PyFlag 电子取证工具软件 项目简介
PyFlag 是一个使用 python 语言编写电子取证工具软件。PyFlag 工作流程如图 6。 图 PyFlag 工作流程 安装 PyFlag PyFlag 安装比较困难,特别是对于 Linux 初级用户。首先要建立一个完整的 AMP 环境,另外 python 语言软件包也要完整安装。 # apt-get install darcs automake autoconf libtool build-essentials
python-dev libz-dev libmagic-dev python-mysqldb python-imaging python-pexpect
python-dateutil python-urwid libgeoip-dev libjpeg62-dev 然后下载 PyFlag 源代码安装。 使用 PyFlag 使用终端运行 PyFlag 命令启动程序,当 PyFlag 开始运行后,你不能关闭终端,因为 PyFlag 进程是作为终端的一个子进程在运行的,如果关闭终端的话,PyFlag 进程也将终止运行。现在使用浏览器打开 http://127.0.0.1:8000,此时开始显示下面的 PyFlag 界面如图 。 图 PyFlag 工作界面 PyFlag 界面包括如下部分: Case Management :案件管理 Load Data :加载数据 Configuration :配置 PyFlag Disk Forensics :磁盘取证 Keyword Indexing :关键字搜索 Log Analysis :日志分析 Network Forensics :网络取证 Preview :预览 Test :生成取证报告 开始工作前可以对 PyFlag 进行配置如图 8 。 图 对 PyFlag 进行配置 单击“New Case”,开始使用 PyFlag。下面添加磁盘或者分区的镜像文件完整路径,如 /tmp/c3,接下来选择映像文件是类型 ( 磁盘或扇区 ),如图 9 。 图 映像文件是类型 ( 磁盘或扇区 ) 然后按“Submit”按钮即成功加入镜像。然后系统会分析这个虚拟文件系统(VFS)如图 10。 图分析这个虚拟文件系统(VFS) VFS 是一种软件机制,也许称它为 Linux 的文件系统管理者更确切点,与它相关的数据结构只存在于物理内存当中。所以在每次系统初始化期间,Linux 都首先要在内存当中构造一棵 VFS 的目录树 ( 在 Linux 的源代码里称之为 namespace),实际上便是在内存中建立相应的数据结构。VFS 目录树在 Linux 的文件系统模块中是个很重要的概念。还可以通过点击具体的单个文件查看详细情况包括被删除的文件,如图 11 。 通过点击具体的单个文件查看详细情况包括被删除的文件 也可以使用 Download 按钮下载文件详细清单到本地,文件格式是 csv。最后可以把分析结果生成一个报表图 12 是报表选项。 报表选项
python-dev libz-dev libmagic-dev python-mysqldb python-imaging python-pexpect
python-dateutil python-urwid libgeoip-dev libjpeg62-dev 然后下载 PyFlag 源代码安装。 使用 PyFlag 使用终端运行 PyFlag 命令启动程序,当 PyFlag 开始运行后,你不能关闭终端,因为 PyFlag 进程是作为终端的一个子进程在运行的,如果关闭终端的话,PyFlag 进程也将终止运行。现在使用浏览器打开 http://127.0.0.1:8000,此时开始显示下面的 PyFlag 界面如图 。 图 PyFlag 工作界面 PyFlag 界面包括如下部分: Case Management :案件管理 Load Data :加载数据 Configuration :配置 PyFlag Disk Forensics :磁盘取证 Keyword Indexing :关键字搜索 Log Analysis :日志分析 Network Forensics :网络取证 Preview :预览 Test :生成取证报告 开始工作前可以对 PyFlag 进行配置如图 8 。 图 对 PyFlag 进行配置 单击“New Case”,开始使用 PyFlag。下面添加磁盘或者分区的镜像文件完整路径,如 /tmp/c3,接下来选择映像文件是类型 ( 磁盘或扇区 ),如图 9 。 图 映像文件是类型 ( 磁盘或扇区 ) 然后按“Submit”按钮即成功加入镜像。然后系统会分析这个虚拟文件系统(VFS)如图 10。 图分析这个虚拟文件系统(VFS) VFS 是一种软件机制,也许称它为 Linux 的文件系统管理者更确切点,与它相关的数据结构只存在于物理内存当中。所以在每次系统初始化期间,Linux 都首先要在内存当中构造一棵 VFS 的目录树 ( 在 Linux 的源代码里称之为 namespace),实际上便是在内存中建立相应的数据结构。VFS 目录树在 Linux 的文件系统模块中是个很重要的概念。还可以通过点击具体的单个文件查看详细情况包括被删除的文件,如图 11 。 通过点击具体的单个文件查看详细情况包括被删除的文件 也可以使用 Download 按钮下载文件详细清单到本地,文件格式是 csv。最后可以把分析结果生成一个报表图 12 是报表选项。 报表选项