maride/hacktricks
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks.git synced 2025-10-10 18:36:50 +00:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/generic-methodologies-and-resources/basic-forensic-meth

Browse Source
This commit is contained in:
Translator 2025-08-19 15:50:16 +00:00
parent 4a7ca80925
commit c3baa3a8d3
1 changed files with 10 additions and 8 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

18
src/generic-methodologies-and-resources/basic-forensic-methodology/image-acquisition-and-mount.md
View File

@ -5,7 +5,7 @@
## Akquisition ## Akquisition
> Erwerben Sie immer **nur zum Lesen** und **hashen Sie, während Sie kopieren**. Halten Sie das Originalgerät **schreibgeschützt** und arbeiten Sie nur mit verifizierten Kopien. > Erwerben Sie immer **nur zum Lesen** und **hashen Sie während des Kopierens**. Halten Sie das Originalgerät **schreibgeschützt** und arbeiten Sie nur mit verifizierten Kopien.
### DD ### DD
```bash ```bash
@ -31,7 +31,7 @@ sudo guymager --simulate --input /dev/sdb --format EWF --hash sha256 --output /e
``` ```
### AFF4 (Advanced Forensics Format 4) ### AFF4 (Advanced Forensics Format 4)
AFF4 ist Googles modernes Imaging-Format, das für *sehr* große Beweise (sparse, resumable, cloud-native) entwickelt wurde. AFF4 ist Googles modernes Imaging-Format, das für *sehr* große Beweismittel (sparse, resumable, cloud-native) entwickelt wurde.
```bash ```bash
# Acquire to AFF4 using the reference tool # Acquire to AFF4 using the reference tool
pipx install aff4imager pipx install aff4imager
@ -58,7 +58,9 @@ sudo ewfacquire /dev/sdb -u evidence -c 1 -d "Seizure 2025-07-22" -e 1 -X examin
aws ec2 create-snapshot --volume-id vol-01234567 --description "IR-case-1234 web-server 2025-07-22" aws ec2 create-snapshot --volume-id vol-01234567 --description "IR-case-1234 web-server 2025-07-22"
# Copy the snapshot to S3 and download with aws cli / aws snowball # Copy the snapshot to S3 and download with aws cli / aws snowball
``` ```
*Azure* – verwenden Sie `az snapshot create` und exportieren Sie zu einer SAS-URL. Siehe die HackTricks-Seite {{#ref}} *Azure* – verwenden Sie `az snapshot create` und exportieren Sie zu einer SAS-URL. Siehe die Seite von HackTricks:
{{#ref}}
../../cloud/azure/azure-forensics.md ../../cloud/azure/azure-forensics.md
{{#endref}} {{#endref}}
@ -69,9 +71,9 @@ aws ec2 create-snapshot --volume-id vol-01234567 --description "IR-case-1234 web
1. Mounten Sie die **gesamte Festplatte**, wenn Sie die ursprüngliche Partitionstabelle (MBR/GPT) benötigen. 1. Mounten Sie die **gesamte Festplatte**, wenn Sie die ursprüngliche Partitionstabelle (MBR/GPT) benötigen.
2. Mounten Sie eine **einzelne Partition** , wenn Sie nur ein Volume benötigen. 2. Mounten Sie eine **einzelne Partition** , wenn Sie nur ein Volume benötigen.
3. Mounten Sie immer **schreibgeschützt** (`-o ro,norecovery`) und arbeiten Sie an **Kopien**. 3. Mounten Sie immer **schreibgeschützt** (`-o ro,norecovery`) und arbeiten Sie mit **Kopien**.
### Rohbilder (dd, AFF4-extrahiert) ### Rohbilder (dd, AFF4-extracted)
```bash ```bash
# Identify partitions # Identify partitions
fdisk -l disk.img fdisk -l disk.img
@ -102,14 +104,14 @@ sudo qemu-nbd --connect=/dev/nbd1 --read-only /mnt/ewf/ewf1
# 3. Mount the desired partition # 3. Mount the desired partition
sudo mount -o ro,norecovery /dev/nbd1p1 /mnt/evidence sudo mount -o ro,norecovery /dev/nbd1p1 /mnt/evidence
``` ```
Alternativ können Sie mit **xmount** sofort konvertieren: Alternativ können Sie mit **xmount** on-the-fly konvertieren:
```bash ```bash
xmount --in ewf evidence.E01 --out raw /tmp/raw_mount xmount --in ewf evidence.E01 --out raw /tmp/raw_mount
mount -o ro /tmp/raw_mount/image.dd /mnt mount -o ro /tmp/raw_mount/image.dd /mnt
``` ```
### LVM / BitLocker / VeraCrypt-Volumes ### LVM / BitLocker / VeraCrypt-Volumes
Nachdem das Blockgerät (Loop oder NBD) angeschlossen wurde: Nachdem das Blockgerät (Loop oder NBD) angeschlossen ist:
```bash ```bash
# LVM # LVM
sudo vgchange -ay # activate logical volumes sudo vgchange -ay # activate logical volumes
@ -144,6 +146,6 @@ kpartx -dv /dev/loop0 # or qemu-nbd --disconnect /dev/nbd0
## Referenzen ## Referenzen
- AFF4 Imaging-Tool-Ankündigung & Spezifikation: https://github.com/aff4/aff4 - AFF4 Imaging-Tool-Ankündigung & Spezifikation: https://github.com/aff4/aff4
- qemu-nbd Handbuchseite (sicheres Einbinden von Festplattenabbildern): https://manpages.debian.org/qemu-system-common/qemu-nbd.1.en.html - qemu-nbd Handbuchseite (sicheres Mounten von Festplattenabbildern): https://manpages.debian.org/qemu-system-common/qemu-nbd.1.en.html
{{#include ../../banners/hacktricks-training.md}} {{#include ../../banners/hacktricks-training.md}}