Come cercare un file che è stato diviso in segmenti in un'istantanea di memoria

Question

Come cercare un file che è stato diviso in segmenti in un'istantanea di memoria

#1 da (1 voti)

1

Ho un'istantanea della memoria di un dispositivo caricato in FTK Imager.

Ho anche un file, in particolare un'immagine (JPG) come file sul mio computer. So per certo che questo file è presente nell'istantanea della memoria, ma è diviso in diversi frammenti (circa 80 di essi).

Ogni segmento è lungo esattamente 4096 byte (ad eccezione dell'ultimo, probabilmente).

Posso cercarli manualmente copiando l'intero frammento 4096 in esadecimale con FTKi, quindi cercandolo nell'istantanea ed esportando il frammento.

Il problema è che questo richiede molto tempo. C'è un modo per farlo più velocemente, usando FTK o un altro software che consenta la lettura e l'intaglio dalle istantanee di Ad1?

Inoltre, come potrei "fondere" i segmenti esportati alla fine, per mostrare che l'immagine è ancora completa?

memory data-recovery forensics

posta Kaito Kid 06.07.2017 - 03:24

fonte

1 risposta

Leggi altre domande sui tag memory data-recovery forensics

Comprensione delle differenze tra TCB basato sul kernel e TCB micro-kernel Quali controlli sono necessari per i dati crittografati a riposo essere entrambi disponibili per i processi autorizzati e protetti dall'uso non autorizzato?

score 1 · Accepted Answer

Non so se esiste un modo per sapere dove i frammenti sono memorizzati nella memoria (o nell'istantanea della memoria) come potrebbe esserlo se si trovasse in un file system. Quindi cercare su ognuno può essere l'unico modo lì. Per quanto riguarda l'automazione di quel processo, non so nulla di disponibile.

È possibile utilizzare il software di editing esadecimale per eseguire ricerche, copiare blocchi di dati in file separati e riunirli in un unico file. Sarà un sacco di lavoro manuale, ma non schiacciante per soli 80 blocchi. Abbiamo scritto software che funzionano in modo automatizzato (e in realtà quella fase intermedia non è necessaria quando vengono utilizzati gli offset), ma purtroppo non è disponibile pubblicamente. Tuttavia, lo dico perché potresti voler considerare una soluzione software personalizzata se lo fai molte volte. Ma se lo fai solo una volta, manualmente andrebbe bene.

Ho inserito un paio di link di editor esadecimale di seguito. Credo che FTK Imager sia un software Windows, quindi ecco alcune scelte di Windows -

Hex Workshop link (questo è menzionato nella guida dell'utente di FTK Imager)
WinHex link