imago-forensics 🕵️

Imago ist ein Python-Werkzeug, das rekursiv digitale Beweise aus Bildern extrahiert. Dieses Werkzeug ist während einer digitalen Forensik-Untersuchung nützlich. Wenn Sie digitale Beweise extrahieren müssen und viele Bilder haben, können Sie diese mit diesem Werkzeug einfach vergleichen. Imago ermöglicht es, die Beweise in eine CSV-Datei oder in eine SQLite-Datenbank zu extrahieren. Falls in einem JPEG-Exif GPS-Koordinaten vorhanden sind, kann Imago Längen- und Breitengrade extrahieren und in Grad umwandeln sowie relevante Informationen wie Stadt, Land, Postleitzahl abrufen... Imago bietet auch die Möglichkeit, eine Error-Level-Analyse durchzuführen und Nacktheit zu erkennen – diese Funktionen befinden sich im BETA-Stadium.

Einrichtung

Einrichtung via pip

1. Imago installieren:

$ pip install imago

2. Nach der Installation sollte ein neues Binärprogramm verfügbar sein: :

$ imago 

Und dann sollte das Imago-Banner ausgegeben werden.

Voraussetzungen:

python 2.7
exifread >= 2.1.2
python-magic >= 0.4.15
argparse >= 1.4.0
pillow >= 5.2.0
nudepy >= 0.4
imagehash >= 4.0
geopy >= 1.16.0

Verwendung

usage: imago.py [-h] -i INPUT [-x] [-g] [-e] [-n] [-d {md5,sha256,sha512,all}]
                [-p {ahash,phash,dhash,whash,all}] [-o OUTPUT] [-s]
                [-t {jpeg,tiff}]

optional arguments:
  -h, --help            show this help message and exit
  -i INPUT, --input INPUT
                        Input directory path
  -x, --exif            Extract exif metadata
  -g, --gps             Extract, parse and convert to coordinates, GPS exif
                        metadata from images (if any)It works only with JPEG.
  -e, --ela             Extract, Error Level Analysis image,It works only with
                        JPEG. *BETA*
  -n, --nude            Detect Nudity, It works only with JPEG, *BETA*
  -d {md5,sha256,sha512,all}, --digest {md5,sha256,sha512,all}
                        Calculate perceptual image hashing
  -p {ahash,phash,dhash,whash,all}, --percentualhash {ahash,phash,dhash,whash,all}
                        Calculate hash digest
  -o OUTPUT, --output OUTPUT
                        Output directory path
  -s, --sqli            Keep SQLite file after the computation
  -t {jpeg,tiff}, --type {jpeg,tiff}
                        Select the image, this flag can be JPEG or TIFF, if
                        this argument it is not provided, imago will process
                        all the image types(i.e. JPEG, TIFF)

Das einzige erforderliche Argument ist -i, das das Basisverzeichnis angibt, von dem aus Imago mit der Suche nach Bilddateien beginnt. Sie sollten außerdem mindestens eine Extraktionsart angeben (z. B. exif, data, gps, digest).

Beispiel:

$ imago -i /home/solvent/cases/c23/DCIM/ -o /home/solvent/cases/c23/ -x -s -t jpeg -d all

Wobei:

• -i Pfad: das Basisverzeichnis, in dem Imago nach Dateien suchen wird
• -o Pfad: das Ausgabeverzeichnis, in dem Imago die CSV-Datei mit den extrahierten Metadaten speichert
• -x : Imago wird EXIF-Metadaten extrahieren.
• -s: die temporäre SQLite-Datenbank wird nach der Verarbeitung nicht gelöscht.
• -t jpeg: Imago wird nur nach JPEG-Bildern suchen.
• -d all: Imago wird md5, sha256, sha512 für die JPEG-Bilder berechnen.

Funktionen:

ToDo:

📑 Urheberrecht und Lizenzen

Code-Urheberrecht 2018 Redaelli. Code veröffentlicht unter der MIT-Lizenz.