Archiv Februar 2006

Wiki zur Computer Forensik

Nun hat also auch die digitale Forensik ihr eigenes Wiki, Simson Garfinkel hat es eingerichtet. Bislang haben sich etwa 70 Autoren registriert und knapp 40 Seiten produziert. Garfinkel freut sich deshalb über weitere Unterstützung.

Datierung der Ausführung von Programmteilen

In einem früheren Beitrag habe ich bereits die Zeitstempel in Thread-Objekten erwähnt. Am Beispiel eines Trojanischen Pferdes zeige ich hier eine praktische Anwendung.

_DISPATCHER_HEADER

Für die Suche nach Prozessen und Threads in Speicherabbildern greife ich immer wieder auf die Struktur _DISPATCHER_HEADER zurück. Grund genug, sie einmal etwas ausführlicher zu beschreiben.

Foregone - ein weiterer Foremost-Klon

Im Moment ist es wohl en vogue, das bekannte Foremost neu zu implementieren. LURHQ hat heute Foregone vorgestellt, einen in Perl programmierten Foremost-Klon. Nach dem Test bleibt nur eine Frage: Wer braucht das?

Scalpel 1.54 gegen Foremost 1.1

Am 13. Februar wurden mit Scalpel v1.54 und Foremost v.1.1 zwei Carver veröffentlicht. Was läge da näher, als beide Programme gegeneinander antreten zu lassen?

Speicheranalyse mit pd und MMP

Tobias Klein hat auf der IT-DEFENSE 2006 mit seinem Memory Parser ein neues Werkzeug für die Live-Analyse vorgestellt. Das Programm extrahiert DLLs aus dem Speicherabbild eines Prozesses.

Netflows als Informationsquelle

Yann Berthier stellt in seinem Vortrag Netflows als Informationsquelle in der Netzwerk-Forensik vor.

Komprimierte Outlook PST-Dateien mit EnCase betrachten

Mit EnCase lassen sich auch komprimierte Outlook-Postfächer (PST-Daten) betrachten, wenn man nur die richtigen Einstellungen vornimmt. Wie es geht, beschreibt die University of Delaware Police.

Mitglieder einer Windows-Gruppe

Ein Registry-Betrachter und ein Hexeditor genügen, um die Mitglieder einer Benutzergruppe in Microsoft Windows auch post-mortem aufzulisten.

Archiv

Impressum

Dieses Blog ist ein Projekt von:
Andreas Schuster
Im Äuelchen 45
D-53177 Bonn
impressum@forensikblog.de

Copyright © 2005-2012 by
Andreas Schuster
Alle Rechte vorbehalten.
Powered by Movable Type 5.12