harelsegev/prefetch-hash-crackerBrute-force tool che recupera i percorsi completi degli eseguibili dagli hash di prefetch di Windows utilizzando file corpo, supportando le funzioni hash di XP, Vista e 2008 per l'analisi forense.
Durante l'analisi forense di una macchina Windows, potresti trovare il nome di un file prefetch cancellato. Sebbene il suo contenuto potrebbe non essere recuperabile, il nome del file stesso è spesso sufficiente per trovare il percorso completo dell'eseguibile per cui il file prefetch è stato creato.
I seguenti campi devono essere forniti:
Nome eseguibile
Inclusa l'estensione. Sarà incorporato nel nome del file prefetch, a meno che non accada questo.
Hash prefetch
8 cifre esadecimali alla fine del nome del file prefetch, subito prima dell'estensione .pf.
Funzione di hash
Bodyfile
Punto di mount
Ci sono 3 funzioni di hash prefetch conosciute:
SCCA XP
Usata in Windows XP
SCCA Vista
Usata in Windows Vista e Windows 10
SCCA 2008
Usata in Windows 7, Windows 8 e Windows 8.1
Un bodyfile del volume da cui l'eseguibile è stato eseguito.
Il formato del bodyfile non è molto restrittivo, quindi ci sono molte varianti - alcune delle quali non sono supportate. I bodyfile creati con fls e MFTECmd dovrebbero funzionare correttamente.
Il punto di mount del bodyfile, come sottolineato di seguito:
0|C:/Users/Peter/Desktop ($FILE_NAME)|62694-48-2|d/d-wx-wx-wx|...Il bodyfile fornito viene utilizzato per ottenere il percorso di ogni cartella sul volume. Lo strumento aggiunge il nome dell'eseguibile fornito a ciascuno di questi percorsi per creare un elenco di possibili percorsi completi per l'eseguibile. Ogni possibile percorso completo viene quindi sottoposto a hash utilizzando la funzione di hash fornita. Se esiste un possibile percorso completo per cui il risultato corrisponde all'hash fornito, quel percorso viene restituito.
I seguenti casi non sono supportati:
svchost.exe e mmc.exe/prefetch:#Se il nome dell'eseguibile è più lungo di 29 caratteri (inclusa l'estensione), verrà troncato nel nome del file prefetch. Ad esempio, eseguendo questo file:
This is a very long file nameSo this part will be truncated.exe
Dalla directory C:\Temp su una macchina Windows 10, si otterrà la creazione di questo file prefetch:
THIS IS A VERY LONG FILE NAME-D0B882CC.pf
In questo caso, il nome dell'eseguibile non può essere ricavato dal nome del file prefetch, quindi non sarà possibile fornirlo allo strumento.