X-Ways Capture 實際使用測試

拿到了X-Ways Capture的最新版本。測試了一下。大家可以看看測試結果。



測試一：

正常的Windows環境，未安裝Pgp Desktop，按照Caputure的ini默認配置進行了獲取。

測試二：

同一Windows環境，安裝Pgp Desktop 9.9，啟動EFS加密，按照Caputure的ini默認配置進行了獲取。



步驟及圖片：



X-Ways Capture 包含的原始文件及目錄：

Windows目錄下包含一下四個文件。其中Caputre.ini為配置文件，可以自行修改、自定義。

1、啟動X-Ways Capture

輸入獲取路徑，本例中選擇F:\caputer目錄。Caputrei在整個過程中將根據自定義配置文件自動操作。本測試在c盤桌面運行caputre.exe。實際使用過程中，由於不應將程序複製到嫌疑硬盤中，所以應選擇移動存儲介質。

安裝下載並PDG Desktop 9.9。

創建一個500兆的虛擬磁盤。保存於e盤，虛擬磁盤盤符為G：

在新建的邏輯磁盤G中複製了創建了一份txt文件，並複製一份pdf文件。

獲取過程中，系統檢測到PGP存在，開始邏輯獲取G盤文件，並物理獲取鏡像。

獲取結束後，查看G盤Caputre2目錄下，X-Ways Caputre邏輯方式複製了磁盤中的文件，並創建了磁盤鏡像。

由於在C盤運行的capture，因此未能發現c盤的EFS加密文件。







Capture運行日誌：（複製下來，大家可以看看完整過程。）



X-Ways Capture 1.2 Copyright X-Ways Software Technology AG 2005-2008



Capture was started on 23/03/2009 at 10:44:13 from C:\Documents and Settings\Administrator\桌面\xwcapture\Windows.

Host OS is Windows 5.1.2600 (NT).

Using configuration file capture.ini.



This version is licensed to Sprite Guo.

Result: Capture runs on the computer named B.



Hint: Starting program module: AppendIni (下面為ini配置文件中的設定。)

[user]

name=Sprite Guo

date=16

key=



[steps]

AppendIni

#GetUserDate

#GetUserTime

#Ask "Please enter a comment"

#Ask Please enter a comment

#Ask Please enter three characters: ???

DumpPhysicalMemory

DumpProcessMemory

DumpProcessList

DumpDriverList

ATACheck

HPACheck

ListMountedVolumes

EncryptionCheckProcessList

+CheckDriverListForEncryption

+EncryptionCheckProcessMemory

+EncryptionCheckDiskSectors

#EncryptionCheckAllFiles is redundant if LogicalBackup is not excluded

#EncryptionCheckAllFiles -network

+CheckForBitLockerVolumes

LogicalImaging

PhysicalImaging

LogicalBackup -network



[settings]

language=English

#language=German

PromptForOutputPath

#UserShouldAcknowledge

DateFormat=dd/mm/yyyy

#DateFormat=dd.mm.yyyy

LogInfoMsgs

LogHints

LogWarnings

LogErrors

LogResults

PrintInfoMsgs

PrintHints

PrintWarnings

PrintErrors

PrintResults

ImageSegmentSize=2000

#PhysicalImageFormat=raw

#PhysicalImageFormat=e01-compressed

PhysicalImageFormat=e01-uncompressed

PhysicalImageCalcHash=md5

#PhysicalImageCalcHash=sha-1

#PhysicalImageCalcHash=sha-256

#PhysicalImageCalcHash=none



[ExcludeDevicesFromPhysicalImaging]

#Examples:

#Maxtor 6Y080L0

#WDC WD2000JB-00GVA0



[ExcludeFromLogicalBackup]

#Examples:

E:\

F:\



[SearchProcessMemoryForEncryption]

#Examples:

#Internal name of PGPserv.exe (PGP Desktop 9):

PGPsdkService

#Internal name of Bcresident.exe (BestCrypt v7)

BCResident

#Steganos Security Suite 2006

PortableSafe@Steganos



[SearchProcessListForEncryption] 目前支持的加密檢測

#Examples:

#PGP Desktop 9:

PGPserv.exe

PGPtray.exe

#BestCrypt v7:

Bcresident.exe

#DriveCrypt:

DriveCrypt.exe

#Steganos Security Suite 2006

sss2006.exe

#TrueCrypt, usually just the driver, sometimes just the process

TrueCrypt.exe

#SafeGuard Easy

sgectl.exe



[SearchDriverListForEncryption]

truecrypt



上面為ini配置，下面為獲取記錄。



Hint: Starting program module: DumpPhysicalMemory 獲取物理內存

Hint: Main memory is 253 MB (266326016 bytes)

Warning: Could not read 1.49 MB of physical memory (0x1332000-0x14b0fff).

Result: Main memory imaging completed with one unreadable range.



Hint: Starting program module: DumpProcessMemory 獲取進程內存

Info: Dumping memory of process System (812 KB)

Info: Dumping memory of process smss.exe (968 KB)

Info: Dumping memory of process csrss.exe (52.1 MB)

Info: Dumping memory of process winlogon.exe (44.0 MB)

Info: Dumping memory of process services.exe (12.1 MB)

Info: Dumping memory of process lsass.exe (32.4 MB)

Info: Dumping memory of process svchost.exe (35.1 MB)

Info: Dumping memory of process svchost.exe (33.9 MB)

Info: Dumping memory of process svchost.exe (42.1 MB)

Info: Dumping memory of process KVSrvXP.exe (100 MB)

Info: Dumping memory of process svchost.exe (23.8 MB)

Info: Dumping memory of process svchost.exe (36.0 MB)

Info: Dumping memory of process Explorer.EXE (141 MB)

Info: Dumping memory of process spoolsv.exe (34.4 MB)

Info: Dumping memory of process hkcmd.exe (23.3 MB)

Info: Dumping memory of process KVMonXP.kxp (78.0 MB)

Info: Dumping memory of process hqtray.exe (41.0 MB)

Info: Dumping memory of process peer.exe (32.0 MB)

Info: Dumping memory of process ctfmon.exe (23.6 MB)

Info: Dumping memory of process Thunder5.exe (117 MB)

Info: Dumping memory of process PGPtray.exe (61.5 MB)

Info: Dumping memory of process SnagIt32.exe (187 MB)

Info: Dumping memory of process ImationFlashDetect.exe (24.5 MB)

Info: Dumping memory of process PGPserv.exe (29.4 MB)

Info: Dumping memory of process SeaPort.exe (37.1 MB)

Info: Dumping memory of process vmount2.exe (32.5 MB)

Info: Dumping memory of process TSCHelp.exe (21.7 MB)

Info: Dumping memory of process vmnat.exe (8.78 MB)

Info: Dumping memory of process vmnetdhcp.exe (8.52 MB)

Info: Dumping memory of process vmware-authd.exe (51.2 MB)

Info: Dumping memory of process alg.exe (29.9 MB)

Info: Dumping memory of process svchost.exe (29.3 MB)

Info: Dumping memory of process PGPfsd.exe (35.0 MB)

Info: Dumping memory of process conime.exe (23.9 MB)



Hint: Starting program module: DumpProcessList 獲取進程列表

Info: Process list:

Info: System

Info: smss.exe

Info: csrss.exe

Info: winlogon.exe

Info: services.exe

Info: lsass.exe

Info: svchost.exe

Info: svchost.exe

Info: svchost.exe

Info: KVSrvXP.exe

Info: svchost.exe

Info: svchost.exe

Info: Explorer.EXE

Info: spoolsv.exe

Info: hkcmd.exe

Info: KVMonXP.kxp

Info: hqtray.exe

Info: peer.exe

Info: ctfmon.exe

Info: Thunder5.exe

Info: PGPtray.exe

Info: SnagIt32.exe

Info: ImationFlashDetect.exe

Info: PGPserv.exe

Info: SeaPort.exe

Info: vmount2.exe

Info: TSCHelp.exe

Info: vmnat.exe

Info: vmnetdhcp.exe

Info: vmware-authd.exe

Info: alg.exe

Info: svchost.exe

Info: PGPfsd.exe

Info: conime.exe

Info: firefox.exe



Hint: Starting program module: DumpDriverList獲取驅動列表

Result: Abiosdsk: Device driver, stopped

Result: abp480n5: Device driver, stopped

Result: ACPI (Microsoft ACPI Driver): Device driver, stopped

Result: ACPIEC: Device driver, stopped

Result: adpu160m: Device driver, stopped

Result: aeaudio: Device driver, stopped

Result: aec (Microsoft Kernel Acoustic Echo Canceller): Device driver, stopped

Result: AFD: Device driver, stopped

Result: Aha154x: Device driver, stopped

Result: aic78u2: Device driver, stopped

Result: aic78xx: Device driver, stopped

Result: akshasp (Aladdin HASP Key): Device driver, stopped

Result: aksusb (Aladdin USB Key): Device driver, stopped

Result: Alerter: Service sharing a process with other services, stopped

Result: ALG (Application Layer Gateway Service): Service running in its own process, stopped

Result: AliIde: Device driver, stopped

Result: amsint: Device driver, stopped

Result: AppMgmt (Application Management): Service sharing a process with other services, stopped

Result: asc: Device driver, stopped

Result: asc3350p: Device driver, stopped

Result: asc3550: Device driver, stopped

Result: aspnet_state (ASP.NET State Service): Service running in its own process, stopped

Result: AsyncMac (RAS Asynchronous Media Driver): Device driver, stopped

Result: atapi (標準 IDE/ESDI 硬盤控制器): Device driver, stopped

Result: Atdisk: Device driver, stopped

Result: Atmarpc (ATM ARP Client Protocol): Device driver, stopped

Result: AudioSrv (Windows Audio): Service sharing a process with other services, stopped

Result: audstub (音頻存根驅動程序): Device driver, stopped

Result: BdGuard: File system driver, stopped

Result: Beep: Device driver, stopped

Result: BITS (Background Intelligent Transfer Service): Service sharing a process with other services, stopped

Result: Browser (Computer Browser): Service sharing a process with other services, stopped

Result: BsDeamon: Device driver, stopped

Result: cbidf2k: Device driver, stopped

Result: cd20xrnt: Device driver, stopped

Result: Cdaudio: Device driver, stopped

Result: Cdfs: File system driver, stopped

Result: Cdrom (CD-ROM Driver): Device driver, stopped

Result: cercsr6: Device driver, stopped

Result: Changer: Device driver, stopped

Result: CiSvc (Indexing Service): , stopped

Result: ClipSrv (ClipBook): Service running in its own process, stopped

Result: clr_optimization_v2.0.50727_32 (.NET Runtime Optimization Service v2.0.50727_X86): Service running in its own process, stopped

Result: CmdIde: Device driver, stopped

Result: COMSysApp (COM+ System Application): Service running in its own process, stopped

Result: Cpqarray: Device driver, stopped

Result: CryptSvc (Cryptographic Services): Service sharing a process with other services, stopped

Result: dac960nt: Device driver, stopped

Result: DcomLaunch (DCOM 服務器進程啟動器): Service sharing a process with other services, stopped

Result: Dhcp (DHCP Client): Service sharing a process with other services, stopped

Result: Disk (磁盤驅動器): Device driver, stopped

Result: dmadmin (Logical Disk Manager Administrative Service): Service sharing a process with other services, stopped

Result: dmboot: Device driver, stopped

Result: dmio (Logical Disk Manager Driver): Device driver, stopped

Result: dmload: Device driver, stopped

Result: dmserver (Logical Disk Manager): Service sharing a process with other services, stopped

Result: DMusic (Microsoft Kernel DLS Syntheiszer): Device driver, stopped

Result: Dnscache (DNS Client): Service sharing a process with other services, stopped

Result: Dot3svc (Wired AutoConfig): Service sharing a process with other services, stopped

Result: dpti2o: Device driver, stopped

Result: drmkaud (Microsoft Kernel DRM Audio Descrambler): Device driver, stopped

Result: E1000 (Intel(R) PRO/1000 Adapter Driver): Device driver, stopped

Result: EapHost (Extensible Authentication Protocol Service): Service sharing a process with other services, stopped

Result: ERSvc (Error Reporting Service): Service sharing a process with other services, stopped

Result: Eventlog (Event Log): Service sharing a process with other services, stopped

Result: EventSystem (COM+ Event System): Service sharing a process with other services, stopped

Result: Fastfat: File system driver, stopped

Result: FastUserSwitchingCompatibility (Fast User Switching Compatibility): Service sharing a process with other services, stopped

Result: Fdc (Floppy Disk Controller Driver): Device driver, stopped

Result: Fips: Device driver, stopped

Result: Flpydisk (軟盤驅動程序): Device driver, stopped

Result: FltMgr: File system driver, stopped

Result: FsVga: Device driver, stopped

Result: Ftdisk (Volume Manager Driver): Device driver, stopped

Result: GetDataMip: Device driver, stopped

Result: Gpc (Generic Packet Classifier): Device driver, stopped

Result: Hardlock: Device driver, stopped

Result: Haspnt: Device driver, stopped

Result: hcmon (VMware hcmon): Device driver, stopped

Result: HdFw_slot: Device driver, stopped

Result: HDPT (HDPT Miniport): Device driver, stopped

Result: helpsvc (Help and Support): Service sharing a process with other services, stopped

Result: HidServ (Human Interface Device Access): Service sharing a process with other services, stopped

Result: HidUsb (Microsoft HID Class Driver): Device driver, stopped

Result: hkmsvc (Health Key and Certificate Management Service): Service sharing a process with other services, stopped

Result: hpn: Device driver, stopped

Result: HTTP: Device driver, stopped

Result: HTTPFilter (HTTP SSL): Service sharing a process with other services, stopped

Result: i2omgmt: Device driver, stopped

Result: i2omp: Device driver, stopped

Result: i8042prt (i8042 鍵盤及 PS/2 鼠標端口驅動程序): Device driver, stopped

Result: ialm: Device driver, stopped

Result: Imapi (CD 燒製篩選驅動器): Device driver, stopped

Result: ImapiService (IMAPI CD-Burning COM Service): Service running in its own process, stopped

Result: ini910u: Device driver, stopped

Result: IntelIde: Device driver, stopped

Result: intelppm (Intel Processor Driver): Device driver, stopped

Result: ioperm (ioperm support for Cygwin driver): Device driver, stopped

Result: Ip6Fw (IPv6 Windows Firewall Driver): Device driver, stopped

Result: IpFilterDriver (IP Traffic Filter Driver): Device driver, stopped

Result: IpInIp (IP in IP Tunnel Driver): Device driver, stopped

Result: IpNat (IP Network Address Translator): Device driver, stopped

Result: IPSec (IPSEC driver): Device driver, stopped

Result: IRENUM (IR Enumerator Service): Device driver, stopped

Result: isapnp (PnP ISA/EISA Bus Driver): Device driver, stopped

Result: JmArpHook: Device driver, stopped

Result: JmFwDDos: Device driver, stopped

Result: Kbdclass (Keyboard Class Driver): Device driver, stopped

Result: kmixer (Microsoft Kernel Wave Audio Mixer): Device driver, stopped

Result: KRegEx: Device driver, stopped

Result: KSecDD: Device driver, stopped

Result: KSysCall (Jiangmin Antivirus Software - SysCall Services): Device driver, stopped

Result: KSysMon (Jiangmin Antivirus Software - System Monitor): Device driver, stopped

Result: KSysTrace (Jiangmin Antivirus Software - File Tracer): Device driver, stopped

Result: KVFileGuard (KVFileGuard From Jiangmin): File system driver, stopped

Result: KVREDIR: Device driver, stopped

Result: lanmanserver (Server): Service sharing a process with other services, stopped

Result: lanmanworkstation (Workstation): Service sharing a process with other services, stopped

Result: lbrtfdc: Device driver, stopped

Result: LmHosts (TCP/IP NetBIOS Helper): Service sharing a process with other services, stopped

Result: Messenger: Service sharing a process with other services, stopped

Result: mnmdd: Device driver, stopped

Result: mnmsrvc (NetMeeting Remote Desktop Sharing): , stopped

Result: Modem: Device driver, stopped

Result: Mouclass (Mouse Class Driver): Device driver, stopped

Result: mouhid (Mouse HID Driver): Device driver, stopped

Result: MountMgr (Mount Point 管理程序): Device driver, stopped

Result: mraid35x: Device driver, stopped

Result: MRxDAV (WebDav Client Redirector): File system driver, stopped

Result: MRxSmb: File system driver, stopped

Result: MSDTC (Distributed Transaction Coordinator): Service running in its own process, stopped

Result: Msfs: File system driver, stopped

Result: MSIServer (Windows Installer): Service sharing a process with other services, stopped

Result: MSKSSRV (Microsoft Streaming Service Proxy): Device driver, stopped

Result: MSPCLOCK (Microsoft Streaming Clock Proxy): Device driver, stopped

Result: MSPQM (Microsoft Streaming Quality Manager Proxy): Device driver, stopped

Result: mssmbios (Microsoft System Management BIOS Driver): Device driver, stopped

Result: Mup: File system driver, stopped

Result: napagent (Network Access Protection Agent): Service sharing a process with other services, stopped

Result: NDIS (NDIS System Driver): Device driver, stopped

Result: NdisTapi (Remote Access NDIS TAPI Driver): Device driver, stopped

Result: Ndisuio (NDIS 用戶模式 I/O 協議): Device driver, stopped

Result: NdisWan (Remote Access NDIS WAN Driver): Device driver, stopped

Result: NDProxy (NDIS Proxy): Device driver, stopped

Result: NetBIOS (NetBIOS Interface): File system driver, stopped

Result: NetBT (NetBios over Tcpip): Device driver, stopped

Result: NetDDE (Network DDE): Service sharing a process with other services, stopped

Result: NetDDEdsdm (Network DDE DSDM): Service sharing a process with other services, stopped

Result: Netlogon (Net Logon): Service sharing a process with other services, stopped

Result: Netman (Network Connections): , stopped

Result: Nla (Network Location Awareness (NLA)): Service sharing a process with other services, stopped

Result: Npfs: File system driver, stopped

Result: Ntfs: File system driver, stopped

Result: NtLmSsp (NT LM Security Support Provider): Service sharing a process with other services, stopped

Result: NtmsSvc (Removable Storage): Service sharing a process with other services, stopped

Result: Null: Device driver, stopped

Result: NwlnkFlt (IPX Traffic Filter Driver): Device driver, stopped

Result: NwlnkFwd (IPX Traffic Forwarder Driver): Device driver, stopped

Result: OMCI: Device driver, stopped

Result: Parport (Parallel port driver): Device driver, stopped

Result: PartMgr (分區管理程序): Device driver, stopped

Result: ParVdm: Device driver, stopped

Result: PCI (PCI Bus Driver): Device driver, stopped

Result: PCIDump: Device driver, stopped

Result: PCIIde: Device driver, stopped

Result: Pcmcia: Device driver, stopped

Result: PDCOMP: Device driver, stopped

Result: PDFRAME: Device driver, stopped

Result: PDRELI: Device driver, stopped

Result: PDRFRAME: Device driver, stopped

Result: perc2: Device driver, stopped

Result: perc2hib: Device driver, stopped

Result: PGPdisk: Device driver, stopped

Result: pgpfs (PGP File Sharing): File system driver, stopped

Result: PGPsdkDriver: Device driver, stopped

Result: PGPserv: , stopped

Result: PGPwded (PGPwded Storage Filter Service): Device driver, stopped

Result: PlugPlay (Plug and Play): Service sharing a process with other services, stopped

Result: PolicyAgent (IPSEC Services): Service sharing a process with other services, stopped

Result: PptpMiniport (WAN Miniport (PPTP)): Device driver, stopped

Result: ProtectedStorage (Protected Storage): , stopped

Result: PSched (QoS Packet Scheduler): Device driver, stopped

Result: Ptilink (Direct Parallel Link Driver): Device driver, stopped

Result: ql1080: Device driver, stopped

Result: Ql10wnt: Device driver, stopped

Result: ql12160: Device driver, stopped

Result: ql1240: Device driver, stopped

Result: ql1280: Device driver, stopped

Result: RasAcd (Remote Access Auto Connection Driver): Device driver, stopped

Result: RasAuto (Remote Access Auto Connection Manager): Service sharing a process with other services, stopped

Result: Rasl2tp (WAN Miniport (L2TP)): Device driver, stopped

Result: RasMan (Remote Access Connection Manager): Service sharing a process with other services, stopped

Result: RasPppoe (遠程訪問 PPPOE 驅動程序): Device driver, stopped

Result: Raspti (Direct Parallel): Device driver, stopped

Result: Rdbss: File system driver, stopped

Result: RDPCDD: Device driver, stopped

Result: rdpdr (Terminal Server Device Redirector Driver): Device driver, stopped

Result: RDPWD: Device driver, stopped

Result: RDSessMgr (Remote Desktop Help Session Manager): Service running in its own process, stopped

Result: redbook (Digital CD Audio Playback Filter Driver): Device driver, stopped

Result: RemoteAccess (Routing and Remote Access): Service sharing a process with other services, stopped

Result: RemoteRegistry (Remote Registry): Service sharing a process with other services, stopped

Result: RpcLocator (Remote Procedure Call (RPC) Locator): Service running in its own process, stopped

Result: RpcSs (Remote Procedure Call (RPC)): Service sharing a process with other services, stopped

Result: RSVP (QoS RSVP): Service running in its own process, stopped

Result: SamSs (Security Accounts Manager): Service sharing a process with other services, stopped

Result: SCardSvr (Smart Card): Service sharing a process with other services, stopped

Result: Schedule (Task Scheduler): Service sharing a process with other services, stopped

Result: SeaPort: Service running in its own process, stopped

Result: Secdrv: Device driver, stopped

Result: seclogon (Secondary Logon): , stopped

Result: SENS (System Event Notification): Service sharing a process with other services, stopped

Result: serenum (Serenum Filter Driver): Device driver, stopped

Result: Serial (Serial port driver): Device driver, stopped

Result: Sfloppy: Device driver, stopped

Result: SharedAccess (Windows Firewall/Internet Connection Sharing (ICS)): Service sharing a process with other services, stopped

Result: ShellHWDetection (Shell Hardware Detection): Service sharing a process with other services, stopped

Result: Simbad: Device driver, stopped

Result: SmartMountImDisk (Smart Mount ImDisk Driver): Device driver, stopped

Result: SmartMountImDSvc (Smart Mount ImDisk Helper Service): Service running in its own process, stopped

Result: smwdm: Device driver, stopped

Result: Sparrow: Device driver, stopped

Result: splitter (Microsoft Kernel Audio Splitter): Device driver, stopped

Result: Spooler (Print Spooler): , stopped

Result: sr (System Restore Filter Driver): File system driver, stopped

Result: srservice (System Restore Service): Service sharing a process with other services, stopped

Result: Srv: File system driver, stopped

Result: SSDPSRV (SSDP Discovery Service): Service sharing a process with other services, stopped

Result: stisvc (Windows Image Acquisition (WIA)): Service sharing a process with other services, stopped

Result: swenum (Software Bus Driver): Device driver, stopped

Result: swmidi (Microsoft Kernel GS Wavetable Synthesizer): Device driver, stopped

Result: SwPrv (MS Software Shadow Copy Provider): Service running in its own process, stopped

Result: symc810: Device driver, stopped

Result: symc8xx: Device driver, stopped

Result: sym_hi: Device driver, stopped

Result: sym_u3: Device driver, stopped

Result: sysaudio (Microsoft Kernel System Audio Device): Device driver, stopped

Result: SysGuard (Jiangmin AntiVirus Software - System Guard): Device driver, stopped

Result: SysmonLog (Performance Logs and Alerts): Service running in its own process, stopped

Result: TapiSrv (Telephony): Service sharing a process with other services, stopped

Result: Tcpip (TCP/IP Protocol Driver): Device driver, stopped

Result: TDPIPE: Device driver, stopped

Result: TDTCP: Device driver, stopped

Result: TermDD (Terminal Device Driver): Device driver, stopped

Result: TermService (Terminal Services): Service sharing a process with other services, stopped

Result: Themes: Service sharing a process with other services, stopped

Result: TlntSvr (Telnet): Service running in its own process, stopped

Result: TosIde: Device driver, stopped

Result: TrkWks (Distributed Link Tracking Client): Service sharing a process with other services, stopped

Result: Udfs: File system driver, stopped

Result: ufad-ws60 (VMware Agent Service): Service running in its own process, stopped

Result: ultra: Device driver, stopped

Result: Update (Microcode Update Driver): Device driver, stopped

Result: upnphost (Universal Plug and Play Device Host): Service sharing a process with other services, stopped

Result: UPS (Uninterruptible Power Supply): Service running in its own process, stopped

Result: usbehci (Microsoft USB 2.0 Enhanced Host Controller Miniport Driver): Device driver, stopped

Result: usbhub (USB2 Enabled Hub): Device driver, stopped

Result: usbkey (USB Dongle): Device driver, stopped

Result: USBSTOR (USB 大容量存儲設備): Device driver, stopped

Result: usbuhci (Microsoft USB Universal Host Controller Miniport Driver): Device driver, stopped

Result: VgaSave (VGA 顯示控制器。): Device driver, stopped

Result: ViaIde: Device driver, stopped

Result: VMAuthdService (VMware Authorization Service): Service running in its own process, stopped

Result: vmci (VMware vmci): Device driver, stopped

Result: vmkbd (VMware kbd): Device driver, stopped

Result: VMnetAdapter (VMware Virtual Ethernet Adapter Driver): Device driver, stopped

Result: VMnetBridge (VMware Bridge Protocol): Device driver, stopped

Result: VMnetDHCP (VMware DHCP Service): Service running in its own process, stopped

Result: VMnetuserif (VMware Network Application Interface): Device driver, stopped

Result: vmount2 (VMware Virtual Mount Manager Extended): Service running in its own process, stopped

Result: VMparport (VMware VMparport): Device driver, stopped

Result: VMware NAT Service: Service running in its own process, stopped

Result: vmx86 (VMware vmx86): Device driver, stopped

Result: VolSnap: Device driver, stopped

Result: VSS (Volume Shadow Copy): Service running in its own process, stopped

Result: vstor2 (Vstor2 Virtual Storage Driver): Device driver, stopped

Result: vstor2-ws60 (Vstor2 WS60 Virtual Storage Driver): Device driver, stopped

Result: W32Time (Windows Time): Service sharing a process with other services, stopped

Result: Wanarp (Remote Access IP ARP Driver): Device driver, stopped

Result: WDICA: Device driver, stopped

Result: wdmaud (Microsoft WINMM WDM Audio Compatibility Driver): Device driver, stopped

Result: WebClient: Service sharing a process with other services, stopped

Result: winmgmt (Windows Management Instrumentation): Service sharing a process with other services, stopped

Result: WmdmPmSN (Portable Media Serial Number Service): Service sharing a process with other services, stopped

Result: Wmi (Windows Management Instrumentation Driver Extensions): Service sharing a process with other services, stopped

Result: WmiApSrv (WMI Performance Adapter): Service running in its own process, stopped

Result: WS2IFSL (Windows 套接字 2 .0 Non-IFS 服務提供程序支持環境): Device driver, stopped

Result: wscsvc (Security Center): Service sharing a process with other services, stopped

Result: wuauserv (Automatic Updates): Service sharing a process with other services, stopped

Result: WZCSVC (Wireless Zero Configuration): Service sharing a process with other services, stopped

Result: xmlprov (Network Provisioning Service): Service sharing a process with other services, stopped

Result: {1DFCE140-4FDA-4F95-ADC8-A3ED252DCF93} (KVSrvXP-{1DFCE140-4FDA-4F95-ADC8-A3ED252DCF93}): , stopped

Result: {6080A529-897E-4629-A488-ABA0C29B635E} (Intel(R) Graphics Platform (SoftBIOS) Driver): Device driver, stopped

Result: {D31A0762-0CEB-444e-ACFF-B049A1F6FE91} (Intel(R) Graphics Chipset (KCH) Driver): Device driver, stopped

Result: Driver list created successfully.



Hint: Starting program module: ATACheck 檢測ata硬盤加密

Result: ATA security settings for Disk 0 (ST3802110A, 5LR6NYYZ)

Result: ATA security is disabled.

Result: Frozen: Yes



Hint: Starting program module: HPACheck 檢測HPA

Result: No HPA was found on this computer.



Hint: Starting program module: ListMountedVolumes 列出所有卷

Result: List of mounted volumes:

Result: C: resides on disk 0, start sector: 63, file system: NTFS.

Result: E: resides on disk 0, start sector: 20482938, file system: NTFS.

Result: F: resides on disk 0, start sector: 61448625, file system: NTFS.

Result: G: uses file system: FAT32

Result: List of known disks:

Result: Disk 0 is a ST3802110A, serial no.: (unknown), capacity: 74.5 GB, bus: ATA.



Hint: Starting program module: EncryptionCheckProcessList 加密進程檢測

Result: Found the following suspicious processes: PGPtray.exe, PGPserv.exe



Hint: Forcing CheckDriverListForEncryption 加密驅動檢測

Result: No drivers for encryption found.



Hint: Forcing EncryptionCheckProcessMemory 檢測加密進程關鍵詞

Result: Found search string "PGPsdkService" in process PGPserv.exe. 找到PGP

Result: One suspicious string was found once in one process.



Hint: Forcing EncryptionCheckDiskSectors 檢測加密磁盤

Result: No encrypted disks were found.



Hint: Forcing CheckForBitLockerVolumes 檢測bitlocker

Result: Found no volume that is encrypted with BitLocker.



Hint: Starting program module: LogicalImaging 邏輯分區複製

Result: Cannot determine disk containing volume G:, imaging it...

Hint: Writing image segment 1 to F:\CAPTURE3\2009-03-23, 10-44-02-Logical Imaging\DriveG.e01. 製作鏡像文件

Result: Final hash value of the image (format MD5): 448c7f1fb21c6ec6de0d312854b792dc 創建MD5值

Result: Writing hash of image to the Encase file.

Result: Image created successfully.

Result: No encrypted volumes found in this step.



Hint: Starting program module: PhysicalImaging 物理鏡像

Hint: Disk 0 is excluded from imaging, because it contains the output drive. 因為證據文件保存於本機F盤，所以不能進行完整硬盤鏡像。



Hint: Starting program module: LogicalBackup 邏輯複製EFS文件

Hint: Copying files logically will alter NTFS last FILE record modification timestamps. 查找複製EFS文件。

Hint: Starting logical copying of all accessible files.

Hint: Excluding Capture start drive C:. 沒有包含c盤EFS文件查找和複製。

Hint: Copying files from D: ...

Hint: Excluding drive E: because it is listed in the exclusion list.

Hint: F: is excluded from copying, because it contains the output path.

Hint: Copying files from G: ...

Result: Found 0 EFS-encrypted files total. 2 files were copied successfully.

Hint: Program execution completed cleanly.

Hint: Program completed on 23/03/2009, 11:00:00.

文章轉自計算機取證技術

MacForensicsLab 公司發佈MacLockPick 2.1

加入新的插件，全面支持 Linux

NEWARK, CA 2009年3月25日 -- MacForensicsLab 公司宣佈推出多平台在線取證工具新版本。除了目前可以獲取嫌疑計算機Windows 和 Mac OS X 系統數據之外，MacLockPick 2.1 實現了獲取 Linux 系統下數據的能力。從現在開始，用戶們不必再擔心嫌疑計算機中的操作系統的限制了。此外， 2.1 版中還增添了一些新功能插件，可以使獲取重要信息的能力比過去更強、更簡單。

現在，對於嫌疑人的電子數據的獲取、"解釋"以及時效性比以往更加緊迫。在處理網絡犯罪和計算機犯罪的工作中，很多時候需要在犯罪嫌疑人的計算機中實施在線獲取，而這些工作的成功率往往是以分鐘來計算，而不再是以天數來衡量。調查員不斷面對的課題，是如何保證數據保持可見及有效，並同時保護犯罪現場的完整性。

新版本的MacLockPick可以獲取 Windows 註冊表中的對調查有用的特定信息。 儘管您可以通過瀏覽Windows 操作系統的整體數據結構以便發現重要的信息，但是 MacLockPick 能夠縮短您的數據獲取時間，保證數據獲取效果。可以獲取的信息包括：最近執行的程序、Internet Explorer URLs 訪問記錄，無線網絡的 SSID、 USB 歷史記錄、完整的 iPhone 手機同步記錄、 VNC 服務器歷史，以及更多的信息。

利用MacLockPick II 的 Linux 獲取功能，現在調查員可以發揮 MacLockPick II的最新功獲取Linux 系統中的嫌疑人信息。 隊員犯罪嫌疑人來說，再也沒有什麼所謂的安全的操作系統了。目前，MacLockPick II是目前唯一一個能夠跨平台使用的在線取證工具。

MacLockPick II 採用了插件式架構，可以為調查員提供最大的方便的擴展能力。MacLockPick II 允許調查員增添第三方工具以增強 MacLockPick的取證能力。

I. 可以從嫌疑計算機中獲取哪些數據

MacLockPick II 為計算機法證、電子證據揭示和IT信息管理人員而設計，可以有效獲取如操作系統、用戶行為和歷史記錄等詳細信息。通過使用插件的架構方式， MacLockPick 可以根據用戶對不同信息的需要而自行配置。這些信息可以包括：特定文件類型、聊天記錄、電話同步紀錄、瀏覽器歷史記錄、口令、賬戶、何系統數據。

1. 插件和插件類型

MacLockPick 通過插件方式，使調查員能夠方便地控制在線取證的所需步驟和信息。這些插件分為5類。

2. 內置插件

下列只是MacLockPick II的部分插件，現有產品能力遠遠強於下列插件所述功能

a) 執法部門專用 下列兩個插件只針對執法部門銷售
	NTLM 和 Lan Man 口令獲取 - 本插件可以獲取 SAM中的本地用戶帳戶中的LM和NTLM口令哈希，利用MacLockPick II獲取到哈希值後，可以帶回至法證實驗室，利用穹舉、字典或彩虹表方式攻擊。配合高性能GPU運算系統，可以快速計算出口令。
	Apple Key chain 獲取 - 類似於Windows的註冊表，蘋果機的賬戶、口令保存在key chain中，通過獲取key chain中的口令信息，可進一步通過字典方式對登陸口令進行攻擊
b) IT安全管理員/eDiscovery 和執法部門使用 下列插件包含在標準的MacLockPick II 套裝中
	Apple iPhone手機獲取 - 獲取在Windows、Mac OS X系統中，通過Apple Mobile Sync保存的iPhone 或其他設備的數據。可獲得的信息包括(此外還有更多信息)： 打入、打出的電話記錄、日期時間 In接收、發送的短信息，包含電話號碼、姓名、短信內容、日期、時間 IMEI - (The International Mobile Equipment Identity ) TMSI - （Temporary Mobile Subscriber Identity"） IMSI - An International Mobile Subscriber Identity 快速撥號 - 快速撥號中設定的姓名和電話 Safari State Documents - Safari瀏覽器打開的頁面 Safari History - Safari瀏覽器訪問過的頁面 Safari Bookmarks - 所有收藏的地址 記事本記錄的便簽 通訊錄，聯繫人，包含每個聯繫人的撥叫紀錄 郵箱設置信息 其他....
	剪貼板 - 很多時候嫌疑人會不小心在剪貼板中保留有重要的信息。可獲取保存在剪貼板中的文本或圖像。所有發現的文本都將保存於日誌報告中。所有圖像都將自動轉為JPEG格式並保存於日誌目錄中。
	Firefox - 創建嫌疑人使用Firefox 2 或 3版的分析記錄。包含如下信息（還有更多信息為盡述） 收藏夾中的收藏網站 歷史記錄 - 網站訪問記錄 Cookies 下載記錄 - 下載的URL地址和文件名 自動表單 - 自動記錄的名稱、地址、及其他信息
	Internet Explorer - 創建IE分析記錄 收藏夾中的收藏網站 歷史記錄 - 網站訪問記錄 Cookies 下載記錄 - 下載的URL地址和文件名
	Network - 分析嫌疑計算機的局域網信息，包含 ARP tables、 interfaces 和netstat activity.
	進程 - 列出當前計算機中的所有進程。可以判斷、發現某些惡意程序或特殊工具的使用。
	Apple Safari - 創建Safari瀏覽器的記錄 收藏夾中的收藏網站 歷史記錄 - 網站訪問記錄 Cookies 下載記錄 - 下載的URL地址和文件名
	截屏 - 獲取並保存嫌疑計算機的當前屏幕狀態
	Skype - 創建Skype使用記錄 VoIP 電話記錄，包含姓名和電話號碼 聊天記錄，包含聊天人的名稱、聊天內容和日期時間 SMS 短信息，包含名稱、電話，短信內容 文件傳送記錄 好友列表，包括從其他系統導入的地址信息 其他....
	系統信息 - 嫌疑計算機的硬件信息 用戶名 計算機名稱 操作系統m 系統序列號 處理器 RAM 型號 UUID 時區 國家代碼 其他
	USB 閃存歷史記錄
	Windows 註冊表 - This module will extract all settings from the registry on Microsoft Windows systems.

II. MacLockPick II套件包含內容：

1. 硬件

The MacLockPick II 帶有一個2GB閃存，即屬於加密鎖，又可以保存程序、保存日誌和報告，並可以保存從嫌疑計算機中獲取的數據。 2 GB 31.3mm x 12.4mm x 3.4mm 防震防水 USB2.0 30MB/秒 Mac OS X, Windows, Linux 兼容 格式化為 FAT32，是唯一支持所有操作系統的分區格式。

2. 軟件

MacLockPick II 包含有 5 各程序，2個文件和 3 個特定目錄。每一個程序有兩個版本，一個是 Microsoft Windows版本，另一個是 Mac OS X 版本(同時支持 PowerPC 和Intel架構蘋果機)。

小結：

看了MacLockpic II的功能，真的覺得功能是太強大了。和最早的一代相比，強出了太多。特別是實現了一個工具在三個平台下使用，且側重了系統口令、註冊表、上網紀錄，還有iPhone。等拿到測試版給大家演示一下。作者Marko很厲害，算是一套很替鑑識人員省工的工具阿~

文章轉自計算機取證技術

關於netcut v2 程式

轉 微風
http://bbs.wefong.com/viewthread.php?tid=1713548&pid=23035628&page=1&extra=page%3D1#pid23035628

首先，萊因哈特必須先作兩點聲明，本文內容涉及ARP通訊協定運作原理，倘若您看不懂本文，請先自我充實。其次，本文內容無涉如何反制netcut，有心者請止步。謝謝！




一‧前言

本測試的目的在於觀察netcut v2的運作模式，藉此了解是否在個人電腦上單靠個人防火牆，或是利用arp –s指令鎖住重要的ARP table特定項目內容，即可獲得免疫的效果。


二‧測試環境

攻擊端：Microsoft Windows 2003 SP2主機，在個人防火牆部分，僅啟動系統內建防火牆功能。

被攻擊端1：Microsoft Windows 2000 SP4主機，無個人防火牆保護。本機功用在於觀察netcut的行為模式。

被攻擊端2：Microsoft Windows XP SP2工作站，個人防火牆採用COMODO Firewall Pro v3.0.14.276。本機功用在於測試個人防火牆能否阻擋netcut攻擊，並作為測試netcut自我防護功能時的攻擊端。

攻擊軟件：netcut v2.08

監聽側錄軟體：Sniffer Portable v4.90.104(MR4)

本測試之基本架構如下圖所示，只是在單純的區域網路上，利用一台Windows 2003主機及一台Windows XP SP2工作站充當攻擊端及被攻擊端，基於測試及側錄netcut封包的目的，萊因哈特在攻擊端及被攻擊端都安裝上netcut及Sniffer Portable程式。


725)this.width=725;" onmousewheel="return imgzoom(this)" border="0">
《圖一》本測試之架構示意圖


三‧測試重點

本測試的觀察重點如下：

1. 觀察netcut的網路行為模式

2. 觀察COMODO對於netcut攻擊的防禦效果

3. 觀察arp –s指令對於netcut攻擊的防禦效果

4. 觀察netcut本身對於同類攻擊的防護效果


四‧測試結果

1. 關於netcut的網路行為模式

首先說明測試的網路環境，攻擊端的IP位址是192.168.1.240，被攻擊端的IP位址為192.168.1.200，至於閘道器的IP位址在192.168.1.254 / 10.1.1.254(因為本身區網分成192.168.1.0及10.1.1.0兩個網段，但閘道皆設在同一台路由器上，因此會有兩個閘道器位址)。

攻擊方法是在攻擊端的netcut主畫面中，先選擇192.168.1.200為攻擊對象，然後點選上方的切斷按鈕進行攻擊。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖二》在netcut主畫面選擇對象再點選切斷按鈕即可發動攻擊

同時間，萊因哈特利用Sniffer Portable的capture功能在攻擊端擷取所有進出封包進行分析，以下即是所探知的netcut攻擊行為模式：

a. 假造一組實體位址(MAC Address / Physical Address)，然後以此位址作為被攻擊端(192.168.1.200)的實體位址，發送一個偽裝的非典型ARP request封包給第一個閘道器(192.168.1.254)。此行為的目的在於欺騙閘道器，使閘道器誤以為真，將本機ARP table上正確的對映位址換成錯誤的對映位址，如此當有封包要傳送給被攻擊端時，都會被送往錯誤的實體位址去，導致被攻擊端不能再收到任何從閘道器送來的封包，直到切斷狀態解除，且ARP table上的對應資料恢復正常為止。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖三》偽裝成被攻擊端(192.168.1.200)向第一個閘道器(192.168.1.254)發送的非典型ARP request封包內容，請注意被Sender’s hardware address是假造的位址

請注意，典型ARP request封包的目的應該是廣播(Broadcast)位址，也就是FF:FF:FF:FF:FF:FF，並非單一主機的實體位址。下圖是正常ARP request的封包截圖，請自行對照與上圖的封包目的位址有何不同。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖四》這是典型ARP request封包的內容，請特別注意目的位址(Dest Address / Destination)欄顯示的是廣播位址，不是單一實體位址

b. 利用該假造位址作為第一個閘道器(192.168.1.254)的實體位址，同樣發送一個偽裝的非典型ARP request封包給被攻擊端(192.168.1.200)。此行為的目的在於欺騙被攻擊端，使被攻擊端信以為真，將本機ARP table上正確的對映位址換成錯誤的對映位址，如此當有封包要傳送給閘道器時，都會被送往錯誤的實體位址去，導致閘道器不能再收到任何從被攻擊端送來的封包，直到切斷狀態解除，且ARP table上的對應資料恢復正常為止。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖五》偽裝成第一個閘道器(192.168.1.254)向被攻擊端(192.168.1.200)發送的非典型ARP request封包內容，請注意Sender’s hardware address是假造的位址

由於在本測試環境中有兩個網段，netcut會依樣畫葫蘆用相同的假位址為被攻擊端(192.168.1.200)的實體位址，發送一個偽裝的非典型ARP request封包欺騙第二個閘道器(10.1.1.254)，使被攻擊端不能再收到從第二個閘道器傳來的封包，直到切斷狀態解除，且ARP table上的對應資料恢復正常為止。注意，若是僅有單一網段，則不會出現第三及第四個偽造的ARP request封包。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖六》偽裝成被攻擊端(192.168.1.200)向第二個閘道器(10.1.1.254)發送的非典型ARP request封包內容，請注意Sender’s hardware address是假造的位址

再一次利用相同手法，偽裝成第二個閘道器(10.1.1.254)，發送一個非典型ARP request封包給被攻擊端(192.168.1.200)，使第二個閘道器不能再收到從被攻擊端傳來的封包，直到切斷狀態解除，且ARP table上的對應資料恢復正常為止。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖七》偽裝成第二個閘道器(10.1.1.254)向被攻擊端(192.168.1.200)發送的非典型ARP request封包內容，請注意Sender’s hardware address是假造的位址

當被欺騙端收到傳來的ARP request封包後，會按照ARP通訊協定的運作原理，將自身的實體位址填入封包，並回傳給發送ARP request封包的主機，這種封包稱為ARP reply。由於上述的ARP request並非由表頭記載的發送端所發送，而且發送端實體位址也是假造的，因此這些ARP reply封包並不會真的傳送到另一方手裡，而是回到netcut攻擊主機手上。以下四個封包都是被欺騙端回傳的ARP reply封包，請恕萊因哈特不再贅言。

這是被攻擊端(192.168.1.200)回傳給第一個閘道器(192.168.1.254)的ARP reply封包。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖八》被攻擊端(192.168.1.200)回傳給第一個閘道器(192.168.1.254)的ARP reply封包，請注意Target hardware address是假造的位址，代表被攻擊端的ARP table內容已經被篡改

接著是第一個閘道器(192.168.1.254)回傳給被攻擊端(192.168.1.200)的ARP reply封包。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖九》第一個閘道器(192.168.1.254)回傳給被攻擊端(192.168.1.200)的ARP reply封包，請注意Target hardware address是假造的位址，代表第一個閘道器的ARP table內容已經被篡改

再來是被攻擊端(192.168.1.200)回傳給第二個閘道器(10.1.1.254)的ARP reply封包。注意，若是僅有單一網段，則不會出現第三及第四個ARP reply封包。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖十》被攻擊端(192.168.1.200)回傳給第二個閘道器(10.1.1.254)的ARP reply封包，請注意Target hardware address是假造的位址，代表被攻擊端的ARP table內容已經被篡改

最後是第二個閘道器(10.1.1.254)回傳給被攻擊端(192.168.1.200)的ARP reply封包。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖十一》第二個閘道器(10.1.1.254)回傳給被攻擊端(192.168.1.200)的ARP reply封包，請注意Target hardware address是假造的位址，代表被攻擊端的ARP table內容已經被篡改

因此，netcut的攻擊手法就是交互發送偽造的非典型ARP request封包到被攻擊端與閘道器，使兩者的ARP table記錄下錯誤位址而達成截斷兩者間封包傳送的目的，而且萊因哈特發現，netcut會持續變造實體位址，並且不斷發送偽造的ARP request封包，直到netcut使用者下達恢復連線的指令為止。根據相關封包的Relative Time顯示，其變造實體位址並發送偽造ARP request封包的頻率接近每秒一次。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖十二》netcut所發送的偽造ARP request封包一覽，請特別注意Source Address所顯示的位址有何規律性

netcut頻繁更換實體位址的原因何在？個人猜測可能是為了避免網管人員憑藉少數封包就追查到這些假造實體位址的偽造封包來源，並且加以封鎖。不過，經過反覆監聽後發現，其實netcut假造實體位址的法則並非無跡可尋，例如在第一個攻擊封包裡，假造的實體位址是以62開頭，後續的假造位址也將是以62開頭，接著改用63、64、65等等，以此類推，因此只要分析相當數量的攻擊封包，就不難發現它的規律性，此時再利用分段隔離的原則進行監聽過濾，還是可以追查出這些偽造封包的來源。


2. 關於COMODO對於netcut攻擊的防禦效果

首先來看看COMODO Firewall Pro對於ARP Spoofing攻擊有什麼設定選項。在COMODO FirewallPro>Firewall>Advanced>Attack Detection Settings功能設定畫面中，發現有Protect the ARP cache及Block Gratuitous ARP frames等兩個關於ARP防護的設定項目，由於要測試COMODO Firewall Pro對於ARP Spoofing攻擊的防禦能力，因此萊因哈特把這兩個防禦功能全都啟動。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0">
《圖十三》COMODO Firewall Pro具有Anti-Spoofing的功能選項

接著直接來測試netcut攻擊能否突破COMODO Firewall Pro的防護吧！只要執行命令提示字元(也就是所謂的DOS視窗)，在發動攻擊前先執行arp –a指令列出正確的ART table內容，待發動攻擊後再執行同樣指令，兩相對照就能看出COMODO Firewall Pro的防護效果如何。在正常狀況下，閘道器的對映位址應該是永恆不變的，可是我們從下圖可以發現，前後兩次所列出的閘道器位址192.168.1.254及10.1.1.254，它所對映的實體位址已經被置換，而此時原先持續在PING Yahoo首頁的DOS視窗也變成滿滿的Request timed out訊息，這就證明了COMODO Firewall Pro對於netcut攻擊根本束手無策。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0">
《圖十四》從攻擊前後的ARP table可以看出，COMODO Firewall Pro根本無阻檔netcut篡改對映資料的攻擊手法

其實，打從得知netcut的行為模式開始，萊因哈特就警覺到個人防火牆對於netcut攻擊可能無力抵擋，因為即使個人防火牆可以鎖住本機ARP table的內容不被置換，也無法阻止netcut篡改閘道器上ARP table內容的惡質行為，只要閘道器上的對映位址不正確，造成被攻擊端完全無法再從閘道器收到任何封包，同樣會讓被攻擊端電腦無法正常連網。

很慶幸自己不是用COMODO Firewall Pro嗎？先別高興得太早，因為根據上述原因，不管你用的哪一套個人防火牆，都註定無法在netcut的攻擊下存活，除非你能把閘道器的ARP table內容鎖死不讓修改。


3. 觀察arp –s指令對於netcut攻擊的防禦效果

既然COMODO Firewall Pro無法鎖死ARP record，那麼自行下達arp –s指令鎖住又如何呢？

萊因哈特在本機開啟一個DOS視窗，下了兩行指令鎖住閘道器的對映資料：

arp –s 192.168.1.254 00-09-0f-0a-cd-88

以及

arp –s 10.1.1.254 00-09-0f-0a-cd-88

接著跑一次arp –a指令，確定已經成功加入兩筆型態是static的ARP record在ARP table中，然後再開一個DOS視窗持續PING Hinet首頁，最後在攻擊端執行netcut對本機發動攻擊。

很顯然，arp –s指令可以成功抵擋住netcut欺騙本機意圖修改ARP table的行為，因為閘道器的記錄始終聞風不動，不過這時已經PING不通Hinet首頁，證明只要閘道器上的ARP table沒有被妥善保護，就依然會發生封包傳輸錯誤的問題而導致連線中斷。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0">
《圖十五》下達arp –s指令後，無論netcut如何攻擊，10.1.1.254及192.168.1.254這兩筆閘道器的ARP record絲毫不受影響

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0">
《圖十六》沒有保護好閘道器上的ARP table，依然會發生連線中斷的現象


4. 關於netcut本身對於同類攻擊的防護效果

眼尖的使用者可能會發現，在netcut主畫面的左上方有一個保護我的電腦的功能選項，而且預設就是啟動狀態，那麼是不是只要啟動這項功能就可以保護自身不被同類攻擊造成斷線呢？在回答這個問題以前，我們先來分析一下它究竟在做什麼事情。

在側錄分析這些攻擊封包的時候，萊因哈特發現它同時也會持續發送包含正確實體位址的非典型ARP request封包給閘道器192.168.1.254及10.1.1.254，而且發送頻率為固定每秒一次。這種設計的用意，應該是想利用定時為閘道器ARP table更新正確資料的方式，去確保閘道器的封包能夠正確傳送到攻擊端，不過，這只是單一方向的防護措施，是否意味它也會保護本機的ARP table內容不被置換呢？且來測試看看吧！

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖十七》netcut的自我防護功能，採用的依然是發送非典型ARP request封包給閘道器的方法，只是這回封包裡的位址是正確無誤的

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0" width="725">
《圖十八》請注意上圖出現兩筆192.168.1.254的資料，上方實體位址為1E:69:34:45:23:54者為假資料，下方實體位址為00:09:0F:0A:CD:88者為真資料，顯然netcut會將正確的閘道器位址儲存起來，因此儘管其他應用程式被欺騙，netcut卻能將自我保護的ARP request封包傳送到正確的位址去

為了證明它是否具備前述的防護功能，我們改從被攻擊端執行netcut對攻擊端發動切斷攻擊，同時利用arp –a指令觀察攻擊前後的ARP table內容是否會被篡改。很不幸的，netcut根本無法阻擋本機的ARP table內容被置換，因此，即使它依然能夠持續發送包含正確位址的ARP request到閘道器，使閘道器的ARP table內容得以糾正，卻也因為本身的ARP table被篡改，造成netcut以外的應用程式封包都被傳送到錯誤位址去，在這種情況下，原先的攻擊端就變得無法正常連線了。

725)this.width=725;" onmousewheel="return imgzoom(this)" border="0">
《圖十九》請注意攻擊前後10.1.1.254及192.168.1.254兩個位址的Physical Address變化，就算已經啟動自我保護，netcut依然擋不住本機的ARP table被篡改而淪陷

既然netcut主機被別人發動同類攻擊，導致netcut以外的應用程式封包，再也無法將封包傳送到正確的閘道位址，那麼這時netcut主機還能切斷別人的連線嗎？答案是肯定的，因為在預設狀態下，他人的同類攻擊只是截斷netcut主機與閘道器間的封包傳輸，並未切斷netcut主機與同網段其他電腦間的通路，因此，netcut主機的攻擊封包還是可以送達其他電腦，造成這些被攻擊電腦的ARP table對映位址不正確而斷線。


五‧結論

經過前面的一連串測試，我們可以得到以下結論：

1. netcut 的攻擊手法就是交互發送偽造的非典型ARP request封包到被攻擊端與閘道器，使兩者的ARP table記錄下錯誤位址而達成截斷兩者間封包傳送的目的

2. netcut 在發動切斷攻擊時，約莫每秒鐘就會變更一次實體位址並發送欺騙封包進行持久攻擊，直到接獲恢復指令為止。

3. 由於netcut會分別攻擊閘道器及被攻擊端，因此在單一主機上安裝個人防火牆，或在單一主機上利用arp –s指令鎖住ARP table內容，同樣無法阻止連線中斷的情形發生。

4. 即使啟動netcut的自我保護功能，攻擊端電腦一旦遭受同類攻擊，同樣無法抵擋，顯然這是程式作者始料未及的事情。

5. 要追蹤netcut攻擊封包的來源雖非易事，不過也並非天方夜譚，只要分析出實體位址的造假規則，然後利用分段隔離的方法進行追蹤即可；若是使用具備網管功能的高階交換器，管理者甚至能夠利用實體位址的造假規則，直接在交換器上查出攻擊封包的來源並且加以封鎖。

最後，請不要忘記netcut不單可以用來截斷被攻擊端與閘道器間的連線，也可以截斷被攻擊端與DHCP主機、AD主機，甚至與網路上任何一台主機的連線，因此攻擊手法並非只有一種，可別以為只要顧好本機與閘道器就可以高枕無憂。假如你在自動分派IP位址的網路，發生跟DHCP伺服器失連的情形，照樣會讓你氣得七竅生煙的。

Rainbow Hash Table 與密碼破解

跨平台密碼破解器Ophcrack的破解速度簡直是不可思議。到底有多快呢？它能在160秒內破解『Fgpyyih804423』這個密碼。很多人都認為這個密碼已經相當安全了，例如微軟的密碼強度檢查工具認為該密碼的安全級別是

「強」；而Geekwisdom密碼強度測量工具認為該密碼的安全強度是「普通」。

Ophcrack的破解速度為什麼會這麼快呢？這是因為它使用了Rainbow Tables，我說的可不是天上的那種彩虹。

不過，Rainbow Tables也是很美的。

要想理解Rainbow Tables的工作原理，首先你得明白電腦是如何儲存密碼的，不管是在你自己用的桌上型電腦還是在遠端的網路伺服器那裡。

一般而言，密碼決不會儲存在純文字檔案中。至少我們不應該這麼做，除非你用的是世界上最幼稚的程式，而且你的目的就是構建世界上最不安全的系統。實際上，我們應當用雜湊(Hash)函數的輸出值來儲存密碼。雜湊是不可逆(單向)運算，即使攻擊者能夠讀取密碼的雜湊表，他也不可能僅僅透過那個雜湊表來重建密碼。

但是攻擊者可以用Rainbow Hash Tables來攻擊密碼的雜湊表：透過龐大的、針對各種可能的字母組合，預先計算好其雜湊值。雖然攻擊者也可以即時計算雜湊值，但是利用這個預先算好的龐 大雜湊表，顯然能夠使攻擊的速度快上無數倍——假設攻擊機器有足夠的記憶體來載入整個表格(或至少是大部分)，這就是個很典型的時間-記憶體取捨問題 (time-memory trade-off)，尤其是駭客更傾向於使用這種捷徑。

Rainbow Tables有多龐大呢？Ophcrack的預設安裝畫面會讓你有個大致上的概念：

產生這些龐大的Rainbow Tables需要花很長時間，但是一旦完成，每個發動攻擊的電腦破解密碼能力都將大幅增強。

現有最小Rainbow Tables涵蓋了最基本的英文字母及數字，光這樣它的大小就有388MB。這是Ophcrack開機光碟預設使用的雜湊表。但即使這個最小的表格也具有相當的效力。我曾用它來攻擊一個Windows XP虛擬機器上的密碼，結果如下：

	能找到?	花費秒數
Password1!		700
Fgpyyih804423	yes	159
Fgpyyih80442%		700
saMejus9	yes	140
thequickbrownfoxjumpsoverthelazydog		700

當然，用這種最小的Rainbow Tables無法破解那種帶有特殊字元的密碼(比如%&^$#)，因為表格里根本沒有包含這些字元。你可能也注意到了那些passphrase (我特別鍾愛使用它們)，由於本身的長度關係，passphrase對此項技術是免疫的。但是，話又說回來了，該攻擊可以在11分鍾內破解所有14位元數 字及英文字密碼組合中的99.9%，這還是用了最小的Rainbow Tables。表格越大、越完整，攻擊破解能力越強。Ophcrack檔案描述了它所能使用的Rainbow Tables之間的差異：

數字及英文字母表格(10k) 388MB 包含所有英文字母及數字混合密碼中99.9%的LanManager表，由於LanManager會將密碼拆成兩組7個字元的設計，長度1~14個字的密 碼都可以用這個表格破解，而且LanManager的雜湊不分大小寫，這個表格中所含的800億個雜湊值可用以破解2的83次方種密碼組合）。

數字及英文字母表格(5k) 720MB 包含所有英文字母及數字組合的密碼中99.9%的LanManager表。但是，由於表格變成2倍大，如果你的電腦有1GB以上的記憶體空間的話，它的破解速度是前一個的4倍。

延伸表格 7.5GB 包含最長14個大小寫字母、數字以及下列33個特殊字元(!"#$%&'()*+,-./:;<=>?@[\]^_`{|} ~)組成的LanManager雜湊表中的96%密碼。該表格中大約有7兆種的組合，可以涵蓋5*10的12次方(或2的92次方)種密碼。

NT 8.5 GB 當LanManager雜湊被停用時，我們可以使用此表格來破解電腦上的NT雜湊表。該表包含了以下組合中的90%密碼：

•長度1~6，由大小寫字母、數字以及33個特殊字元組合的密碼
•長度為7，由大小寫字母及數字組成的密碼
•長度為8，由小寫字母及數字組成的密碼

該表格包含7兆種組合，亦對應7兆種密碼（NT雜湊表不存在LanManager雜湊表的弱點）。

需要注意的是，所有這些Rainbow Tables都有其特定適用的密碼長度和字母組合。太長的密碼，或者用了表格中沒有的字元，那麼用Rainbow Tables就無法破解。

不幸的是，由於舊式LanManager雜湊表不可原諒的缺點，Windows伺服器特別容易被Rainbow Tables攻擊。令我吃驚的是，Windows Server 2003在預設狀態下竟然還支援那些舊式Lan Manager雜湊表。我強烈建議大家停用Lan Manager雜湊表，尤其是在那些儲存所有使用者認證的伺服器上(如 DC)。雖然這將對你的Windows 98使用者造成很大的不便，但是我覺得為了提高安全性，這麼做是值得的。

我聽說明年發佈的Windows Server 2008會將LanManager雜湊表去掉。Windows Vista已經不支援持這些過時的雜湊表了。在Vista系統中執行OphCrack的話結果請看下列對話方塊：

All LM hashes are empty. Please use NT hash tables to crack the remaining hashes.

對某些人而言，Ophcrack可能彈性不足，像是它不允許你自己產生Rainbow Tables，因此，你得用Project Rainbow Crack， 該工具能用來破解幾乎所有字母組合以及任何雜湊演算法。但你得當心，Rainbow Tables攻擊最近才盛行的原因是由於電腦的2~4GB記憶體最近才降到了讓人能接受的價格。我想說的是這些表格很龐大，對於攻擊安全性更高的NT雜湊 表所需的Rainbow Tables大小如下：

字元集	長度	表格大小
ABCDEFGHIJKLMNOPQRSTUVWXYZ	14	0.6 GB
ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789	14	3 GB
ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!@#$%^&*()-_+=	14	24 GB
ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789 !@#$%^&*()-_+=~`[]{}|\:;"'<>,.?/	14	64 GB

用Rainbow Tables對付桌上型電腦有點殺雞用牛刀，如果駭客能接觸實體主機，那麼就沒有任何安全性可言了，這是不變的10項電腦安全法則中的第3條。一旦駭客可以存取實體主機，那麼他可以用很多工具來重設密碼。

但是如果駭客從遠端伺服器或資料庫獲得大量密碼雜湊表，我們就有麻煩了，這種情況下，遭受Rainbow Tables攻擊的風險非常大。因此你決不能只依靠雜湊技術——你必須給雜湊表加些花樣(Salting)，這樣得到的雜湊值就與眾不同了。給雜湊表加花 樣，聽起來很複雜，但其實很簡單。在產生雜湊表之前，給密碼加個唯一的值即可：

hash = md5('deliciously-salty-' + password)

這樣，攻擊者就無法用Rainbow Tables來攻擊你了——「密碼」和「deliciously-salty」產生的雜湊結果是不匹配的。除非駭客能知道你所選用的值，即使真的知道，他 也得專門針對你的機器產生一個專屬的Rainbow Tables。(編輯：資安之眼)

資安專家 Thomas Ptacek 針對這篇文章提出了更多深入的探討，我推薦大家能前往閱讀。

出處:

Jeff Atwood, Coding Horror

清除「頑固不化」病毒進程的小技巧

閱讀提示：筆者在這裡為大家提供兩則小技巧，以便幫你強行殺死「頑固不化」的病毒進程。
筆者在這裡為大家提供兩則小技巧，以便幫你強行殺死「頑固不化」的病毒進程。

根據進程名查殺

這種方法是通過WinXP系統下的taskkill命令來實現的，在使用該方法之前，首先需要打開系統的進程列表界面，找到病毒進程所對應的具體進程名。

接 著依次單擊「開始→運行」命令，在彈出的系統運行框中，運行「cmd」命令；再在DOS命令行中輸入「taskkill /im aaa」格式的字符串命令，單擊回車鍵後，頑固的病毒進程「aaa」就被強行殺死了。比方說，要強行殺死「conime.exe」病毒進程，只要在命令提 示符下執行


taskkill /im conime.exe



命令，要不了多久，系統就會自動返回結果。
根據進程號查殺

上 面的方法，只對部分病毒進程有效，遇到一些更「頑固」的病毒進程，可能就無濟於事了。此時你可以通過Win2000以上系統的內置命令——ntsd，來強 行殺死一切病毒進程，因為該命令除System進程、SMSS.EXE進程、CSRSS.EXE進程不能「對付」外，基本可以對付其它一切進程。但是在使 用該命令殺死病毒進程之前，需要先查找到對應病毒進程的具體進程號。

考慮到系統進程列表界面在默認狀態下，是不顯示具體進程號的，因 此你可以首先打開系統任務管理器窗口，再單擊「查看」菜單項下面的「選擇列」命令，在彈出的設置框中，將「PID（進程標誌符）」選項選中，單擊「確定」 按鈕。返回到系統進程列表頁面中後，你就能查看到對應病毒進程的具體PID了。

接著打開系統運行對話框，在其中運行「cmd」命令，在命令提示符狀態下輸入


ntsd -c q -p PID



命令，就可以強行將指定PID的病毒進程殺死了。例如，發現某個病毒進程的PID為「444」，那麼可以執行

ntsd -c q -p 444



命令，來殺死這個病毒進程。

轉自賽迪網