Hacker Japan 2010 -11 を参考に、
デジタル鑑識の勉強をしてみました
今回、使用したのは
Backtrack4 に収録されている
Autopsy を使ってみました
このツールを使いこなすことができれば、ディスク解析ができるようです
まずは、VMwarePlayer にインストールしておいた
backtrack 4 を起動します
起動したあとに
ユーザを
root
パスワードを
toor
で起動します
そのままだと、コンソール画面のままなので
startx
でGUIに切り替えます
今回使用するAutopsy を起動するには
画面の左下の端末のアイコンをクリックし
Konsole を立ち上げます
ここで
/usr/bin/autopsy
とすれば
起動しますので
次に firefox を起動し
URL へ
http://localhost:9999/autopsy
と入力します
今回は、実験の練習用のデータが付録DVDに
ついていましたので、
これを使いました
DVDを入れたものの オートマウントではないためか
ディスクが表示されないので、
必要なファイルをいったんゲストOSの fedora 13 へ
ダウンロードし、そこから scp で転送しようとしたものの
ssh server が入っていないようで
この方法は無理でした
このため、 firefox で
File > Open File
で
cdrom0
の中から
index.html
をクリックし
そこからダウンロードしました
今回、実験につかったのは
8-jpeg-search.zip
です
これを
/root
に
ダウンロードして
unzip 8-jpeg-search.zip
で解凍します
これで下準備はOKです
再び、Autopsy の画面に戻って
最初に、まずは ケースを追加します
これには
New Case
をクリックします
次の設定画面 CREATE A NEW CASE
で
Case Name には
雑誌にあるように、
hj_case_001
Description には
ex01 for Hj
Investigator Names には
Traininguch
として
NEW CASE をクリックします
おそらく、ここは任意の名前でよいのだと思います
この次の 画面では
ADD HOST
をクリックします
（前回、作ったことがある場合のみ、この画面がでるのかもしれませんが）
次に ADD A NEW HOST の画面では
特に変更はしません
そのまま ADD HOST をクリックします
次に、もし
No images have been added to this hot yet
Select the Add Image File button below to add one
というメッセージがでたら
ADD IMAGE FILE をクリックします
（これも2回め以降はでるかもしれません
もしでないのなら、そのまま次の画面がでます）
ADD A NEW IMAGE の画面になったら
Location
のところへ、解析を行うファイルのパスを記述します
今回は root の下に展開した jpeg-search/8-jpeg-search.dd
を解析対象にしているので
/root/jpeg-search/8-jpeg-search.dd
とします
次に、TYpe のラジオボタンが Disk になっていますが
Partition の方を選択します
ここまで行ったら
NEXT をクリック
Image File Details の画面になりますが
ここは何も変更せず、
下にある ADD をクリックし、先に進みます
これで、解析するための登録が完了になります