Newsgroup: it.comp.sicurezza.varie
Titolo: Data dell'ultimo boot

Salve a tutti,
Vorrei sapere se esistono dei tools in grado di stabilire la data
dell'ultimo boot eseguito su un PC. Ho scaricato il freeware *Boot Log
Analyzer* per win9x. Secondo voi è affidabile, o c'è qualcosa di meglio?
Grazie in anciticipo.
P.S. L'OS installato è win98 (prima edizione).
--
extrabyte
 * * *

 Analyzer* per win9x. Secondo voi è affidabile, o c'è qualcosa di meglio?
Crei un file.bat in cui scrivi:
date/T >> c:\avvio.log
time/T >> c:\avvio.log
e lo inserisci in esecuzione automatica o nel run del registro.
Ciao
--
Fabio M.
http://www.sicelsas.it

 e lo inserisci in esecuzione automatica o nel run del registro.
Fatto, ma mi ha dato buca;-(. precisamente, ho fatto cosě: ho aperto note
pad di winzozz, e ho scritto:
date/T>> C:\avvio.log
time/T>> C:\avvio.log
l'ho salvato nella cartella esecuzione automatica come boo.bat. Ho anche
eseguito msconfig, per vedere se stava spuntato. Ho ravviato e mi uscita la
schermata del dos, che mi dice pari pari quello che sta sul file e nulla di
piů... Sei sicuro che sia quella la sintassi corretta??
Grazie in anticipo.


 piů... Sei sicuro che sia quella la sintassi corretta??
Prova a controllare la sintassi del comando time e date usando l'help,
magari avendo sitemi differenti non accetta l'opzione /T (quella che
permette di visualizzare soltanto l'output del comando).



Il mio indirizzo č: 
extr...@libero.it
THANX;-)


 ha scritto
[CUT]
Ho ricevuto la tua email con allegato il file .bat. Ha dato gli stessi
problemi di prima... significa che dovrò smanettare sull'help per vedere le
varie opzioni. Cmq mi sà che ho formulato male il post. A me serve un
programma/tool/utility in grado di determinare la data-ora dell'ultimo boot,
nonchè la data-ora dell'ultimo shutdown di un pc, che *dovrebbe* essere
stato spento in questi ultimi tre anni. In effetti, si tratta di un pc
sottoposto ad un sequestro giudiziario abusivo, e bisogna appunto vedere se
è stato acceso. Mi è stato riferito che ogno OS ha un proprio set di file di
log, e dall'analisi di quest'ultimi è possibile risalire alla data
dell'ultimo log-on.
In rete ho trovato 
http://www.vision4.dial.pipex.com/
 . Però nn so se fa al
mio caso.
Di nuovo grazie.
--
extrabyte
***

 sottoposto ad un sequestro giudiziario abusivo, e bisogna appunto vedere se
Ah, beh, la cosa allora e' nettamente diversa.
Se il pc in questione ha windows, non esistono log affidabili.
L'unica cosa che puoi fare e' (se non hai mai acceso quel pc, dopo)
montare il disco su un altro pc, e andare a guardare la data dei file
system.dat, user.dat , system.da0 e user.da0
Oppure lo swap file
Quelli sono i momenti di ultima  accensione-spegnimento
Ovviamente, devi fidarti dell'orologio macchina.
Se parli di tre anni, windows 98 o NT?
Per NT potresti trovare anche il file degli avvisi, e quello e' un log
abbastanza affidabile, ma non mi ricordo come si trova, e non ne ho uno
sotto mano adesso per cercarlo.
Comunque, ti hanno detto bene, ogni sistema operativo ha i suoi file di
log, e cio' dimostra al di la' di ogni ragionevole dubbio, che win NON
e' un sistema operativo, visto che non li ha, i log.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 Ovviamente, devi fidarti dell'orologio macchina.
L'orologio macchina è controllato dal bios. Se qualcuno ha settato la
data-ora, portandola a prima del sequestro, per poi resettarla al giusto
valore, questa operazione risulta da qualche parte?
--
extrabyte
***
P.S. Potresti approfondire la non affidabilità di win per quanto riguarda i
log, magari dandomi qualche riferimento in rete?? Mi servirà per la mia
difesa!!

 time/T >> c:\avvio.log
Prtroppo date (o time) con il parametro /T esiste solo sotto Windows NT; 
sotto DOS/Win9x non c'è un comando per avere l'ora corrente. Se 
l'orologio del PC non è compromesso forse ci sono tracce in SCHEDLOG.TXT 
(di solito si trova in C:\WINDOWS).

 difesa!!
Ops!
Spero, per te, e per me, che la difesa sia efficace.
Per te, perche', nonostante non ti conosca personalmente, ormai ci
incontriamo qua dentro da parecchio, e siamo conoscenti virtuali; a
parte qualcuno, auguro sempre serenita' a tutti voi. :-)
Per me, perche' se ti do' un consiglio, e poi dovesse andarti male,
spero non mi accusino di concorso, o addirittura di inquinamento delle
prove. :-))
Per quello che riguarda i log, il discorso e' semplicissimo:
win98 NON ha log di sistema.
e quei pochi che ha, (ad esempio l'avvio con la registrazione degli
eventi) sono puri file di testo, che chiunque abbia diritti puo'
modificare (e visto che chiunque accenda un win98 e' l'amministratore
del sistema, puo' fare quello che vuole), e anche chi non ha diritti, se
accede fisicamente al disco, puo' fare cio' che vuole.
Ora, non so per che cosa ti abbiano sequestrato il pc, e, non essendo un
legale, non e' che abia molta importanza, ma se non c'e' una
possibilita' di riscontro con una entita' esterna (i log del provider,
che confermino cio' che temporalmente si troverebbe sul tuo pc), la
situazione la vedo piuttosto triste: Sia dal loro punto di vista, sia dal
tuo, ci si puo' affidare solo a quanto e' presente (era presente al
momento dell'applicazione dei sigilli) sul disco.
Ovviamente, se si crede che gli inquirenti abbiano manomesso a loro
favore il giocattolone, viene a cadere ogni possibile ragionamento:
Non solo possono aver modificato la data, avviato il pc, e scritto su
disco quelo che vogliono, ma possono anche aver fatto di meglio: preso
il tuo disco, montato momentaneamente su altra macchina, con data
fasulla, modificato i dati, scaricato materiale, e tu e nessun altro
potranno mai capire che cosa e' successo.
Ma come dicevo, questo SE ti vogliono mettere in mezzo, e tu sei di
specchiata moralita'.
E l'unica vera difesa possibile, in questo caso, e' proprio trovare
nella parte di cluster libera dopo la fine del file, dei dati residui di
sicura datazione posteriore.


 specchiata moralita'.
Bah, per quanto mi riguarda sono incesurato, nn fumo, nn m'impatisticco e
amenìe varie;-). Se proprio mi vogliono mettere in mezzo, nn so dirti.
L'unico guaio è che la persona offesa ha molto conoscenze a livello di pg e
bada che ciò non è una mia supposizione, perché mi sono tolto lo sfizio di
ingaggiare un investigatore privato e questo ha scoperto molte cose
interessanti...
--
extrabyte
***

 specchiata moralita'.
Bah, per quanto mi riguarda sono incesurato, nn fumo, nn m'impatisticco e


 difesa!!
Non c'e' molto da approfondire. Sono file che chiunque puo' modificare,
per la solita storia del filesystem monoutente aka senza permessi. Ergo,
attendibilita' e valore 0, sia se devi difenderti sia se devi accusare.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
cERCCHI VIRUSZZZ?    : 
http://viruz4lamers.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Bah, per quanto mi riguarda sono incesurato, nn fumo, nn m'impatisticco e
Oh, debbo proprio mettere le faccine ovunque? :-)
Sei tu, nel mio caso, l'unico arbitro della tua moralita'.
Nel senso: sei tu che sai se stai cercando una scappatoia perche' NON
hai fatto nulla di cio' che ti addebitano, o se stai cercando una
scappatoia NONOSTANTE tu abbia fatto cio' che ti addebitano. :-))
Io non lo so, e non ho (e non hai) interesse a saperlo.
Dietro al tuo nick puo' esserci mia sorella, o jack lo squartatore, per
quello che ne so.
Ma anche jack ha diritto, a mio avviso, di essere trattato con
giustizia.
Da come la racconti, non e' andata tutta a rose e fiori, ma sono si' un
perito, ma elettronico, e a te ne serve un tipo diverso. :-).


> A me basta stabilire un'eventuale accensione *dopo* la data del sequestro.
Puoi provare, come avevo detto in un altro msg, a guardare nel file 
SCHEDLOG.TXT creato dal task scheduler e aggiornato ad ogni avvio. In 
particolare in quel file dovrebbero esserci le date di tutti i boot. 
Innanzitutto, se l'orologio del PC non è stato modificato, puoi trovare 
l'eventuale boot fatto dopo il sequestro. Se invece è stato modificato, 
a meno che chi abbia acceso il PC sia stato abbastanza furbo da 
modificare questo file, troverai dei boot fuori sequenza cronologica.

scappatoia NONOSTANTE tu abbia fatto cio' che ti addebitano. :-))
La verita' e' altrove.
Leonardo (root@altrove)
-- 
Says I, "My young lassie, I canna' weel tell ye,
The road and the distance I canna' weel gie,
But if you'll permit me tae gang a wee bittie,
I'll show you the road an' the miles tae Dundee".

 
http://groups.google.com/advanced_group_search

 InCase, per cui a loro non serve avviare il TUO sistema operativo.
Cosa sono i sistemi di forensic analisys? Forse ho capito, si utilizza l'OS
di un HD esterno.
Cmq non venne la gdf ma la semplice polizia giudiziaria (non la postale).
--
extrabyte
***

 di un HD esterno.
Sostanzialmente dei sistemi che per prima cosa prendono una immagine del 
tuo sistema, senza toccarlo.
La cosa piu' banale e' quella di dare un dd if=/dev/hdc of=file.img, 
quindi salvare il disco su un file.
Di li' puoi fare tutte le ricerche che vuoi: dati e files nascosti, logs, 
slack space... tutto quello che ti viene in mente.
Sono in pratica sistemi studiati per la ricerca di prove nei procedimenti 
giudiziari.
E, si, hanno un loro sistema operativo, solitamente su CD. Con tutti i 
tools che ti possono venire in mente (anche quelli per craccare eventuali 
pwd)
Vai sul sito di encase per maggiori info (molto, molto interessante. e 
molto, molto costoso :( )


 slack space... tutto quello che ti viene in mente.
Scusa la mia ignoranza, ma se nn sbaglio lo slack space è lo spazio che
viene utilizzato da win per la gestione dei cluster nel salvataggio di un
file, e come tale potrebbe contenere delle info preziose circa la data di
creazione del file stesso.
Domanda: come si esamina lo slack space? A questo punto, suppongo che anche
lo swapfile contenga info preziose...
Ho dato un'occhiata veloce, dovrebbe essere questo:
http://www.guidancesoftware.com/
. Molto interessante...


 creazione del file stesso.
Di per sé lo slack non viene utilizzato, ma è un residuo (un file occupa 
n cluster ma l'ultimo non è completamente riempito: lo spazio rimanente 
è lo slack). Cosa ci sia dentro dipende da come il sistema lo gestisce. 
Evidentemente non c'è la data in quanto tale, visto che quella andrebbe 
nella directory, ma potrebbero esserci dati di qualunque tipo. Quello 
che puoi dimostrare con lo slack, al massimo, è che quei dati esistevano 
prima della creazione del file di cui sono appunto lo slack.

 nella directory, ma potrebbero esserci dati di qualunque tipo.
Suppongo che ciò dipenda dallo stato di frammentazione, visto che
nell'n-esimo cluster potrebbe esserci un frammento di file di un'altra
applicazione. O il contrario, visto che i cluster potrebbero essere
contigui.
Domanda: come si analizza lo slack?


 
http://www.guidancesoftware.com/
. Molto interessante...
si, era quello di cui ti parlavo.
Molto, molto interessante, ma prezzi...! :(


 dentro con un semplice editor esa.
BTW sono andato sulla partizione di win98se, e ho provato ad aprire col note
pad i file: user.dat, system.dat. Sono illeggibili... anche qui occorre un
editor a basso livello? A questo punto è preferibile fare l'immagine su
file, usando come os, linux? Scusa, ma se sono file di winzozz, linux come
fa a vederli??
Per quanto riguarda SCHEDLOG.TXT, riporta solo gli eventi delle Norton
utility, anche se poi sul pc sequestrato nn avevo le norton
Riassumendo: bisognerebbe prima fare l'immagine di tutto il disco usando un
software il meno invasivo possibile, e poi lavorarci sopra.


 Leonardo (root@altrove)
Mi hai fatto venire in mente l'intestazione di un fax che ho visto
arrivare:
From: Pianeta terra
To:   Ovunque
.....
No, nessun esperimento della NASA per comunicare con gli alieni,
trattasi di due agenzie di viaggi che intrattengono ottimi rapporti.
 
PS: non sara' spam, mandare ovunque un messaggio? :-)


 software il meno invasivo possibile, e poi lavorarci sopra.
Yes. Ed e' l'unico sistema.
Non solo, devi fare presenziare un pubblico ufficiale che verifichi che
stai solo ricopiando, senza manomettere, e che sigilli l'originale per
eventuali verifiche future.
Ma insisto: affidati ad un perito accreditato, a noi comuni mortali
potrebbe sfuggire quella quisquilia che ti potrebbe far condannare alla
sedia elettrica.:-)


 Domanda: come si analizza lo slack?
Con un disk editor... forse ci sono programmi fatti apposta ma non ne 
conosco.

 Scusa, ma se sono file di winzozz, linux come fa a vederli??
Non importa che siano di windows o no... per vedere un file non c'è 
bisogno di sapere come è strutturato all'interno. E poi niente impedisce 
di avere sotto linux un programma in grado di leggere un file windows 
(vedi staroffice che legge i file di office).

 (vedi staroffice che legge i file di office).
yes, mi ero confuso.



E qui sta il punto. Esiste per caso un elenco online di periti che lavorano
per le procure? un amico su i.c.h. mi ha chiesto come fa un perito
informatico a svolgere il lavoro di Consulente Tecnico d'Ufficio. Mi hanno
detto che esiste un albo, ma in rete non ho trovato niente.
BTW leggendo su Italian Crackdown
http://www.apogeonline.com/openpress/libri/529/
la storia di G. Pugliese, mi sono venuti i brividi, visto che il tribunale
nominò come CTU, un perito fonico!!


 Domanda: come si analizza lo slack?
Se usi un programma anche come il vecchio Disk Editor delle NU (de.exe, mi
pare), puoi vedere i cluster che compongono un file, e in fondo all'ultimo
trovi della "schifezze", che possono essere valori binari senza senso o
contenere frammenti di testo anche interessanti, dipende cosa c'era prima
in quel cluster. L'ho usato in alcuni casi per "rimettere insieme" i pezzi
di file che avevo perso per ragioni varie.


 fa a vederli??
Monti la partizione specificando il tipo di filesystem VFAT. Se si tratta
di un file immagine usi il dispositivo di loopback (che non c'entra con
l'interfaccia di rete omonima).


 per le procure? un amico su i.c.h. mi ha chiesto come fa un perito
Non saprei.
E' una di quelle cose per cui io mi affiderei al mio avvocato, lui
sapra' poi (si spera) come accedere all'albo.
