Python数字网络取证-I

上一页
下一页

本章将解释使用Python进行网络取证的基本原理。

理解网络取证

网络取证是数字取证的一个分支，它处理对计算机网络流量（包括本地网络和广域网（WAN））的监控和分析，目的是收集信息、收集证据或入侵检测。网络取证在调查数字犯罪（例如盗窃知识产权或信息泄露）中起着至关重要的作用。网络通信的画面可以帮助调查人员解决一些关键问题，如下所示：

  • 访问了哪些网站？

  • 在我们的网络上上传了哪些内容？

  • 从我们的网络下载了哪些内容？

  • 正在访问哪些服务器？

  • 有人正在将敏感信息发送到公司防火墙之外吗？

互联网证据查找器 (IEF)

IEF 是一款数字取证工具，用于查找、分析和展示在不同数字媒体（如计算机、智能手机和平板电脑等）上发现的数字证据。它非常流行，并被成千上万的取证专业人员使用。

IEF 的用途

由于其流行性，IEF 在很大程度上被取证专业人员使用。IEF 的一些用途如下：

  • 由于其强大的搜索功能，它被用于同时搜索多个文件或数据媒体。

  • 它还用于通过新的雕刻技术从RAM的未分配空间恢复已删除的数据。

  • 如果调查人员想要以其打开时的原始格式重建网页，则可以使用IEF。

  • 它还用于搜索逻辑或物理磁盘卷。

使用Python将IEF报告转储到CSV

IEF 将数据存储在SQLite数据库中，以下Python脚本将动态识别IEF数据库中的结果表并将它们转储到各自的CSV文件。

此过程按以下步骤进行

  • 首先，生成IEF结果数据库，它将是一个以.db扩展名结尾的SQLite数据库文件。

  • 然后，查询该数据库以识别所有表。

  • 最后，将这些结果表写入单个CSV文件。

Python代码

让我们看看如何为此目的使用Python代码：

对于Python脚本，导入必要的库如下：

from __future__ import print_function

import argparse
import csv
import os
import sqlite3
import sys

现在，我们需要提供IEF数据库文件的路径：

if __name__ == '__main__':
   parser = argparse.ArgumentParser('IEF to CSV')
   parser.add_argument("IEF_DATABASE", help="Input IEF database")
   parser.add_argument("OUTPUT_DIR", help="Output DIR")
   args = parser.parse_args()

现在，我们将确认IEF数据库的存在，如下所示：

if not os.path.exists(args.OUTPUT_DIR):
   os.makedirs(args.OUTPUT_DIR)
if os.path.exists(args.IEF_DATABASE) and \ os.path.isfile(args.IEF_DATABASE):
   main(args.IEF_DATABASE, args.OUTPUT_DIR)
else:
   print("[-] Supplied input file {} does not exist or is not a " "file".format(args.IEF_DATABASE))
   sys.exit(1)

现在，像我们在之前的脚本中一样，通过游标建立与SQLite数据库的连接，以执行查询：

def main(database, out_directory):
   print("[+] Connecting to SQLite database")
   conn = sqlite3.connect(database)
   c = conn.cursor()

以下几行代码将从数据库中获取表名：

print("List of all tables to extract")
c.execute("select * from sqlite_master where type = 'table'")
tables = [x[2] for x in c.fetchall() if not x[2].startswith('_') and not x[2].endswith('_DATA')]

现在，我们将从表中选择所有数据，并使用fetchall()方法在游标对象上将包含表数据的完整列表的元组列表存储在一个变量中：

print("Dumping {} tables to CSV files in {}".format(len(tables), out_directory))

for table in tables:
c.execute("pragma table_info('{}')".format(table))
table_columns = [x[1] for x in c.fetchall()]

c.execute("select * from '{}'".format(table))
table_data = c.fetchall()

现在，使用CSV_Writer()方法，我们将内容写入CSV文件：

csv_name = table + '.csv'
csv_path = os.path.join(out_directory, csv_name)
print('[+] Writing {} table to {} CSV file'.format(table,csv_name))

with open(csv_path, "w", newline = "") as csvfile:
   csv_writer = csv.writer(csvfile)
   csv_writer.writerow(table_columns)
   csv_writer.writerows(table_data)

上述脚本将从IEF数据库的表中获取所有数据，并将内容写入我们选择的CSV文件。

使用缓存数据

从IEF结果数据库中，我们可以获取IEF本身不一定支持的更多信息。我们可以从像雅虎、谷歌等电子邮件服务提供商那里获取缓存数据（信息的副产品），方法是使用IEF结果数据库。

以下是使用IEF数据库访问在Google Chrome上访问的雅虎邮件的缓存数据信息的Python脚本。请注意，步骤与最后一个Python脚本中遵循的步骤大致相同。

首先，导入Python所需的库，如下所示：

from __future__ import print_function
import argparse
import csv
import os
import sqlite3
import sys
import json

现在，提供IEF数据库文件的路径以及命令行处理程序接受的两个位置参数，就像在最后一个脚本中一样：

if __name__ == '__main__':
   parser = argparse.ArgumentParser('IEF to CSV')
   parser.add_argument("IEF_DATABASE", help="Input IEF database")
   parser.add_argument("OUTPUT_DIR", help="Output DIR")
   args = parser.parse_args()

现在，确认IEF数据库的存在，如下所示：

directory = os.path.dirname(args.OUTPUT_CSV)

if not os.path.exists(directory):os.makedirs(directory)
if os.path.exists(args.IEF_DATABASE) and \ os.path.isfile(args.IEF_DATABASE):
   main(args.IEF_DATABASE, args.OUTPUT_CSV)
   else: print("Supplied input file {} does not exist or is not a " "file".format(args.IEF_DATABASE))
sys.exit(1)

现在，通过游标建立与SQLite数据库的连接，以执行查询：

def main(database, out_csv):
   print("[+] Connecting to SQLite database")
   conn = sqlite3.connect(database)
   c = conn.cursor()

您可以使用以下几行代码来获取雅虎邮件联系人缓存记录的实例：

print("Querying IEF database for Yahoo Contact Fragments from " "the Chrome Cache Records Table")
   try:
      c.execute("select * from 'Chrome Cache Records' where URL like " "'https://data.mail.yahoo.com" "/classicab/v2/contacts/?format=json%'")
   except sqlite3.OperationalError:
      print("Received an error querying the database --    database may be" "corrupt or not have a Chrome Cache Records table")
      sys.exit(2)

现在，将从上述查询返回的元组列表保存到变量中，如下所示：

contact_cache = c.fetchall()
contact_data = process_contacts(contact_cache)
write_csv(contact_data, out_csv)

请注意，这里我们将使用两种方法，即process_contacts()用于设置结果列表以及遍历每个联系人缓存记录，以及json.loads()用于将从表中提取的JSON数据存储到变量中以供进一步操作：

def process_contacts(contact_cache):
   print("[+] Processing {} cache files matching Yahoo contact cache " " data".format(len(contact_cache)))
   results = []
   
   for contact in contact_cache:
      url = contact[0]
      first_visit = contact[1]
      last_visit = contact[2]
      last_sync = contact[3]
      loc = contact[8]
	   contact_json = json.loads(contact[7].decode())
      total_contacts = contact_json["total"]
      total_count = contact_json["count"]
      
      if "contacts" not in contact_json:
         continue
      for c in contact_json["contacts"]:
         name, anni, bday, emails, phones, links = ("", "", "", "", "", "")
            if "name" in c:
            name = c["name"]["givenName"] + " " + \ c["name"]["middleName"] + " " + c["name"]["familyName"]
            
            if "anniversary" in c:
            anni = c["anniversary"]["month"] + \"/" + c["anniversary"]["day"] + "/" + \c["anniversary"]["year"]
            
            if "birthday" in c:
            bday = c["birthday"]["month"] + "/" + \c["birthday"]["day"] + "/" + c["birthday"]["year"]
            
            if "emails" in c:
               emails = ', '.join([x["ep"] for x in c["emails"]])
            
            if "phones" in c:
               phones = ', '.join([x["ep"] for x in c["phones"]])
            
            if "links" in c:
              links = ', '.join([x["ep"] for x in c["links"]])

现在对于公司、职位和备注，使用get方法，如下所示：

company = c.get("company", "")
title = c.get("jobTitle", "")
notes = c.get("notes", "")

现在，让我们将元数据和提取的数据元素列表附加到结果列表中，如下所示：

results.append([url, first_visit, last_visit, last_sync, loc, name, bday,anni, emails, phones, links, company, title, notes,total_contacts, total_count])
return results

现在，使用CSV_Writer()方法，我们将内容写入CSV文件：

def write_csv(data, output):
   print("[+] Writing {} contacts to {}".format(len(data), output))
   with open(output, "w", newline="") as csvfile:
      csv_writer = csv.writer(csvfile)
      csv_writer.writerow([
         "URL", "First Visit (UTC)", "Last Visit (UTC)",
         "Last Sync (UTC)", "Location", "Contact Name", "Bday",
         "Anniversary", "Emails", "Phones", "Links", "Company", "Title",
         "Notes", "Total Contacts", "Count of Contacts in Cache"])
      csv_writer.writerows(data)

借助上述脚本，我们可以使用IEF数据库处理雅虎邮件的缓存数据。

打印页面
上一页
下一页
广告