Каталог инструментов

18 инструментов

Тег: forensics ×

bulk_extractor

v2.1.1
Network Analysis

Высокоскоростной инструмент форензики: сканирует образы дисков, файлы и потоки данных без предварительного монтирования и парсинга файловой системы. Извлекает email-адреса, URL, номера кредитных карт, MAC-адреса, GPS-координаты, домены и другие …

# Ubuntu/Debian: sudo apt install bulk-extractor # Из исходников: git clone https://github.com/simsong/bulk_extractor cd bulk_extractor bash bootstrap.sh ./configure && make && sudo make install # Сканирование образа диска: bulk_extractor -o output_dir/ disk_image.dd # Сканирование конкретного потока: bulk_extractor -o output_dir/ -E pdf disk_image.dd # Параллельная обработка: bulk_extractor -o output_dir/ -j 8 disk_image.dd

firepwd

Post-Exploitation

Инструмент на Python для расшифровки сохранённых паролей Firefox и Thunderbird (key3.db/key4.db + signons.sqlite/logins.json) без необходимости запускать сам браузер. Полезен при пост-эксплуатации для извлечения credentials с скомпрометированной машины.

git clone https://github.com/lclevy/firepwd.git cd firepwd pip install pycryptodome pyasn1 python firepwd.py -d /path/to/firefox/profile

ipgrep

Malware Analysis & Forensics

Компактная C-утилита для фильтрации и слияния PCAP-файлов по IP-адресам. Принимает шаблон (одиночный IP, пара IP, IPv4, IPv6, или `ip`/`v4`/`v6` для всего трафика) и выходной PCAP-файл. Не использует libpcap …

git clone https://codeberg.org/markusthilo/ipgrep cd ipgrep # Сборка (только стандартная библиотека C, без libpcap) gcc -o ipgrep ipgrep.c # Или через Makefile: make # Паттерны: # ip -- все IP-пакеты # v4 -- только IPv4 # v6 -- только IPv6 # 192.168.1.100 -- трафик от или к адресу # 10.0.0.1-192.168.1.100 -- трафик между двумя адресами # Примеры ./ipgrep v4 ipv4.pcap capture.pcap # все IPv4 ./ipgrep 192.168.1.50 host.pcap dump.pcap # трафик одного хоста ./ipgrep 10.0.0.1-192.168.1.1 comms.pcap *.pcap # C2-коммуникация ./ipgrep ip merged.pcap dump1.pcap dump2.pcap dump3.pcap # слияние

shannon

Malware Analysis & Forensics

Утилита на Go, вычисляющая энтропию Шеннона для строки или входного потока: чем выше значение, тем более случайны данные. Полезна при анализе малвари и файлов для обнаружения упакованного, зашифрованного …

git clone https://git.toolsofthetrade.qzz.io/recovered/shannon.git cd shannon go install echo "sample_string" | shannon

tcpflow

v1.6.1
Network Analysis

Инструмент реконструкции TCP-потоков из PCAP или живого захвата: сохраняет каждый поток в отдельный файл с учётом sequence numbers и ретрансмиссий, поддерживает HTTP-декодирование и вывод DFXML.

# Kali / Debian / Ubuntu sudo apt install tcpflow # Из исходников sudo apt install libpcap-dev libboost-dev git clone https://github.com/simsong/tcpflow cd tcpflow && ./configure && make && sudo make install # Пример: реконструкция TCP-потоков из pcap tcpflow -r capture.pcap -o output_dir/ # Live-захват на интерфейсе sudo tcpflow -c -i eth0 port 80

zsteg

v0.2.14
Exploitation

Обнаружение скрытых данных в PNG и BMP файлах: LSB-стеганография, анализ всех возможных комбинаций каналов и битовых плоскостей, autodetect форматов (zlib, base64, текст). Стандартный первый шаг при анализе стего-задач …

# Требуется Ruby: gem install zsteg # Автоматический анализ: zsteg image.png # Все каналы: zsteg -a image.png # Конкретный канал: zsteg -E "b1,rgb,lsb,xy" image.png # Извлечь данные в файл: zsteg -E "b1,rgb,lsb,xy" image.png > extracted.bin