Metadatos

Asignatura Datos del alumno Fecha
Apellidos: Palafox Pascual

Análisis forense 22/01/2018
Nombre: Lorena
Actividades
Trabajo: Recuperación de ficheros eliminados
El objetivo de esta actividad es ver y entender de manera práctica lo que se ha explicado

a lo largo del tema. Durante el desarrollo de la misma, has de recuperar de manera
manual, tal y como se explica en el apartado «2.5 Ejemplo de recuperación de un
archivo eliminado», el archivo eliminado dentro de una partición FAT32 y visualizar los
metadatos asociados a dicho archivo.
Antes de comenzar, es recomendable leer el artículo How FAT Works. En especial el

apartado FAT Root Folder, donde se explica el esquema utilizado para almacenar las
entradas del directorio raíz de una partición FAT. El artículo está disponible en:
http://technet.microsoft.com/es-es/library/cc776720%28v=ws.10%29
Para realizar la práctica, podéis utilizar el software que creáis conveniente, aunque se
recomienda utilizar: AccessData FTK Imager, Winhex y FCiv (o cualquier otro software
que permita el cálculo de hashes). Para el análisis de los metadatos podéis utilizar
ExifTool, o la herramienta online Metashield Analyzer1.
Para realizar la práctica debéis hacer lo siguiente:
Calcular el SHA1 del archivo facilitado para realizar la práctica

(VHD03.E01).
Recuperar el archivo eliminado y obtención de datos
Para proceder al cálculo del SHA1 (Segure Hash Algoritm 1) función criptográfica que
toma una entrada y produce un valor hash de 160 bits conocido como resumen del
mensaje se ha utilizado la herramienta HashMyfiles, de este modo ejecutando el
programa y abriendo el archivo se obtiene la siguiente figura con los datos obtenidos
por medio de la herramienta:
1
https://metashieldanalyzer.elevenpaths.com/
TEMA 2 – Actividades
Nombre: Lorena
Figura 1. Propiedades del archivo por medio dela herramienta HashMyfiles.
Obtener mediante Winhex y haciendo uso de las plantillas incluidas:
A continuación, se procede al montaje de la imagen que tenemos mediante el software

FTK Imagen, de este modo mediante la selección del fichero se procede a dejar las
opciones por defecto que trae la interfaz dado que son las que interesan para llevar a
cabo la presente actividad:
Nombre: Lorena
Figura 2. Selección de fichero para montaje de imagen.
Se observa que el archivo de la imagen es el contemplado en la actividad y se procede a

seleccionar la pestaña “Mount” para realizar el montaje. De este modo, una vez
realizada la acción anterior, se puede observar el resultado obtenido como “Mapped
Images” teniendo así tanto la parte física como la parte lógica, montada sobre la unidad
G:, por tanto si se exploran los archivos de dicha unidad se contempla que se encuentra
en dicha ubicación.
El siguiente paso seguido en la presente actividad se centra en añadir las evidencias
desde el menú File en el software para así poder visualizar las diferentes particiones
además de la unidad montada, es en este momento cuando se observa el tipo de fichero,
como fichero eliminado ya que su comienzo está determinado por E5, asi como el
fichero en la estructura del directorio que ha sido creado:
Nombre: Lorena
Figura 3. Árbol de evidencias de FTK Imagen.
Finalmente, FTK Imagen permite la visualización del fichero previo antes de realizar
los pasos de recuperación de la imagen con la herramienta WinHex, por lo que dicha
herramienta pre visualiza el fichero que será recuperado con WinHex:
Nombre: Lorena
Figura 4. Visualización del fichero con FTK Imagen.
A continuación, es utilizada la herramienta pedida en la actividad para la realización de

este apartado, en este caso, WinHex, así es seleccionado el disco físico sobre el que se
realiza el trabajo según la siguiente imagen, en este caso HD1: StarLib Visual Storage
(50,0 MB, ATA)
Figura 5. Selección de disco en WinHex.
Nombre: Lorena
El resultado obtenido es el siguiente:
Figura 6. Resultado de Disco duro.
En este momento es seleccionada la Partición 1 que se puede observar dentro de la

pestaña de Disco duro 1, una vez realizada esta opción, una nueva pestaña aparece a
continuación la cual contiene los datos relacionados con el directorio raíz y el archivo
que se deber recuperar, por tanto, es necesario obtener los datos del tamaño del mismo,
su comienzo y fin para realizar los cálculos necesarios para su recuperación:
Figura 7. Contenido Partición 1.
Nombre: Lorena
La siguiente imagen que se muestra a continuación contiene por tanto los datos que
hacen referencia al cluster de inicio y al tamaño, referenciando también el atributo que
hace referencia al archivo eliminado (E5):
Figura 8. Datos archivo eliminado.
En este momento son aplicadas las plantillas sobre el archivo anterior ofreciendo el
resultado que se muestra en las siguientes figuras:
Nombre: Lorena
Figura 9. Gestor de plantillas.
Figura 10. FATDirectory Entry.
Nombre: Lorena
En la siguiente imagen se puede comprobar que aparecen los datos tanto del nombre
como de la extensión (Filename, Extensión),también las fechas de creación,
modificación y último acceso y cluster inicial, offset inicial y final:
Figura 11.Resultados del archivo eliminado.
En este momento se procede a buscar el fichero por lo que desde el mení “Ir al Sector”
del menú “Navegación” con el valor 3 obtenido en el cluster nos situamos en la posición
inicial del archivo ya que es quien lo marca:
Figura 12. Ir a sector con valor de cluster.
Nombre: Lorena
Figura 13. Inicio del offset 4194816
Con los valores de offset se define el tamaño y así el bloque queda marcado de otro
color como se muestra a continuación. El valor del tamaño final del archivo será de los
valores de offset del bloque 4194816 +4704570 = 8899386
Figura 14. Definición de bloque.
Nombre: Lorena
En este momento se procede a obtener la copia del bloque en un archivo nuevo desde el
menú de edición lo que no es posible debido a la que versión de evaluación del
programa no puede guardar archivos mayores de 200 KB.
Figura 15. Aviso.
Por tanto, los datos obtenidos son los que se observan en la figura 11.
Calcular el SHA1 del archivo recuperado.
Para la obtención del SHA1 se vuelve a utilizar el software HashMyfiles, el cual ya ha

sido utilizado posteriormente para calcular el SHA1 del archivo recuperado, como se
muestra en la siguiente figura:
Figura 16. Valor del SHA 1.
Nombre: Lorena
Obtener los metadatos asociados al archivo recuperado.
Una vez se ha llegado a este punto, se procede a obtener los metadatos del archivo
recuperado utilizado el programa exiftool, se accede a la carpeta donde se encuentra
dicho programa y el archivo en cuestión:
Figura 17. Metadatos.

Metadatos

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Metadatos

Transféré par

Droits d'auteur :

Formats disponibles

Asignatura Datos del alumno Fecha

Apellidos: Palafox Pascual

Trabajo: Recuperación de ficheros eliminados

El objetivo de esta actividad es ver y entender de manera práctica lo que se ha explicado

Antes de comenzar, es recomendable leer el artículo How FAT Works. En especial el

Para realizar la práctica debéis hacer lo siguiente:

Calcular el SHA1 del archivo facilitado para realizar la práctica

Figura 1. Propiedades del archivo por medio dela herramienta HashMyfiles.

Obtener mediante Winhex y haciendo uso de las plantillas incluidas:

A continuación, se procede al montaje de la imagen que tenemos mediante el software

Figura 2. Selección de fichero para montaje de imagen.

Se observa que el archivo de la imagen es el contemplado en la actividad y se procede a

Figura 3. Árbol de evidencias de FTK Imagen.

Figura 4. Visualización del fichero con FTK Imagen.

A continuación, es utilizada la herramienta pedida en la actividad para la realización de

Figura 5. Selección de disco en WinHex.

El resultado obtenido es el siguiente:

Figura 6. Resultado de Disco duro.

En este momento es seleccionada la Partición 1 que se puede observar dentro de la

Figura 7. Contenido Partición 1.

Figura 8. Datos archivo eliminado.

Figura 9. Gestor de plantillas.

Figura 10. FATDirectory Entry.

Figura 11.Resultados del archivo eliminado.

Figura 12. Ir a sector con valor de cluster.

Figura 13. Inicio del offset 4194816

Figura 14. Definición de bloque.

Figura 15. Aviso.

Calcular el SHA1 del archivo recuperado.

Para la obtención del SHA1 se vuelve a utilizar el software HashMyfiles, el cual ya ha

Figura 16. Valor del SHA 1.

Obtener los metadatos asociados al archivo recuperado.

Figura 17. Metadatos.

Vous aimerez peut-être aussi