【Autopsy数字取证篇】Autopsy案例创建与镜像分析详细教程

已于 2022-12-04 23:05:37 修改
阅读量6.7k 收藏 64
点赞数 16
分类专栏： 电子取证 计算机取证 # 电子取证工具 文章标签： 电子取证 Autopsy
于 2022-12-04 23:04:39 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/NDASH/article/details/128178986
版权

【Autopsy数字取证篇】Autopsy案例创建与镜像分析详细教程

Autopsy是一款非常优秀且功能强大的免费开源数字取证分析工具。—【蘇小沐】

文章目录

1.实验环境

以本地E01镜像做实验测试。

系统版本
Windows 11 专业工作站版22H2（22621.819）
Autopsy4.19.3
测试镜像格式E01格式

2.Autopsy下载安装

【Autopsy数字取证篇】Autopsy数字取证软件的下载安装与优化配置—蘇小沐

（一）创建案例

要创建案例，请使用欢迎屏幕上的"创建新案例"选项或"案例"菜单中的选项。这将启动新建案例向导。您需要为其提供案例的名称和用于存储案例结果的目录。您可以选择提供案例编号和审阅者姓名。

1.软件启动界面

软件启动界面如下，选择"新建案件"。
在这里插入图片描述

2.案件信息（必填）

将案件名和存储路径填好后，方可进入下一步操作。
在这里插入图片描述

3.可选信息（选填）

选填项可不填写，如果是正式案件，建议填写好，以便记录与回溯。
在这里插入图片描述

（二）添加数据源

创建案例后，添加数据源向导将自动启动，或者您可以从"案例"菜单或工具栏手动启动它。您需要选择要添加的输入数据源的类型（映像、本地磁盘或逻辑文件和文件夹）。
无特殊要求，默认即可。
在这里插入图片描述

1.选择数据源类型

数据源类型支持：磁盘镜像或虚拟机文件、本地磁盘、逻辑文件、未分配空间映像文件、Autopsy逻辑成像仪结果、XRY文本导出。

英文中文备注
Disk Image or VM File磁盘镜像或虚拟机文件对于磁盘映像，Autopsy目前支持 E01 和原始 （dd） 文件。
Local Disk本地磁盘对于"本地磁盘"，请选择检测到的磁盘之一。Autopsy会将磁盘的当前视图添加到案例中（即元数据的快照）。但是，单个文件内容（不是元数据）确实会随着对磁盘所做的更改而更新。可以选择创建从本地磁盘读取的所有数据到 VHD 文件的副本，这对于会审情况非常有用。请注意，您可能需要以管理员身份运行 Autopsy 才能检测所有磁盘。
Logical Files逻辑文件对于逻辑文件（单个文件或文件文件夹），请使用"添加"按钮将系统上的一个或多个文件或文件夹添加到机箱中。文件夹将以递归方式添加到案例中。
Unallocated Space Image File未分配空间映像文件/
Autopsy Logical Imager ResultsAutopsy逻辑成像仪结果/
XRY Text ExportXRY文本导出/

此处以E01镜像为例，选择第一个"磁盘镜像或虚拟机文件"，点击下一步。
在这里插入图片描述

接下来，为其提供要添加的源的位置。（时间区间选择，如果有时区的要求，需要注意转换，也可以分析完后再更改，不过建议开始就选择好）
在这里插入图片描述

2.收录模块

引入模块负责分析数据源内容，并将在后台运行。收录模块按优先级顺序分析文件，以便先分析用户目录中的文件，然后再分析其他文件夹中的文件。采集模块可由第三方开发。
在这里插入图片描述

Autopsy中包含的标准采集模块包括：

标准采集模块说明
最近活动模块(recent_activity)取由 Web 浏览器和操作系统保存的用户活动。还在注册表配置单元上运行 Regripper。
查找模块使用哈希(hash_db)哈希查找模块使用哈希集忽略 NIST NSRL 中的已知文件并标记已知的错误文件。使用"高级"按钮添加和配置在此过程中要使用的哈希集。在发生摄取时，您将获得有关已知错误文件命中的更新。稍后可以通过主 UI 中的"工具"->"选项"菜单添加哈希集。您可以从http://sourceforge.net/projects/autopsy/files/NSRL/ 下载 NIST NSRL 的索引
文件类型识别模块根据(file_type_identification)文件类型识别模块根据签名确定文件类型，并根据MIME类型报告它们。它将结果存储在黑板中，许多模块都依赖于此。它使用Tika开源库。您可以在工具、选项、文件类型中定义自己的自定义文件类型。
扩展名不匹配检测器模块(extension_mismatch_detector)扩展名不匹配检测器模块使用文件类型识别的结果，并标记扩展名传统上与文件检测到的类型无关的文件。忽略"已知"（NSRL） 文件。您可以在工具、选项、文件扩展名不匹配中自定义每个 MIME 类型的 MIME 类型和文件扩展名。
嵌入式文件提取模块(embedded_file_extractor)嵌入式文件提取模块打开 ZIP、RAR 和其他存档格式、文档、文档、文档、PPT、PPTX、XLS 和 XLSX，并通过摄取管道将这些文件中的派生文件发送回进行分析。
图片分析器模块(exif_parser)图片分析器模块从 JPEG 文件中提取 EXIF 信息，并将结果发布到主 UI 中的树中。还将HEIC / HEIF文件转换为JPEG格式，并从这些JPEG中提取EXIF数据。
关键字搜索模块使用关键字(keyword_search)列表关键字搜索模块使用关键字列表来识别包含特定单词的文件。您可以选择要自动搜索的关键字列表，也可以使用"高级"按钮创建新列表。请注意，使用关键字搜索，您始终可以在收录完成后进行搜索。您将定期搜索您在摄取期间选择的关键字列表，并且您将实时获得结果。在执行关键字搜索之前，您无需等待所有文件都编制索引，但是在执行搜索时，您只会从已编制索引的文件中获得结果。
电子邮件解析器模块(email_parser)电子邮件解析器模块根据文件签名识别 Thunderbird MBOX 文件和 PST 格式文件，从中提取电子邮件，将结果添加到 Blackboard。
加密检测模块查找加密(encryption)加密检测模块查找加密文件。
有趣的文件标识符模块(interesting_files_identifier)有趣的文件标识符模块根据用户在工具、选项、感兴趣的文件中指定的规则搜索文件和目录。它用作"文件警报模块"。找到指定的文件时，它会在收件箱中生成邮件。
中央存储库(central_repo#cr_ingest_module)中央存储库模块将文件哈希和其他提取的属性添加到中央存储库中，以便将来进行关联并标记以前值得注意的文件。
PhotoRec Carver(photorec_carver)PhotoRec Carver模块从未分配的空间中雕刻文件，并通过文件处理链发送它们。
虚拟机提取器模块从虚拟机(vm_extractor)文虚拟机提取器模块从虚拟机文件中提取数据
数据源完整性模块(data_source_integrity)数据源完整性模块计算 E01 文件的校验和，并与 E01 文件的内部校验和进行比较，以确保它们匹配。
DJI 无人机分析(drone)DJI 无人机分析器从无人机文件中提取数据。
Plaso 使用 Plaso(plaso)创建时间线事件。Plaso 使用 Plaso创建时间线事件。
Android Analyzer Module(android_analyzer)Android Analyzer Module允许您解析来自 Android 设备的常见项目。将工件放入黑板。
GPX 分析器(gpx)GPX 分析器从.gpx文件中提取地理位置数据。
iOS Analyzer （iLEAPP） 从 iOS(ileapp)iOS Analyzer （iLEAPP） 从 iOS 数据源中提取数据。

引入模块开始分析数据源后，您将看到主分析界面。您可以选择搜索特定项目、浏览到特定文件夹或查看摄取模块结果。
在这里插入图片描述

还可以自定义展示数据，更改时区等（自行摸索，此处不做展开）。
在这里插入图片描述

3.数据分析完成

数据分析过程中，可以从左侧的树看到已分析的结果。最上面的是"数据源根节点"，点开可显示磁盘映像或本地磁盘的文件系统结构，包含案例中的所有数据。

左侧的树和右侧的表具有UI 快速搜索功能，可用于快速查找可见节点；如果要搜索单个关键字，则可以使用程序右上角的搜索框。结果将显示在右上角的表格中。当从左侧的树中选择一个节点时，文件列表将显示在右上角。可以使用右上角的缩略图视图查看图片。从右上角选择文件时，其内容将显示在右下角，可以使用右下角的选项卡查看文件、图像或十六进制数据的文本。

如果要从"视图"和"结果"节点查看文件，则可以右键单击文件以转到其文件系统位置。此功能可用于查看用户与您当前正在查看的文件存储在同一文件夹中的其他内容。或者右键单击文件以将其解压缩到本地系统。

还可以标记（书签）任意文件，以便以后可以更快地找到它们，或者可以将它们专门包含在报表中。
在这里插入图片描述

4.其他分析接口

除了左侧带有树的面板 UI 之外，还有其他更专业的界面。

模块说明
时间轴时间线功能可以从"工具"菜单或工具栏或通过"时间轴"按钮打开。这将显示使用各种显示技术按时间组织的文件系统和其他事件。
图片库图像库侧重于显示按文件夹组织的数据源中的图片和视频。一旦文件经过哈希处理并提取EXIF数据，它就会向您显示文件。您可以从"工具"菜单或通过"图片库"按钮打开它。
通信通信界面侧重于显示与哪些帐户通信最多以及发送了哪些消息。它使您可以专注于特定日期范围内的某些关系或通信。您可以从"工具"菜单或通过"通信"按钮打开它。
地理位置"地理位置"面板显示一张地图，其中包含案例中找到的所有地理位置结果的标记。您可以从"工具"菜单或通过"地理位置"按钮打开它。
发现"发现"面板允许您在案例中搜索不同类型的数据，并以易于查看的形式显示这些数据。您可以从"工具"菜单或通过"发现"按钮打开它。
角色"角色"面板用于创建和管理角色。通过创建角色，您可以将一个或多个帐户与名称和其他数据相关联。您可以从"工具"菜单或通过"角色"按钮打开它。
网络工件如果要查看用户最近的 Web 活动，请确保已启用"最近活动引入"模块。然后，您可以转到左侧树中的"结果"节点，然后转到"提取的数据"节点。在那里，您可以找到书签、cookie、下载和历史记录。
已知错误的哈希文件如果要查看数据源是否具有已知的错误文件，请确保已启用哈希查找引入模块。然后，您可以在左侧树的"结果"区域中查看"哈希集命中"部分。请注意，哈希查找可能需要很长时间，因此只要摄取过程正在进行，就会更新此部分。使用"收录收件箱"跟踪最近发现的已知错误文件。当您在此界面中找到已知的坏文件时，您可能希望右键单击该文件以查看文件的原始位置。您可能会找到与此文件相关并存储在同一文件夹中的其他文件。
媒体：图片和视频如果您想查看磁盘映像上的所有图像和视频，请转到左侧树中的"视图"部分，然后转到"文件类型"。选择"图像"或"视频"。您可以使用右上角的缩略图选项查看所有图像的缩略图。您可以从右上角选择图像或视频，并在右下角查看视频或图像。视频将以声音播放。

（三）生成报告

可以使用"生成报告"工具栏按钮生成包含所有分析结果的最终报告。报告可以以 HTML、XLS、KML 和其他格式生成。

稍后，您可以通过转到树并打开底部的"报告"节点来找到生成的报告。
在这里插入图片描述

选择要包括的数据源。
在这里插入图片描述

可以自定义导出报告的结果，这在特定的案件类型或需要特定的数据报告中特别有用。

英文中文
All Results所有的结果
All Tagged Results所有标记结果
Specific Tagged Results特定标记结果

在这里插入图片描述

导出路径：默认在案件存储路径下。
在这里插入图片描述

导出的报告显示如下，不仅记录有报告生成时间，还有软件及各个模块的详细版本号，分析结果等，应用尽有，非常翔实。
在这里插入图片描述

总结

以上就是Autopsy创建案件及加载镜像文件简要分析的教程，其中Autopsy具有非常多优秀的功能，很多模块如图像分析、邮件分析等都可以独立窗口展示，非常方便查看，记录信息也是非常详细，很值得去体验尝试。

书写片面，纯粹做个记录，有错漏之处欢迎批评指正！觉得对您有所帮助，可以点赞收藏！

【著作所有权归作者 蘇小沐 所有，转载请注明文章出处】

参考资料

[1] Autopsy - Basis Technology

名称时间
开始编辑日期2022 年 12 月 03 日
最后编辑日期2022 年 12 月 04 日

在这里插入图片描述

DFIR蘇小沐
关注
  • 16
    点赞
  • 踩
  • 64
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 6
    评论
专栏目录
数字取证之Autopsy的下载安装及学习使用
qq_52743307的博客
05-27 1792
通过学习了解到AutopsyForensic Browser是数字取证工具-TheSleuthKit（TSK）的图形界面，一个用来分析磁盘映像和恢复文件的开源取证工具。提供在磁盘映像中进行字符串提取，恢复文件，时间轴分析，chrome，firefox等浏览历史分析，关键字搜索和邮件分析等功能，也对这些功能有了浅尝辄止的学习。Mr.Evil 对应的注册人是 Greg Schardt，可以表明 Mr.Evil 就是 Greg Schardt。（11）电脑的 IP 地址和 MAC 地址是什么?
计算机单机取证（autopsy工具使用）
m0_57696734的博客
07-18 5720
autopsy工具使用
【镜像仿真篇】磁盘镜像仿真常见错误
最新发布
蘇小沐的电子数据取证博客
05-09 567
记系统镜像仿真常见错误集---【蘇小沐】
磁盘取证——autopsy工具的使用
2301_76524931的博客
09-24 1461
网络安全磁盘取证的工具autopsy的使用。
Autopsy数字单机取证神器的使用方法及详细教程
Aluxian_的博客
12-29 3799
AutopsyForensic Browser是数字取证工具The Sleuth Kit（TSK）的图形界面，可用来分析磁盘镜像和恢复删除的文件，提供在磁盘镜像中进行字符串提取，包括关键字搜索，哈希匹配，注册表分析，Web分析，恢复文件，时间轴分析，chrome，firefox 等浏览器历史分析，关键字搜索和邮件分析等功能。
【Autopsy数字取证篇】Autopsy数字取证软件的下载安装与优化配置
蘇小沐的电子数据取证博客
11-26 7330
Autopsy是The Sleuth Kit（TSK）的图形界面版开源的数字取证工具，可用来分析磁盘镜像和恢复删除的文件，提供在磁盘镜像中进行字符串提取，包括关键字搜索，哈希匹配，注册表分析，Web分析，恢复文件，时间轴分析，chrome，firefox 等浏览器历史分析，关键字搜索和邮件分析等功能，并具有可扩展性（附加模块）。由于本人能力有限，纯粹做个记录，文中如有不妥和错漏之处欢迎批评指正。【著作所有权归作者蘇小沐所有，转载请注明文章出处】
数字取证之Autopsy ——合天网安实验室学习笔记
weixin_42582241的博客
03-15 3501
实验链接 Autopsy Forensic Browser 是数字取证工具-The Sleuth Kit（TSK）的图形界面，用于对文件系统和卷进行取证。通过本实验学习文件系统取证的思想与方法，掌握Autopsy的使用。 链接：http://www.hetianlab.com/expc.do?ce=064935f9-835c-4c4c-ada2-00481bda0ae1 实验简介 实验所属系列： ...
数字取证autopsy工具用法
m0_55763479的博客
05-08 2997
镜像文件下载地址 Digital (Computer) Forensics Tool Testing Imageshttp://dftt.sourceforge.net/ Windows下autopsy工具源码 本人使用的是kali自带autopsy工具 Download Autopsy from SourceForge.netAutopsy® is a digital forensics platform and graphical interface to The Sleuth Kit® and
【Autopsy数字取证篇】Autopsy案例更改时区
蘇小沐的电子数据取证博客
12-04 482
Autopsy案例更改时区
Autopsy数字取证软件的下载安装（Windows）
苏生要努力
02-21 879
选择策略，我选择自定义设置(a)，也就是在下一步中进行配置，如下图所示，也有定义好的策略，这个策略的作用就是启动一些分析检测的模块。之后会弹出以下向导框，这里可以选择要分析的内容，可以是本地磁盘也可以是dd或E01等磁盘镜像，我选择使用磁盘镜像。选择分析模块，暂时先按照以下图进行配置即可(a)，以后再做介绍。选择第二章创建的证据镜像(a)，选择时区与证据镜像的块大小(b)，这里我选择自动检测。等待右下角进度条走完，autopsy的工作就结束，之后需要我们人为的进行分析取证了。
Autopsy-macOS-Install:适用于macOS的自动尸检安装程序
03-08
尸检-macOS-安装 适用于macOS的自动尸检安装程序 我开发了此脚本，以自动化在Mac上启动Autopsy GUI所需的一些任务和配置。 我主要为大学课程中的其他学生开发了此脚本-但我希望也可以对其他人有所帮助！ 演示视频-https: 此安装程序脚本将在安装Autopsy / Sleuthkit之前安装以下先决条件 Brew软件包管理器-允许安装软件包：-) Java开发工具包（JDK）-允许编译Sleuthkit -'ant'-'libewf'-'afflib'-法医友好的“存储”支持:)！ -'libpq' wget-本来可以使用curl ... wget如此简单！ 用于获取远程文件 其他系统更改/修改 JAVA_HOME变量已创建-无需手动设置Java位置 编译/“安装” Sleuthkit-运行尸检的先决条件 启动说明 您可以使用'-agree'启动以允许安装程序脚
E01镜像查看器
08-09
E01镜像查看工具。
FAMA:Forensic Analysis for Mobile Apps (FAMA) -- 用于尸检取证浏览器的模块
05-30
LabCIF-移动应用程序的取证分析入门带有集成尸检模块的 Android 提取和分析框架。 轻松地从设备中转储用户数据，并为尸检或外部应用程序生成功能强大的报告。功能使用 ADB（需要 root 和 ADB）从 Android 设备中提取...
server-autopsy:服务器验尸是您日常的服务器监视中间件
04-30
服务器验尸serverautopsy是您日常的服务器监视中间件。 很难监视您喜欢的应用程序在其中部署的当前服务器的方式。 如果您像我一样懒惰，那么这就是您所需要的。 它检查服务器的使用情况，内存和磁盘空间，并通过向...
Autopsy-artifact-test:用于管理新工件类型的测试代码
06-04
尸检-文物-测试一个简单的 Autopsy:registered: 插件模块，用于测试新工件类型的创建和使用。
kali中autopsy的使用方法
sunquan705的博客
04-21 1127
kali中autopsy使用方法
2024年最新Autopsy数字单机取证神器的使用方法及详细教程_镜像取证工具(2)，写给网络安全开发的小程序布局指南
2401_84297618的博客
05-06 687
是数字取证工具的图形界面，可用来分析磁盘镜像和恢复删除的文件，提供在磁盘镜像中进行字符串提取，包括关键字搜索，哈希匹配，注册表分析，Web分析，恢复文件，时间轴分析，chrome，firefox 等浏览器历史分析，关键字搜索和邮件分析等功能。Autopsy支持的镜像格式有DD、E01等,当然了，用户也可以添加本地驱动器进或本地文件/文件夹进行分析。Autopsy支持的文件系统有以吸UFS等。另外,Autopsy还可以很方便地导出报告。
Laykefu客服系统 任意文件上传漏洞，2024年最新34岁程序员年薪50w
2401_83739632的博客
04-15 317
Laykefu客服系统/admin/users/upavatar.html接口处存在文件上传漏洞，而且当请求头中Cookie中的”user_name“不为空时即可绕过登录系统后台，恶意攻击者可利用此问题，上传后门文件，获取服务器权限。Laykefu 是一款基于workerman+gatawayworker+thinkphp5搭建的全功能webim客服系统，旨在帮助企业有效管理和提供优质的客户服务。
阿里云linux镜像取证
06-08
如果您需要在阿里云Linux镜像上进行取证，可以按照以下步骤进行操作： 1. 创建一个新的ECS实例，选择与需要取证的实例相同的Linux镜像版本和配置。 2. 在新的ECS实例上安装取证工具，例如SleuthKit、Autopsy等。 3. 将需要取证的磁盘挂载到新的ECS实例上。 4. 使用取证工具对挂载的磁盘进行取证分析。 注意，取证过程可能会对系统造成损坏，请务必备份好数据并谨慎操作。此外，如果您不熟悉取证工具的使用方法，建议您咨询专业的取证人员或阅读相关的取证文献。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

DFIR蘇小沐

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值