Degital Forensic/Google Chrome 분석4 [디지털 포렌식] 구글 크롬(Google Chrome) 이메일 분석 환경: Win7에서 크롬 브라우저로 메일을 보낸 후, 브라우저를 종료시키고 10분 기다렸다가 suspend함 1. 일반 모드 메일 내용 2. 일반 모드 메일 결과 - 제목 - 내용 - 발신자 - 수신자 3. 시크릿 모드 메일 내용 4. 시크릿 모드 메일 결과 - 제목 - 내용 - 발신자 - 수신자 2020. 8. 24. [디지털 포렌식] Google Chrome 아티팩트 분석 ( vmem, dmp ) Google Chrome - 일반모드 ( suspend 후 ) [ 검색기록 : doosan bears ] - vmem - 구글에서 Doosan Bears를 검색한 것을 확인할 수 있다 - 메모리 덤프 파일: 검색기록이 남지 않는다 [ 방문 웹사이트 : www.doosanbears.com ] - vmem - 메모리 덤프 파일 [ 다운로드 기록 : doosan.jpg ] - vmem: 어디서 다운 받았는지, 어디에 저장되었는 지까지 뜸 - 메모리 덤프 파일: 저장된 장소까지 뜬다 [ 게시글: 제목 (hello) / 내용 (nice to meet you) ] - vmem - 블로그에 hello 라는 제목의 글을 올린 것이 확인된다 - 어떤 내용으로 올린 것인 지는 확인되지 않는다 - 메모리 덤프 파일: 확인되.. 2020. 8. 24. [디지털 포렌식] 구글 크롬(Google Chrome) 로그 분석 Chrome 로그 분석 Cache 정보 분석 - 전체 파일 구성 - data_0, data_1, data_2, data_3, 데이터 파일 파일 구성 - data_0 파일 - 인덱스 레코드가 저장됨(URL 레코드의 위치 정보 저장) - 오프셋 0x2000부터 0x24 바이트 단위로 저장 - Data_1, data_2, data_3 - URL(URL 레코드에 저장됨), 메타데이터, Cache 데이터 저장 - 오프셋 0x2000부터 블록 단위로 저장 - 블록 단위 • data_1: 0x100 • data_2: 0x400 • data_3: 0x1000 Data_0에서의 인덱스 레코드 구조 • 최초 2 바이트 - 블록의 인덱스 - 0x0001이면 두 번째 블록에 URL레코드가 저장되어 있음 • 3번째 바이트 - .. 2020. 7. 20. [디지털 포렌식] 구글 크롬(Google Chrome ) AppData 아티팩트 아티팩트(Artifact)란 사전적 의미로는 ‘인공물’, ‘유물’이라고 해석된다. 디지컬 포렌식에서 아티팩트(Artifact)의 의미는 운영체제나 애플리케이션을 사용하면서 생성되는 흔적을 말한다. 보통 시스템에 생성되는 증거를 생성 증거와 보관 증거로 분류하는데 생성 증거에 해당하는 것이 아티팩트(Artifact)이다. 예를 들어, 윈도우 시스템의 생성 증거(아티팩트)로는 레지스트리, 프리/슈퍼패치, 이벤트 로그 등이 있다. 보관 증거의 예로는 직접 작성한 메일 내용, 블로그 및 소셜 네트워크 작성 내용, 직접 작성한 문서 등이 있다. 보관 증거의 경우, 고의가 들어간 데이터이기 때문에 전문 법칙이 적용되어 증거로 인정받기 위해서는 전문 법칙의 예외 규정을 따져봐야 한다. 하지만, 생성 증거의 .. 2020. 7. 17. 이전 1 다음
