ryandfir/hindsightHerramienta de análisis forense de navegadores para Google Chrome, otros navegadores basados en Chromium y Mozilla Firefox
HindsightForense de historial de Internet para Google Chrome/Chromium y Mozilla Firefox
Hindsight es una herramienta gratuita para analizar artefactos web. Comenzó con el historial de navegación del navegador Google Chrome, se ha ampliado para admitir otras aplicaciones basadas en Chromium y ahora también analiza perfiles de Mozilla Firefox. Hindsight puede analizar varios tipos de artefactos web, incluidos URL, historial de descargas, registros de caché, marcadores, registros de autocompletado, contraseñas guardadas, preferencias, extensiones de navegador, cookies HTTP y registros de Local Storage (cookies HTML5). Una vez que los datos se extraen de cada archivo, se correlacionan con datos de otros archivos de historial y se colocan en una línea de tiempo.
Para perfiles de Firefox, Hindsight analiza places.sqlite (visitas del historial, marcadores y descargas), cookies.sqlite y formhistory.sqlite. Seleccione "Firefox" en la GUI o pase -b Firefox en la línea de comandos, apuntando a un directorio de perfil como \[userdir]\AppData\Roaming\Mozilla\Firefox\Profiles\<profile>.
Tiene una interfaz web sencilla: para iniciarla, ejecute "hindsight_gui.py" (o en Windows, el "hindsight_gui.exe" empaquetado) y visite http://localhost:8080 en un navegador:
El único campo que debe completar es "Profile Path". Esta es la ubicación del perfil de Chrome que desea analizar (las rutas de perfil predeterminadas para los diferentes sistemas operativos se enumeran al final de esta página). Haga clic en "Run" y se le llevará a la página de resultados, donde podrá guardar los resultados en una hoja de cálculo (u otros formatos).
Para instalar Hindsight (tanto la herramienta de línea de comandos como la interfaz web), haga:
pip install pyhindsight
pip install git+https://github.com/cclgroupltd/ccl_chromium_reader.git
Si desea utilizar la función "View SQLite DB in Browser" en la interfaz web de Hindsight, deberá ejecutar otro comando de instalación:
curl -sSL https://raw.githubusercontent.com/RyanDFIR/hindsight/main/install-js.sh | sh
También hay una versión de línea de comandos de Hindsight: hindsight.py o hindsight.exe. La guía del usuario en la carpeta de documentación cubre muchos temas, pero la información a continuación debería ayudarle a comenzar con la versión de línea de comandos:
Ejemplo de uso: > C:\hindsight.py -i "C:\Users\Ryan\AppData\Local\Google\Chrome\User Data\Default" -o test_case
Opciones de línea de comandos:
| Opción | Descripción |
|---|---|
| -i or --input | Ruta a un perfil de navegador, o a un directorio padre para buscar perfiles de forma recursiva |
| -o or --output | Nombre del archivo de salida (sin extensión) |
| -f or --format | Formato de salida (el predeterminado es XLSX, otras opciones son SQLite y JSONL) |
| -c or --cache | Ruta al directorio de caché; solo es necesario si el directorio está fuera del directorio "input" dado. Los sistemas Mac están configurados de esta manera de forma predeterminada. |
| -b or --browser_type | Forzar un navegador para cada perfil: Chrome, Edge, Brave, Vivaldi, Firefox o Tor (no distingue mayúsculas de minúsculas; Chromium es un alias de Chrome). Omitir para detectar automáticamente cada perfil. |
| -l or --log | Ubicación en la que Hindsight debe registrar (se añadirá si existe) |
| --log-level | Cuánto detalle escribir en el registro: debug, info (el predeterminado), warning o error. Use debug al informar de un error |
| -h or --help | Muestra estas opciones y las ubicaciones predeterminadas de datos de Chrome |
| -t or --timezone | Zona horaria de visualización para las marcas de tiempo en la salida XLSX |
| --only or --artifacts | Analizar solo estos artefactos (separados por comas; repetible) |
| --skip or --exclude | Analizar todo excepto estos artefactos (separados por comas; repetible) |
| --list-artifacts | Imprimir los nombres de artefactos aceptados por --only y --skip, y salir |
Cuando la entrada contiene perfiles de varios navegadores, omita --browser_type para
dejar que Hindsight detecte cada perfil por separado. Use la anulación solo cuando pretenda
tratar cada perfil descubierto como el navegador especificado.
De forma predeterminada, Hindsight analiza todos los artefactos que encuentra. --only y --skip limitan esa selección, lo cual es útil para un triaje rápido y para omitir la caché cuando es grande y no es relevante para la cuestión en cuestión.
hindsight.py -i <profile> --only history,downloads
hindsight.py -i <profile> --skip cache
hindsight.py -i <profile> --only user-activity --skip sessions
Los nombres de los artefactos son neutrales respecto al navegador: history selecciona los registros de URL History de Chrome y los registros de URL de places.sqlite de Firefox, por lo que el mismo comando funciona en cualquiera de los dos. Los nombres no distinguen mayúsculas de minúsculas, y los espacios, guiones bajos y guiones son intercambiables
(local-storage, local_storage y "Local Storage" son el mismo nombre).
Los nombres de grupo se pueden usar en cualquier lugar donde se pueda usar un nombre de artefacto, y seleccionan todo lo que contienen:
user-activity, website-storage, browser-extensions, configuration, además de caches
(todos los artefactos de caché) y all. --only y --skip se pueden combinar, y --skip
restringe aún más --only.
Ejecute hindsight.py --list-artifacts para obtener la lista completa con descripciones y alias.
Un artefacto excluido por un filtro se informa como [ skipped ] durante la ejecución y se anota en
el registro, de modo que un informe que omite un artefacto siga siendo distinguible de un perfil que
nunca lo tuvo. Un nombre no reconocido es un error en lugar de ser ignorado, por lo que un error tipográfico no puede
producir silenciosamente un informe que abarque los artefactos equivocados.
Tenga en cuenta que la detección de versión sigue leyendo los esquemas de la base de datos del perfil, por lo que el filtrado no cambia la versión del navegador detectada.
Las ubicaciones predeterminadas de la carpeta de perfil predeterminada de Chrome son:
Por favor, abra una incidencia si tiene una idea para una nueva función (o ha detectado algo roto).
Consulte CONTRIBUTING.md para saber cómo configurar, ejecutar las dos suites de pruebas y obtener el corpus de perfiles de navegador que analizan las pruebas de extremo a extremo.