maride/hacktricks
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks.git synced 2025-10-10 18:36:50 +00:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/generic-methodologies-and-resources/basic-forensic-meth

Browse Source
This commit is contained in:
Translator 2025-08-19 16:58:49 +00:00
parent fc2af2cade
commit 534f87005f
1 changed files with 8 additions and 13 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

21
src/generic-methodologies-and-resources/basic-forensic-methodology/image-acquisition-and-mount.md
View File

@ -16,7 +16,7 @@ sha256sum disk.img > disk.img.sha256
```
### dc3dd / dcfldd
`dc3dd`, dcfldd'nin (DoD Bilgisayar Adli Tıp Laboratuvarı dd) aktif olarak bakım yapılan bir çatallamasıdır.
`dc3dd`, dcfldd'nin (DoD Bilgisayar Adli Tıp Laboratuvarı dd) aktif olarak bakımı yapılan bir çatallamasıdır.
```bash
# Create an image and calculate multiple hashes at acquisition time
sudo dc3dd if=/dev/sdc of=/forensics/pc.img hash=sha256,sha1 hashlog=/forensics/pc.hashes log=/forensics/pc.log bs=1M
@ -42,7 +42,7 @@ velociraptor --config server.yaml frontend collect --artifact Windows.Disk.Acqui
```
### FTK Imager (Windows & Linux)
FTK Imager'ı [indirebilirsiniz](https://accessdata.com/product-download) ve **raw, E01 veya AFF4** görüntüleri oluşturabilirsiniz:
FTK Imager'ı [indirebilirsiniz](https://accessdata.com/product-download) ve **ham, E01 veya AFF4** görüntüleri oluşturabilirsiniz:
```bash
ftkimager /dev/sdb evidence --e01 --case-number 1 --evidence-number 1 \
--description 'Laptop seizure 2025-07-22' --examiner 'AnalystName' --compress 6
@ -51,19 +51,14 @@ ftkimager /dev/sdb evidence --e01 --case-number 1 --evidence-number 1 \
```bash
sudo ewfacquire /dev/sdb -u evidence -c 1 -d "Seizure 2025-07-22" -e 1 -X examiner --format encase6 --compression best
```
### Imaging Cloud Disks
### Bulut Disklerinin Görüntülenmesi
*AWS* – örneği kapatmadan **adli anlık görüntü** oluşturun:
```bash
aws ec2 create-snapshot --volume-id vol-01234567 --description "IR-case-1234 web-server 2025-07-22"
# Copy the snapshot to S3 and download with aws cli / aws snowball
```
*Azure* – `az snapshot create` komutunu kullanın ve bir SAS URL'sine dışa aktarın. HackTricks sayfasına bakın:
{{#ref}}
../../cloud/azure/azure-forensics.md
{{#endref}}
*Azure* – `az snapshot create` komutunu kullanın ve bir SAS URL'sine aktarın.
## Mount
@ -73,7 +68,7 @@ aws ec2 create-snapshot --volume-id vol-01234567 --description "IR-case-1234 web
2. Sadece bir hacme ihtiyacınız olduğunda **tek bir bölüm dosyasını** bağlayın.
3. Her zaman **salt okunur** (`-o ro,norecovery`) olarak bağlayın ve **kopyalar** üzerinde çalışın.
### Ham görüntüler (dd, AFF4 çıkarılmış)
### Ham görüntüler (dd, AFF4-çıkarılmış)
```bash
# Identify partitions
fdisk -l disk.img
@ -123,16 +118,16 @@ sudo mount -o ro /mnt/bitlocker/dislocker-file /mnt/evidence
```
### kpartx yardımcıları
`kpartx`, bir görüntüden bölümleri otomatik olarak `/dev/mapper/`'a haritalar:
`kpartx`, bir görüntüden bölümleri otomatik olarak `/dev/mapper/`'a eşler:
```bash
sudo kpartx -av disk.img # creates /dev/mapper/loop0p1, loop0p2 …
mount -o ro /dev/mapper/loop0p2 /mnt
```
### Yaygın montaj hataları ve çözümleri
### Yayınlama hataları ve çözümleri
| Hata | Tipik Sebep | Çözüm |
|-------|---------------|-----|
| `cannot mount /dev/loop0 read-only` | Journaled FS (ext4) düzgün bir şekilde çıkarılmadı | `-o ro,norecovery` kullanın |
| `cannot mount /dev/loop0 read-only` | Journaled FS (ext4) düzgün bir şekilde çıkarılmamış | `-o ro,norecovery` kullanın |
| `bad superblock …` | Yanlış offset veya hasarlı FS | offset'i hesaplayın (`sector*size`) veya bir kopya üzerinde `fsck -n` çalıştırın |
| `mount: unknown filesystem type 'LVM2_member'` | LVM konteyneri | `vgchange -ay` ile hacim grubunu etkinleştirin |