Skip to content
LEFORENSE

LEFORENSE

Computação Forense, onde o conhecimento é compartilhado!

  • INICIO
  • ARTIGOS FORENSE
  • TUTORIAIS
  • GUIA DE REMOÇÃO
  • LIVROS
  • GRUPOS TELEGRAM
  • Home
  • Aquisição de Imagem Forense com DD e DCFLDD
  • Forense
  • Forense Aquisição

Aquisição de Imagem Forense com DD e DCFLDD

Aquisição forense (copia) usando o DD ou DC3DD ou DCFLDD, três ótimas alternativas no Linux.
3 min read

Indice

  • 1 Aquisição com DD
  • 2 Aquisição com DCFLDD
  • 3 Aquisição com DC3DD
  • 4 Conclusão

Aquisição com DD

Em algumas situações, talvez você precise fazer a aquisição forense de uma imagem ou de um disco inteiro via DD, esta não é uma opção muito utilizada, mas é importante ter a ciência da opção. Prefira utilizar o DCFLDD que é um DD melhorado, consulte na próxima página.

ATENÇÃO
DD pode ser seu melhor amigo, ou, o seu pior inimigo. O nome DD ficou conhecido como Data Destroyer, por que basta um equivoco do usuário, para destruir seus dados, então, atenção redobrada nos parâmetros de ENTRADA e SAÍDA do DD

1. Execute fdisk -l para listar os discos disponíveis, anote o device e o block;

fdisk -l

2. Execute o DD informando a ENTRADA, BS e SAÍDA, conforme exemplo;

sudo dd if=/dev/sde bs=512 of=LEFORENSEDD

3. Aguarde a finalização do DD, e verifique o hash manualmente, com sha1sum e md5sum;

sudo sha1sum /dev/sde
sudo sha1sum LEFORENSEDD

o DD é uma opção, sem compressão nenhuma, ele é necessário citar já que eventualmente você precise fazer uma aquisição forense, em um “NAS” por exemplo, e só tem disponível o DD, então, é a única forma de realizar a aquisição para pericia.

Aquisição com DCFLDD

A grande diferença que o DCFLDD é uma versão aprimorada do DD, focado para analise forense, por que nós permite os seguinte recursos:

  • Hashing on-the-fly – permite fazer o hash de todos os arquivos de entrada e saída durante a transferencia, mantendo a integridade;
  • Status output – pode atualizar o usuário de seu progresso em termos da quantidade de dados transferidos e quanto tempo a operação levará;
  • Flexible disk wipes – pode ser usado para limpar discos rapidamente e com um padrão conhecido, se desejado;
  • Image / wipe Verify – pode verificar se uma unidade de destino é uma correspondência bit-a-bit do arquivo ou padrão de entrada especificado;
  • Multiple outputs – pode produzir múltiplos arquivos ou discos ao mesmo tempo;
  • Split output – pode dividir a saída em vários arquivos.

Sua utilização é muito semelhante ao “DD”, que poderá consultar o seu artigo nas paginas anteriores, para a utilização do DCFLDD siga os passos:

2. Execute o fdisk -l para listar todos os discos, anote o disco que irá trabalhar e o tamanho do sector;

2. Execute a coleta conforme exemplo, (vide transcriação de parâmetros abaixo);

sudo dcfldd         => Programa;
if=/dev/sde         => Dispositivo / unidade de entrada;
hash=md5,sha1       => Realizar a integridade dos arquivos pelos hash MD5 e SHA1;
md5log=md5log.txt   => Log referente ao MD5;
sha1log=sha1log.txt => Log referente a SHA1;
hashconv=after      => Realiza o teste de hash depois;
bs=512              => Tamanho do setor;
conv=noerror,sync   => Executa melhor, e em caso de erros ele irá parar;
split=1500M         => Define que o tamanho maximo do arquivo é de 1500Megas, ou seja, será dividio;
splitformat=000     => A extensão do arquivo, em caso de divisão em multiplos arquivos;
of=TESTLEFORENSE    => Dispositivo / Arquivo de saída, neste caso, salvando no diretorio de execução.
sudo dcfldd if=/dev/sde hash=md5,sha1 md5log=md5log.txt sha1log=sha1log.txt hashconv=after bs=512 conv=noerror,sync split=1500M splitformat=000 of=LEFORENSE

3. Aguarde a conclusão da coleta, conforme exemplos;

4. Valide a saída dos arquivos, e os HASH gerado;

Aquisição com DC3DD

O DC3DD é muito similar ao DCFLDD, ele foi desenvolvido pela DoD Cyber Crime Center, ele é atualizado quando o DD é atualizado, veja como usar (vide transcrição dos parâmetros abaixo):

if             => Arquivo de entrada
of             => Arquivo de saída
bs             => tamanho do bloco (padrão é 512)
hash           => Definição do arquivo HASH
log            => Arquivo de log
progress       => Exibe status de progresso
split          => Divide o arquivo em vários pedaços no tamanho definido
splitformat    => o formato em que será dividido os arquivos.
dc3dd if=/dev/sdb of=leforense.img bs=512 hash=md5 log=dc3dd.log progress=on split=2G splitformat=000

Conclusão

Existem N formas de realizar uma aquisição forense, com aplicações pagas, outras open source e o velho DD. Na impossibilidade de usar algum outro aplicativo, prefiro o dcfldd.

Tags: aquisição forense dc3dd dcfldd dd if linux of progress

Continue Reading

Previous: Aquisição de Imagem Forense com FTK Linux
Next: Aquisição de Imagem Forense com Guymager Linux

Related Stories

Descobrindo a senha do Windows (Live-System)
6 min read
  • Ferramentas
  • Forense
  • Forense RAM

Descobrindo a senha do Windows (Live-System)

29 de junho de 2020
LeForense the Flag (PLACAR E RESPOSTAS)
1 min read
  • Forense

LeForense the Flag (PLACAR E RESPOSTAS)

14 de junho de 2020
Tabela $MFT quais segredos temos?
3 min read
  • Forense

Tabela $MFT quais segredos temos?

11 de maio de 2020

Talvez queira ler...

Download do CHROME pelo PowerShell
2 min read
  • Segurança da Informação

Download do CHROME pelo PowerShell

20 de fevereiro de 2022
Procurando onde o e-mail está registrado…
1 min read
  • OSINT

Procurando onde o e-mail está registrado…

15 de fevereiro de 2022
Ninja Cookie
1 min read
  • Segurança da Informação

Ninja Cookie

8 de fevereiro de 2021
Coleção de Cheat Sheets
5 min read
  • Segurança da Informação

Coleção de Cheat Sheets

7 de fevereiro de 2021
Este site esta licenciado pelas regras CC BY | DarkNews by AF themes.