iT邦幫忙

2022 iThome 鐵人賽
0
Security

none系列 第 36 篇

3-5 Investigating Windows Systems-2

14th鐵人賽
668 瀏覽

  • 分享至 

  • xImage
    •  

實作

到Velociraptor搜尋主機，點ntfs後要再點一下資料夾那個按鈕才會收集資料夾路徑

https://ithelp.ithome.com.tw/upload/images/20221021/20077752ZxocsmFN9F.png

在Client主機上下 dir /a
只看的到Recycle.Bin 這個檔案
https://ithelp.ithome.com.tw/upload/images/20221021/20077752sxy4pgyPTH.png

在$Recycle.Bin中找到已經被丟到資源回收桶后又刪除的檔案
Properties部分保留的fn_btime及mtime，甚至是檔案的MD5
https://ithelp.ithome.com.tw/upload/images/20221021/20077752USDRbwjBs8.png

刪除後的檔案名稱會被更改，從HexView中找回原本名稱
https://ithelp.ithome.com.tw/upload/images/20221021/20077752DWSydAitL4.png

REF

https://samsclass.info/152/lec16/ch12a.pdf
https://samsclass.info/152/152_F22.shtml


上一篇
3-4 Investigating Windows Systems
系列文
none 共 36 篇
  1. 32
    3-1 DFIR - Velociraptor
  2. 33
    3-2 DFIR - Velociraptor-2
  3. 34
    3-3 DFIR - Velociraptor-3
  4. 35
    3-4 Investigating Windows Systems
  5. 36
    3-5 Investigating Windows Systems-2
完整目錄
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

尚未有邦友留言

立即登入留言
iThome鐵人賽
參賽組數
102 組
團體組數
1 組
累計文章數
83 篇
最後報名日
9/15
iT+看影片追技術 看影片追技術 看更多
熱門tag 看更多
15th鐵人賽 13th鐵人賽 14th鐵人賽 12th鐵人賽 11th鐵人賽 鐵人賽 2019鐵人賽 2018鐵人賽 javascript 2017鐵人賽 python windows php c# windows server linux css react 程式設計 vue.js
熱門問題
熱門回答
熱門文章
IT邦幫忙