harelsegev/prefetch-hash-crackerविंडोज प्रीफ़ेच हैश से पूर्ण निष्पादन योग्य पथों को पुनर्प्राप्त करने वाला ब्रूट-फोर्स टूल, जो bodyfiles का उपयोग करता है और फोरेंसिक विश्लेषण के लिए XP, Vista, और 2008 हैश फ़ंक्शन का समर्थन करता है।
किसी Windows मशीन के फोरेंसिक विश्लेषण के दौरान, आपको कोई हटाई गई प्रीफेच फ़ाइल का नाम मिल सकता है। जबकि इसकी सामग्री पुनर्प्राप्त नहीं हो सकती, फ़ाइल का नाम अक्सर उस निष्पादन योग्य के पूर्ण पथ का पता लगाने के लिए पर्याप्त होता है जिसके लिए प्रीफेच फ़ाइल बनाई गई थी।
निम्नलिखित फ़ील्ड प्रदान की जानी चाहिए:
निष्पादन योग्य नाम
एक्सटेंशन सहित। यह प्रीफेच फ़ाइलनाम में एम्बेड किया जाएगा, जब तक यह न हो।
प्रीफेच हैश
प्रीफेच फ़ाइलनाम के अंत में 8 हेक्साडेसिमल अंक, .pf एक्सटेंशन से ठीक पहले।
हैश फ़ंक्शन
बॉडीफ़ाइल
माउंट पॉइंट
3 ज्ञात प्रीफेच हैश फ़ंक्शन हैं:
SCCA XP
Windows XP में उपयोग किया जाता है
SCCA Vista
Windows Vista और Windows 10 में उपयोग किया जाता है
SCCA 2008
Windows 7, Windows 8 और Windows 8.1 में उपयोग किया जाता है
उस वॉल्यूम की एक बॉडीफ़ाइल जहां से निष्पादन योग्य चलाया गया था।
बॉडीफ़ाइल प्रारूप बहुत प्रतिबंधात्मक नहीं है, इसलिए इसकी कई विविधताएँ हैं - जिनमें से कुछ समर्थित नहीं हैं। fls और MFTECmd से बनाई गई बॉडी फ़ाइलें ठीक काम करनी चाहिए।
बॉडीफ़ाइल का माउंट पॉइंट, जैसा कि नीचे रेखांकित किया गया है:
0|C:/Users/Peter/Desktop ($FILE_NAME)|62694-48-2|d/d-wx-wx-wx|...प्रदान की गई बॉडीफ़ाइल का उपयोग वॉल्यूम पर प्रत्येक फ़ोल्डर का पथ प्राप्त करने के लिए किया जाता है। टूल निष्पादन योग्य के संभावित पूर्ण पथों की एक सूची बनाने के लिए उनमें से प्रत्येक पथ में प्रदान किए गए निष्पादन योग्य नाम को जोड़ता है। फिर प्रत्येक संभावित पूर्ण पथ को प्रदान किए गए हैश फ़ंक्शन का उपयोग करके हैश किया जाता है। यदि कोई संभावित पूर्ण पथ मौजूद है जिसके लिए परिणाम प्रदान किए गए हैश से मेल खाता है, तो उस पथ को आउटपुट किया जाता है।
निम्नलिखित मामले समर्थित नहीं हैं:
svchost.exe और mmc.exe/prefetch:# फ़्लैग के साथ निष्पादित अनुप्रयोगयदि निष्पादन योग्य नाम 29 अक्षरों (एक्सटेंशन सहित) से अधिक लंबा है, तो इसे प्रीफेच फ़ाइलनाम में छोटा कर दिया जाएगा। उदाहरण के लिए, इस फ़ाइल को निष्पादित करने पर:
This is a very long file nameSo this part will be truncated.exe
Windows 10 मशीन पर C:\Temp निर्देशिका से, इस प्रीफेच फ़ाइल का निर्माण होगा:
THIS IS A VERY LONG FILE NAME-D0B882CC.pf
इस मामले में, निष्पादन योग्य नाम प्रीफेच फ़ाइलनाम से प्राप्त नहीं किया जा सकता, इसलिए आप इसे टूल को प्रदान नहीं कर पाएंगे।