imago-forensics 🕵️

Imago é uma ferramenta python que extrai evidências digitais de imagens recursivamente. Esta ferramenta é útil durante uma investigação forense digital. Se precisar extrair evidências digitais e tiver muitas imagens, com esta ferramenta você poderá compará-las facilmente. Imago permite extrair as evidências para um arquivo CSV ou em um banco de dados sqlite. Se em um JPEG exif estiverem presentes coordenadas GPS, o Imago pode extrair a longitude e latitude e convertê-las em graus e recuperar informações relevantes como cidade, país, código postal... Imago também oferece a possibilidade de calcular a Análise de Nível de Erro (Error Level Analysis) e detectar nudez; essas funcionalidades estão em BETA.

Configuração

Configuração via pip

1. Instale o imago:

$ pip install imago

2. Uma vez instalado, um novo binário deve estar disponível: :

$ imago 

E então deve exibir o banner do imago

Requisitos:

python 2.7
exifread >= 2.1.2
python-magic >= 0.4.15
argparse >= 1.4.0
pillow >= 5.2.0
nudepy >= 0.4
imagehash >= 4.0
geopy >= 1.16.0

Uso

usage: imago.py [-h] -i INPUT [-x] [-g] [-e] [-n] [-d {md5,sha256,sha512,all}]
                [-p {ahash,phash,dhash,whash,all}] [-o OUTPUT] [-s]
                [-t {jpeg,tiff}]

optional arguments:
  -h, --help            show this help message and exit
  -i INPUT, --input INPUT
                        Input directory path
  -x, --exif            Extract exif metadata
  -g, --gps             Extract, parse and convert to coordinates, GPS exif
                        metadata from images (if any)It works only with JPEG.
  -e, --ela             Extract, Error Level Analysis image,It works only with
                        JPEG. *BETA*
  -n, --nude            Detect Nudity, It works only with JPEG, *BETA*
  -d {md5,sha256,sha512,all}, --digest {md5,sha256,sha512,all}
                        Calculate perceptual image hashing
  -p {ahash,phash,dhash,whash,all}, --percentualhash {ahash,phash,dhash,whash,all}
                        Calculate hash digest
  -o OUTPUT, --output OUTPUT
                        Output directory path
  -s, --sqli            Keep SQLite file after the computation
  -t {jpeg,tiff}, --type {jpeg,tiff}
                        Select the image, this flag can be JPEG or TIFF, if
                        this argument it is not provided, imago will process
                        all the image types(i.e. JPEG, TIFF)

O único argumento obrigatório é -i, que é o diretório base a partir do qual o imago começará a procurar arquivos de imagem. Você também deve fornecer pelo menos um tipo de extração (ex: exif, data, gps, digest).

Exemplo:

$ imago -i /home/solvent/cases/c23/DCIM/ -o /home/solvent/cases/c23/ -x -s -t jpeg -d all

Onde:

• -i caminho: é o diretório base, onde o imago procurará por arquivos
• -o caminho: o diretório de saída onde o imago salvará o arquivo CSV com os metadados extraídos
• -x : o imago extrairá metadados EXIF.
• -s: o banco de dados SQLite temporário não será excluído após o processamento.
• -t jpeg: o imago procurará apenas por imagens JPEG.
• -d all: o imago calculará md5, sha256 e sha512 para as imagens JPEG.

Funcionalidades:

A Fazer:

📑 Direitos Autorais e Licenças

Código com copyright 2018 Redaelli. Código lançado sob a licença MIT.