Slijede razlike između dviju inačica stranice.
| Starije izmjene na obje strane Starija izmjena Novija izmjena | Starija izmjena | ||
|
racfor_wiki:forenzika_windows_prefatch_datoteka [2021/01/15 21:27] izuglic [Sažetak] |
racfor_wiki:forenzika_windows_prefatch_datoteka [2024/12/05 12:24] (trenutno) |
||
|---|---|---|---|
| Redak 14: | Redak 14: | ||
| ===== Svrha Prefetch procesa i datoteka ===== | ===== Svrha Prefetch procesa i datoteka ===== | ||
| - | Cilj Prefetch procesa je analizirati i zabilježiti ponašanje aplikacije pri pokretanju njene izvršne datoteke kako bi buduća pokretanja | + | Cilj Prefetch procesa je analizirati i zabilježiti ponašanje aplikacije pri pokretanju njene izvršne datoteke kako bi buduća pokretanja |
| | | ||
| - | gdje je exename ime izvršne datoteke, hash sažetak putanje s koje je izvršna datoteka pokrenuta te je duljine osam heksadecimalnih znakova i .pf je datotečna ekstenzija. Važno je za napomenuti da znak povlake u imenu razdvaja exename od hash-a te da ime prefetch datoteke smije sadržavati samo velika slova. | + | gdje je exename ime izvršne datoteke, hash sažetak putanje s koje je izvršna datoteka pokrenuta te je duljine osam heksadecimalnih znakova i .pf je datotečna ekstenzija. Važno je za napomenuti da znak povlake u imenu razdvaja exename od hash-a te da ime prefetch datoteke smije sadržavati samo velika slova. |
| Prefetch proces se izvodi kada operacijski sustav, odnosno Windows Cache Manager nadgleda koje podatkovne komponente se izvlače iz tvrdog diska u RAM memoriju, a samo nadgledanje se odvija u tri slučaja [1]. Najprije počinje sa svakim pokretanjem operacijskog sustava i traje dvije minute tijekom procesa pokretanja sustava (Boot procesa). Također, nadgledanje se odvija nakon dovršetka pokretanja svih Win32 servisa i traje 60 sekundi. Posljedni slučaj nadgledanja je pri svakom pokretanju aplikacije te traje prvih 10 sekundi njenog izvršavanja. Usporedno s nadgledanjem, | Prefetch proces se izvodi kada operacijski sustav, odnosno Windows Cache Manager nadgleda koje podatkovne komponente se izvlače iz tvrdog diska u RAM memoriju, a samo nadgledanje se odvija u tri slučaja [1]. Najprije počinje sa svakim pokretanjem operacijskog sustava i traje dvije minute tijekom procesa pokretanja sustava (Boot procesa). Također, nadgledanje se odvija nakon dovršetka pokretanja svih Win32 servisa i traje 60 sekundi. Posljedni slučaj nadgledanja je pri svakom pokretanju aplikacije te traje prvih 10 sekundi njenog izvršavanja. Usporedno s nadgledanjem, | ||
| Redak 54: | Redak 54: | ||
| * Directory names | * Directory names | ||
| * Trailing data | * Trailing data | ||
| - | Nabrojani elementi su zapravo tablice koje u svakom retku sadrže | + | Nabrojani elementi su zapravo tablice koje u svakom retku sadrže |
| * 17 – za Windows XP i Windows 2003 | * 17 – za Windows XP i Windows 2003 | ||
| * 23 – Vista i Windows 7 | * 23 – Vista i Windows 7 | ||
| Redak 75: | Redak 75: | ||
| Još jedan primjer primjene može biti u činjenici da navedena putanja direktorija prefetch datoteke sadrži i račun korisnika sustava – analizom je moguće utvrditi da je stvoren privremeni račun korisnika sa svrhom izvršenja neke kriminalne radnje tako što se točno odrede koje su aplikacije bile pokrenute u nekom vremenskom trenutku. Dodatnim pregledom putanje u prefetch datoteci se može vidjeti je li aplikacija ili datoteka pokrenuta s nekog vanjskog uređaja za pohranu. To je vidljivo zbog različitih načina pristupa samim uređajima, pa se radi toga i zapisi pristupa razlikuju. Također se u pregledu putanje može vidjeti nalazi li se ta izvršna datoteka u nekom sakrivenom direktoriju. | Još jedan primjer primjene može biti u činjenici da navedena putanja direktorija prefetch datoteke sadrži i račun korisnika sustava – analizom je moguće utvrditi da je stvoren privremeni račun korisnika sa svrhom izvršenja neke kriminalne radnje tako što se točno odrede koje su aplikacije bile pokrenute u nekom vremenskom trenutku. Dodatnim pregledom putanje u prefetch datoteci se može vidjeti je li aplikacija ili datoteka pokrenuta s nekog vanjskog uređaja za pohranu. To je vidljivo zbog različitih načina pristupa samim uređajima, pa se radi toga i zapisi pristupa razlikuju. Također se u pregledu putanje može vidjeti nalazi li se ta izvršna datoteka u nekom sakrivenom direktoriju. | ||
| - | Zadnji primjer primjene koji će biti naveden je analiza vremenskih oznaka u MFT (Master File Table). MFT u NFTS datotečnom sustavu sadrži podatke o svakoj datoteci kao npr. veličinu datoteke, dozvole, sadržaj i vremenske i podatkovne oznake. Ako napadač želi sakriti izmjenu neke datoteke, treba osim vremenske oznake iz MFT-a, u obzir uzeti i vremenske oznake u prefetch datotekama. Naime, ako napadač promijeni neku aplikaciju i izmijeni joj vremensku oznaku, unosi u prefetch datoteci će ostati isti i prikazivat će ispravne vremenske oznake. Na taj način, forenzičari mogu lako zaobići napadačeve pokušaje lažiranja vremenskih oznaka izmjena datoteka. | + | Zadnji primjer primjene koji će biti naveden je analiza vremenskih oznaka u MFT (Master File Table). MFT u NFTS datotečnom sustavu sadrži podatke o svakoj datoteci, kao npr. veličinu datoteke, dozvole, sadržaj i vremenske i podatkovne oznake. Ako napadač želi sakriti izmjenu neke datoteke, treba osim vremenske oznake iz MFT-a, u obzir uzeti i vremenske oznake u prefetch datotekama. Naime, ako napadač promijeni neku aplikaciju i izmijeni joj vremensku oznaku, unosi u prefetch datoteci će ostati isti i prikazivat će ispravne vremenske oznake. Na taj način forenzičari mogu lako zaobići napadačeve pokušaje lažiranja vremenskih oznaka izmjena datoteka. |
| ===== Zaključak ===== | ===== Zaključak ===== | ||