dfir-dd/dfir-toolkitWindows 아티팩트의 포렌식 조사를 위한 CLI 도구
[!CAUTION]
DFIR Toolkit이(가) github를 떠납니다이유는?
우리는 모든 인간(여성, 남성, 그 사이와 그 이상의 모든 인간)은 평등하게 태어난다고 믿습니다. 이러한 관점에서 출신지, 언어, 피부색, 종교 또는 그 밖의 어떤 것으로 사람을 판단하는 것은 타당하지 않습니다.
우리는 당신이 누구인지는 당신이 하는 행동으로 만들어진다고 믿습니다. 다른 사람에게 다정하게 대한다면, 그것이 바로 당신입니다. 다른 사람에게 해를 끼친다면, 그것이 바로 당신입니다.
우리는 미국에서 현재 일어나고 있는 일에 대해 우려하고 있습니다. 정부가 법 위에 있다고 생각하는 것이 마음에 들지 않습니다. 정부가 국민을 위해 봉사하지 않고 국민을 위협으로 보는 것도 마음에 들지 않습니다. 하지만 그것은 정치입니다.
Github는 Microsoft의 일부이며, Microsoft는 이 정부를 지지하고 있습니다. 예를 들어, Microsoft는 정치적인 이유로 ICC 위원들의 메일 계정을 차단했습니다. 우리는 계정이 임의로 차단되거나 삭제되는 것을 원하지 않습니다. 따라서 우리는 어떤 방식으로든 Microsoft를 지원하지 않을 것입니다. 그래서 모든 저장소를 github에서 옮길 것입니다.
즐거운 시간이었습니다. 건배.
어디로?
DFIR Toolkit의 새로운 거처는 https://codeberg.org/dfir-dd/dfir-toolkit입니다.
sudo apt install libscca-dev libssl-dev
cargo install dfir-toolkit
셸에 대한 자동 완성 스크립트를 생성하려면 --autocomplete 옵션과 함께 도구를 호출하십시오. 예:
mactime2 --autocomplete bash | sudo tee /etc/bash_completion.d/mactime2
위 명령은 /etc/bash_completion.d/mactime2에 자동 완성 스크립트를 설치합니다.
기본적으로 DFIR 툴킷은 RFC3339를 준수하는 날짜 형식을 사용합니다. 원한다면 DFIR_DATE 환경 변수를 설정하여 사용되는 날짜 형식을 변경할 수 있습니다. 예를 살펴보겠습니다:
$ mac2time2 -b tests/data/mactime2/sample.bodyfile -d | head
1970-01-01T00:00:00+00:00,0,macb,V/V---------,0,0,62447617,"/$OrphanFiles"
2022-04-18T10:28:59+00:00,4096,m...,d/drwxr-xr-x,0,0,42729473,"/proc"
2022-04-18T10:28:59+00:00,4096,m...,d/drwxr-xr-x,0,0,36306945,"/sys"
2022-04-21T00:57:50+00:00,7,m...,l/lrwxrwxrwx,0,0,12,"/bin -> usr/bin"
2022-04-21T00:57:50+00:00,7,m...,l/lrwxrwxrwx,0,0,13,"/lib -> usr/lib"
2022-04-21T00:57:50+00:00,9,m...,l/lrwxrwxrwx,0,0,14,"/lib32 -> usr/lib32"
2022-04-21T00:57:50+00:00,9,m...,l/lrwxrwxrwx,0,0,15,"/lib64 -> usr/lib64"
2022-04-21T00:57:50+00:00,10,m...,l/lrwxrwxrwx,0,0,16,"/libx32 -> usr/libx32"
2022-04-21T00:57:50+00:00,8,m...,l/lrwxrwxrwx,0,0,17,"/sbin -> usr/sbin"
2022-04-21T00:57:51+00:00,4096,m...,d/drwxr-xr-x,0,0,38010881,"/srv"
$ DFIR_DATE="%F %T (%Z)" mac2time2 -b tests/data/mactime2/sample.bodyfile -d | head
1970-01-01 00:00:00 (UTC),0,macb,V/V---------,0,0,62447617,"/$OrphanFiles"
2022-04-18 10:28:59 (UTC),4096,m...,d/drwxr-xr-x,0,0,42729473,"/proc"
2022-04-18 10:28:59 (UTC),4096,m...,d/drwxr-xr-x,0,0,36306945,"/sys"
2022-04-21 00:57:50 (UTC),7,m...,l/lrwxrwxrwx,0,0,12,"/bin -> usr/bin"
2022-04-21 00:57:50 (UTC),7,m...,l/lrwxrwxrwx,0,0,13,"/lib -> usr/lib"
2022-04-21 00:57:50 (UTC),9,m...,l/lrwxrwxrwx,0,0,14,"/lib32 -> usr/lib32"
2022-04-21 00:57:50 (UTC),9,m...,l/lrwxrwxrwx,0,0,15,"/lib64 -> usr/lib64"
2022-04-21 00:57:50 (UTC),10,m...,l/lrwxrwxrwx,0,0,16,"/libx32 -> usr/libx32"
2022-04-21 00:57:50 (UTC),8,m...,l/lrwxrwxrwx,0,0,17,"/sbin -> usr/sbin"
2022-04-21 00:57:51 (UTC),4096,m...,d/drwxr-xr-x,0,0,38010881,"/srv"
DFIR_DATE의 값은 DateTime::strftime(https://docs.rs/chrono/latest/chrono/format/strftime/index.html)에서 사용할 수 있는 모든 형식 문자열이 될 수 있습니다.