120 lines
5.4 KiB
Markdown
120 lines
5.4 KiB
Markdown
# Logbuch für die Durchführung der Übung 3
|
|
|
|
### Aufgabe 1:
|
|
|
|
System: Für diese Übung verwenden wir Kali Linux.
|
|
|
|
Bearbeitungsschritte:
|
|
|
|
1. Verwendung der U2.img-Datei aus Übung 2.
|
|
2. Mounten der U2.img-Datei und Extraktion der Dateien.
|
|
3. Versuch, die extrahierten Dateien zu öffnen.
|
|
4. Untersuchung der Dateien mit einem Hex-Editor.
|
|
5. Ermittlung der möglichen Dateiformate der untersuchten Dateien.
|
|
6. Ermittlung der gängigen Signaturen (Magic Numbers) der gefundenen Dateiformate.
|
|
7. Vergleich der Dateisignaturen (Magic Numbers) mit den tatsächlichen Signaturen und gegebenenfalls Änderung der Bytes zur Wiederherstellung der Dateien.
|
|
|
|
---
|
|
|
|
### Dokumentation:
|
|
|
|
**Schritt 1:** Öffnen der Terminalfenster und Navigation zum Verzeichnis, in dem sich die Datei “U2.img” aus Übung 2 befindet.
|
|
|
|
```
|
|
2023-04-08 00:46:32 $ cd /home/GruppeD/DIF/Uebung2
|
|
```
|
|
|
|
---
|
|
|
|
**Schritt 2:** Mounten und extrahieren der U2.img-Datei
|
|
|
|
```
|
|
2023-04-08 00:48:53 $ fdisk -l U2.img mnt
|
|
2023-04-08 00:49:35 $ sudo mount -o ro U2.img mnt
|
|
```
|
|
|
|
Dadurch wird die U2.img-Datei in das Verzeichnis “/mnt” gemountet.
|
|
|
|
---
|
|
|
|
**Schritt 3:** Navigiere zum “/mnt”-Verzeichnis und verwende den Befehl “ls”, um eine Liste der Dateien und Verzeichnisse anzuzeigen.
|
|
|
|
```
|
|
2023-04-08 00:49:43 $ cd mnt
|
|
2023-04-08 00:49:47 $ cd ls -la
|
|
```
|
|
|
|
Ausgabe:
|
|
|
|
|
|
|
|
---
|
|
|
|
**Schritt 4:** Untersuchen der Datei mit einem Hex-Editor und xxd
|
|
|
|
```
|
|
2023-04-08 00:50:39 $ hexeditor RecoverMe01
|
|
2023-04-08 00:53:19 $ xxd RecoverMe01 | head
|
|
```
|
|
|
|
|
|
|
|
hexeditor RecoverMe01
|
|
|
|
|
|
|
|
xxd RecoverMe01 | head
|
|
|
|
---
|
|
|
|
**Schritt 5:** Ermittlung der Dateiformat mit dem folgenden Befehl
|
|
|
|
```
|
|
2023-04-08 00:55:03 $ binwalk RecoverMe01
|
|
```
|
|
|
|
Ausgabe:
|
|
|
|
|
|
|
|
Beschreibung: image data
|
|
|
|
---
|
|
|
|
**Schritt 6:** Um die gefundenen Dateien zu reparieren, war es notwendig, die Signaturen der Dateiformate zu überprüfen und gegebenenfalls anzupassen. Bei einer der Dateien handelte es sich um eine beschädigte JPEG-Datei, deren magische Zahl, siehe [https://de.wikipedia.org/wiki/Magische_Zahl_(Informatik)](https://de.wikipedia.org/wiki/Magische_Zahl_(Informatik)) im Hex-Editor als 0x0FFD8FF statt 0xFFD8FF angezeigt wurde, siehe Abbildung “Hexeditor RecoverMe01”. Um die Datei zu reparieren, musste diese magische Zahl auf 0xFFD8FF geändert werden. Da die Datei jedoch zuvor gemounted wurde und somit nur lesbar war, musste sie zuerst in einen anderen Ordner kopiert werden, um die nötigen Änderungen durchführen zu können, siehe Schritt 7.
|
|
|
|
|
|
|
|
Hexeditor RecoverMe01
|
|
|
|
---
|
|
|
|
**Schritt 7:** Um die entsprechenden Bytes zu ändern und die Datei wiederherzustellen, muss die betreffende Datei zuerst in einen schreibbaren Ordner kopiert werden. Dazu kann ein neuer Ordner mit dem Befehl mkdir erstellt werden, und die Datei kann dann mit dem Befehl cp in den neuen Ordner kopiert werden. Anschließend können die entsprechenden Bytes im Hex-Editor geändert werden, um die Datei wiederherzustellen.
|
|
|
|
```
|
|
2023-04-08 00:56:11 $ cd ..
|
|
2023-04-08 00:56:23 $ mkdir extracted
|
|
2023-04-08 00:56:39 $ cp mnt/RecoverMe01 extracted/
|
|
```
|
|
|
|
Um die Image-Datei zu reparieren, müssen wir nun in den "extracted" Ordner wechseln. Dazu verwenden wir den Befehl "cd ..", um in den übergeordneten Ordner zu gelangen, und anschließend "cd extracted", um in den Zielordner zu navigieren.
|
|
|
|
Nachdem wir in den "extracted" Ordner gewechselt sind, können wir Schritt 4 erneut durchführen und die betroffene Datei in einem Hex-Editor öffnen. Hier können wir die entsprechenden Bytes von 0x0F auf 0xFF ändern und die Änderungen mit "^X" speichern und den Editor verlassen.
|
|
|
|
|
|
|
|
Nachdem die Reparatur der Magischen Zahl erfolgreich durchgeführt wurde, konnten wir die Datei in einem Hex-Editor erneut überprüfen und die Bytes von 0x0F zu 0xFF ändern. Anschließend haben wir die Datei gespeichert und den Hex-Editor verlassen. Mit dem Befehl 'xdg-open RecoverMe01' konnten wir die reparierte Image-Datei öffnen, da wir zuvor mit dem Befehl 'binwalk RecoverMe01' herausgefunden hatten, dass es sich um eine Image-Datei handelt. Diesmal haben wir den Befehl 'xdg-open' verwendet, um die Datei mit dem Standardprogramm für das jeweilige Dateiformat zu öffnen.
|
|
|
|
```
|
|
2023-04-08 00:57:33 $ xdg-open RecoverMe01
|
|
```
|
|
|
|
Ausgabe: Anschließend konnte die reparierte JPEG-Datei mithilfe eines Image Viewers geöffnet werden und es war deutlich erkennbar, dass es sich um die Hochschule Mannheim, Gebäude H handelte.
|
|
|
|
|
|
|
|
RecoverMe01 - Image Viewer
|
|
|
|
```
|
|
2023-04-08 00:57:59 $ exit
|
|
``` |