length: 24900 ~U:ifun
خيار Undelete activity records:عند إستخدام باسكو بهذا الخيار سوف يقوم بالعمل في حالة إظهار السجلات المحذوفة, حيث سوف يقوم باسكو بعرض السجلات المحذوفة المحتملة. عندما قمت بإستخدام هذا الخيار قام باسكو بإنتاج نفس عدد الصفوف المنتجة من نفس الأمر العادي. حتى اتأكد من أن الناتج نفسه أو مختلف قمت بعمل md5sum للملفين الناتجة والتأكد بأن الملف الناتج مختلف عن سابقه الذي حصلنا عليه من الأمر السابق.
تحسينات محتملة :بالرغم بأن باسكو أداة صغيرة وفي نفس الوقت فعالة, أجدها قديمة, حيث مبرمجها لم يهتم بالأداة بعد إصدارها عام 2003! , فبالتأكيد هنالك الكتير من الإضافات التي يجب مراعاتها في حال رغب أحدكم بتطوير الأداة. هذه بعض المميزات من وجهة نظري:
أدوات أخرى:بالرغم بأن باسكو يفي بالغرض, ويمكنه إستخراج جميع البيانات من ملفات index.dat بنجاح, هنالك أدوات أخرى ربما تعد أكثر تقدماً أو أفضل من Pasco. Web Historian : برنامج ذو واجهة رسومية, رائع ومن أفضل البرامج في هذا المجال, هذا البرنامج متقدم جداً بالرغم من أنه للأسف لا يعمل إلا على ويندوز, لكنه في المقابل يدعم جميع المتصفحات الرئيسية. بعكس باسكو, هذا البرنامج يقوم بالبحث في كافة النظام عن سجلات التصفح ويقوم بإنتاج تقرير كامل بشكل آلي موضح نشاط مستخدم الجهاز وبعض الأحيان يقوم بالعثور على صور شاشة يستخرجها من متصفح كروم للمواقع التي تمت زيارتها. المميزات: Forensic Tool Kit – FTK واحدة من أفضل الأدوات التجارية المتوفرة اليوم, البرنامج يحتوي على واجهة رسومية مميزة عن باقي الأدوات, يمكنك بكل بساطة الخوض بين السجلات وعرضها في نافذة متصفح صغيرة توجد داخل البرنامج. FTK أيضاً يمكنه تحليل الأقراص الصلبة والأنظمة الحية. بعض المميزات الرائعة للبرنامج:
في الختام:كخلاصة, باسكو أداة صغيرة وفعالة, تقوم بعملها بشكل رائع, هذه الأداة فعلاً تساعد المحقق في الحصول على الدليل الرقمي من ملفات index.dat حيث تقوم بتحليل كافية البيانات بنجاح. أنا أنصح بإستخدام هذه الأداة بشدة في أي تحقيق. بالرغم من أني أنصح بإستخدامها في التحقيق الجنائي, لازلت أظن بأن الأداة تفقد عنصر مهم وهو قراءة الملفات الخاصة بالمتصفحات الأخرى, إذا تمكن باسكو من الحصول على هذه الميزة الأضافية أتوقع بأنه سوف يكون من أفضل الأدوات في مجاله لبساطته وسهولته وخفته.أخيراً, أنصح كافة المحققين بعمل md5sum ونسخة إحتياطية لملفات index.dat قبل إستخدام باسكو, حتى يتأكدوا بأن عملية إستخراج البيانات عن طريق باسكو لا تؤدي لأي تعديل في الملف, وتجنب بطلان الدليل للمحقق الجنائي.
المصادر :- AccessData. (2010). AccessData Forensic Toolkit. Retrieved December 5, 2010, from http://accessdata.com/products/forensic-investigation/ftk.- Apache. (n. d.). Apache Keep-Alive Support. Retrieved December 5, 2010, from http://httpd.apache.org/docs/1.3/keepalive.html . - DFINEWS. (n. d.). MANDIANT Unveils Web Historian 2.0. Retrieved December 8, 2010 from http://www.dfinews.com/article/mandiant-unveils-web-historian-20. - Foundstone. (2003). Free Tools. Retrieved December 5, 2010, from http://www.foundstone.com/us/resources/proddesc/pasco.htm. - Jones K. (2003). Forensic Analysis of Internet Explorer Activity Files [Electronic version]. USA:Foundstone. - Larabee R. (2004). Forensic Tool Evaluation [Electronic version]. USA:SANS. - MANDIANT. (2010). Web Historian. Retrieved December 5, 2010, from http://www.mandiant.com/products/free_software/web_historian/. - Microsoft. (2010). ETag. Retrieved December 6, 2010, from http://msdn.microsoft.com/en-us/library/dd541486(PROT.10).aspx. - Mil Inc. (n. d.). Delete index.dat files. Retrieved December 5, 2010, from http://www.milincorporated.com/a_indexdat.html. - PCTools. (n. d.). What is index.dat?. Retrieved December 5, 2010, from http://www.pctools.com/guides/article/id/12/. - SpamLaw. (n. d.). The Index.dat File and Security Concerns. Retrieved December 5, 2010, from http://www.spamlaws.com/indexdat-file-concerns.html. - W3. (n. d.). Header Field Definitions. Retrieved December 5, 2010, from http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html. عن الكاتب:
التعليقات (20)
  أرسلت بواسطة: Sari Bukhari في March 19, 2011
@Loser Zero
اشكرك على ردك, كان بإمكانك طرح سؤالك في أسألة وأجوبه, وسوف تجد الإجابة مباشرة. بالنسبة لسؤالك نعم يمكنك تركيب الأدوات على أي توزيعة لينكس وهمية سواء فيدورا أو غيرها.
 أرسلت بواسطة: فتحي القيسي في March 19, 2011
ما شاء الله اخي الشرح كان في قمة في الجمال والترتيب, انا حملت الاداة ولاكن لم اجد
ملف index.dat في جهازي كله النظام هو windows 7 ولا كن لم اجد الملف في اي مسار من المسارات الموضوعة في الشرح, ياريت يا غالي لو تعطيني حل اجد الملف وشكرا.
أرسلت بواسطة: Sari Bukhari في March 19, 2011
@ فتحي
لايمكنك الدخول إلى المسار بشكل عادي. لابد من إستخدام برامج خاصة, أو عن طريق صورة للقرص الصلب, أو عن طريق نظام تشغيل آخر. لأن الويندوز يمنعك من العثور على هذه الملفات. وتأكد من أنك داخل المجلد الخاص بالمستخدم على سبيل المثال: C:UsersXXXXXAppDataLocalMicrosoftWindowsTemporar y Internet FilesLow حيث XXXXX = اسم المستخدم.
أرسلت بواسطة: فتحي القيسي في March 19, 2011
@Sari Bukhari نعم اعلم اني لازم اغير المسار الى اليوزر الخاص بي, ولاكن لم استطيع الاطلاع على الملف, ماذا تقصد "طريق صورة للقرص الصلب" ممكن تفهمني شو قصدك؟ وما هي البرامج التي الفعالة في اظهار هاذه الملفات وشكرا .
 أرسلت بواسطة: Loser Zero في March 19, 2011
ساري معلش اني قلت سؤالي هنا بس حطيته قبل كده ومحدش جاوبني عليه
 أرسلت بواسطة: ابراهيم في March 19, 2011
السلام عليكم
كيف الحال ساري الموضوع جميل ولم اكن اعلم ان كل ما تفعله يبقى حتى بعد مسح ال History ولاكن لدي سؤال بالنسبة للتاريخ الذي يظهره عند فتح الموقع او الرابط هل يقدم البرنامج التاريخ الصحيح لك اذا كان تاريخ الجهاز تم التلاعب بهِ ام يعطيك التاريخ حسب توقيت الجهاز . تحياتي اليك واشكر مجهودك على هذا العمل .
أرسلت بواسطة: ابراهيم في March 19, 2011
والتاريخ مهم جدآ بالنسبة للمحقق حيث أن الوقت حسب بالدقائق .
 أرسلت بواسطة: anyone في March 19, 2011
شكرا اخ ساري على الموضوع الرائع,,,لكن هل الاداة تقتصر على الانترنت اكسبلورر فقط
أرسلت بواسطة: Sari Bukhari في March 19, 2011
@فتحي القيسي , إذا قمت بالعودة للمواضيع الخاصة بالتحقيق الجنائي التي كتبتها مسبقاً سوف تجد شروحات لي لطريقة عمل صورة لأي نوع من أنواع الذاكرة. لتوفير الوقت, قم بالإقلاع عن طريق اللينكس وسحب الملف عن طريق اللينكس من القرص الخاص بالويندوز. بالنسبة للبرامج الفعالة, يمكنك تجربة WebHistorian فهو مجاني ويريحك من عناء استخراج الملف.
@ابراهيم, في الحقيقة السؤال الذي قمت بطرحه أكثر من رائع, ونعم الوقت والتوقيت ذو أهمية جداً فائقة في التحقيق الجنائي الرقمي, والتلاعب بالتاريخ والوقت من قبل الجاني حتماً سوف يؤثر على بيانات الملف, لكن المحقق يستطيع أن يثبت وبسهولة بأن التاريخ والوقت الموجود في النظام تم التلاعب به .. لكن أتوقع وبشكل بديهي بأنه بشكل إفتراضي الجميع يضع التاريخ والوقت الصحيح.. إلا إذا اخبر المحقق المشتبه به بأنه سوف يتم القبض عليه قبل القبض عليه هههه =) ! @anyone .. أخي الكريم, إذا قرأت الموضوع بتمعن سوف تجد إجابتك.
أرسلت بواسطة: ابراهيم في March 19, 2011
شكرآ لك اخي ساري .
ههههه ^_^ هذي حلوة منك . اتمنى التوفيق لك واتمنى ان تكون من المحققين المتفوقين أمثال شارلوك هولمز وكونان ^_^ . تحياتي .
 أرسلت بواسطة: خالد عمر في March 19, 2011
شكرا لك اخ سارى
هذه فعلا اداه جيده فى هذا التخصص و لكن كون الاداه قديمه لا يعنى انها لا تفى بالغرض و بالنسبه للمتصفحات الاخرى فهو امر سهل جدا FireFox & Chrome بيستخدموا sqlite فى حفظ البيانات ممكن استخدام ادوات تسمى sql spy :) هناك مجموعه على هذا الموقع جيده جدا http://www.firefoxforensics.com/f3e.shtml شكرا ، تقبل مرورى تحياتى اخوكم / خالد عمر
 أرسلت بواسطة: mazen في March 20, 2011
مشور جداً على هذه المعلومات.
وجعلها الله في ميزان حسناتك.
 أرسلت بواسطة: Silver في March 20, 2011
بارك الله فيك ...
احي كيف استطعت استعراض ملف index وانت على ليونكس ؟؟؟ هل ثبت وويندز على برنامج وهمي ؟؟
أرسلت بواسطة: Sari Bukhari في March 20, 2011
@ابراهيم, جزاك الله خير ^.^
@خالد عمر, مشاركة قيمة أشكرك على ردك المميز, ربما سوف أقوم بتحليل خاص بأدوات sql spy قريباً . @mazen جزاك الله خير. @Silver قمت بإستخراج الملف من القرص الخاص بالويندوز لجهازي عن طريق اللينكس. كما تعلم بأنه يمكنك عرض جميع ملفات الويندوز دون قيود عن طريق اللينكس. هذا الذي كنت اريد توضيحه للأخ فتحي القيسي في الأعلى.
 أرسلت بواسطة: Hit-Man في March 20, 2011
السلام عليكم
شكرا لكم أخي ساري حقيقة مقال قوي بارك الله فيك أخي
 أرسلت بواسطة: h4ck3r-X في March 20, 2011
يعطيك العافية اخوي ساري على المقال
وماهي غريبه عليك مقالاتك كلها قوية اكرر شكري ..
أرسلت بواسطة: Loser Zero في March 20, 2011
اتمنا الرد ع سؤالي التاني واسف ع الازعاج http://www.isecur1ty.org/answe...-2011.html
أضف تعليق
يجب عليك الاشتراك بالموقع لتتمكن من كتابة التعليقات, الاشتراك مجاني ويستغرق بضع ثوان فقط!
اذا كنت مشترك مسبقا في الموقع فضلاً قم بتسجيل الدخول. |
عندي سؤال خارجي انا الباك تراك مضيقني جدا كل منصب برنامج او درس من دروس الموقع
بيحصل مشاكل ينفع انزل فيدورا ع جهاز وهمي ونصب عليه البرمج الي عوزها بحيث ان زيد كل دروسه ع فيدورا المشكله اني مينفعش استغني عن ويندوز فهل ينفع انصب فيدورا ع جهاز وهمي ونصب عليه برامج الباك تراك