Hindsight

Google Chrome/Chromium 및 Mozilla Firefox용 인터넷 기록 포렌식 도구

Hindsight는 웹 아티팩트를 분석하기 위한 무료 도구입니다. Google Chrome 웹 브라우저의 검색 기록에서 시작하여 다른 Chromium 기반 애플리케이션도 지원하도록 확장되었으며, 현재는 Mozilla Firefox 프로필도 파싱합니다. Hindsight는 URL, 다운로드 기록, 캐시 기록, 북마크, 자동 채우기 기록, 저장된 비밀번호, 환경 설정, 브라우저 확장 프로그램, HTTP 쿠키, 로컬 스토리지 기록(HTML5 쿠키) 등 다양한 유형의 웹 아티팩트를 파싱할 수 있습니다. 각 파일에서 데이터를 추출한 후, 다른 기록 파일의 데이터와 상호 연관시켜 타임라인에 배치합니다.

Firefox 프로필의 경우, Hindsight는 places.sqlite (방문 기록, 북마크, 다운로드), cookies.sqlite, formhistory.sqlite를 파싱합니다. GUI에서 "Firefox"를 선택하거나 명령줄에 -b Firefox를 전달하고 \[userdir]\AppData\Roaming\Mozilla\Firefox\Profiles\<profile>과 같은 프로필 디렉터리를 지정하십시오.

간단한 웹 UI가 있습니다. 시작하려면 "hindsight_gui.py"(또는 Windows의 경우 패키지된 "hindsight_gui.exe")를 실행하고 브라우저에서 http://localhost:8080을 방문하십시오:

필수 입력 필드는 "Profile Path"뿐입니다. 분석하려는 Chrome 프로필의 위치입니다 (각 OS의 기본 프로필 경로는 이 페이지 하단에 나열되어 있습니다). "Run"을 클릭하면 결과 페이지로 이동하여 결과를 스프레드시트(또는 다른 형식)로 저장할 수 있습니다.

수동 설치

Hindsight(명령줄 도구 및 웹 인터페이스 모두)를 설치하려면 다음을 수행하십시오:

pip install pyhindsight
pip install git+https://github.com/cclgroupltd/ccl_chromium_reader.git

Hindsight 웹 인터페이스에서 "View SQLite DB in Browser" 기능을 사용하려면 다른 설치 명령을 실행해야 합니다:

curl -sSL https://raw.githubusercontent.com/obsidianforensics/hindsight/master/install-js.sh | sh

명령줄

Hindsight에는 명령줄 버전(hindsight.py 또는 hindsight.exe)도 있습니다. 문서 폴더의 사용자 가이드에서 많은 주제를 다루지만, 아래 정보를 통해 명령줄 버전을 시작할 수 있습니다:

사용 예: > C:\hindsight.py -i "C:\Users\Ryan\AppData\Local\Google\Chrome\User Data\Default" -o test_case

명령줄 옵션:

기본 프로필 경로

Chrome 기본 프로필 폴더의 기본 위치는 다음과 같습니다:

• WinXP: [userdir]\Local Settings\Application Data\Google\Chrome\User Data\Default
• Vista/7/8/10: [userdir]\AppData\Local\Google\Chrome\User Data\Default
• Linux: [userdir]/.config/google-chrome/Default
• OS X: [userdir]/Library/Application Support/Google/Chrome/Default
• iOS: \Applications\com.google.chrome.ios\Library\Application Support\Google\Chrome\Default
• Android: /userdata/data/com.android.chrome/app_chrome/Default
• CrOS: \home\user\<GUID>

기능 요청

새로운 기능에 대한 아이디어가 있거나 (또는 문제를 발견한 경우) 이슈를 등록해 주십시오.