Sabe Porque?Galera, estou muito feliz por ter comprido uma grande parte da lista de coisas queeu postei falando que ia vim na fase BETA!!! Uma delas e ter comprado o dominio para o blog!!!Eu pensei que o blog demoraria para receber o dominio mas ate que foi bem rapido.Apartir de Amanha[14/06/11] o blog tera a ajuda do nosso moderador Carlinmdo, postando e divertindo voces, lembrando tambem que apartir da mesma data citada acima todos os posts conterao um avatar de nossos personagens do AQW, para ficar melhor de identificar quem esta postando ^^. AQW Brasil 2011Eae galera,esse site e totalmente novo e esta em construcao.O objetivo do blog e informar e divertir os players do aqw, trazendo a eles os melhores Br's no pvp e do jogo, desde que participem do blog!Logo postarei novidades! o nosso site deu um problema intao nos criamoos outro com a msm funcao...top'so link esta ai para que voce possao entrar e postarhttp://topsaqw.blogspot.com/2011/06/pessoal.htmlvlw entrem la e divulguem O software PTK, uma interface grafica para o Sleuth Kit, mais amigavel e bonita que o Autopsy. Com ele poderemos investigar a imagem extraida do sistema comprometido esta interface executa uma indexacao (ate indexar muito processamento e memoria).Criando caso:Preencha os campos conforme imagem:Adicionando ImagemAdicione uma imagem de disco. Ao adicionar a imagem ha uma opcao para calcular o md5, marque esta opcao e compare com o gerado no AIR, desta forma havera certeza que a imagem esta integra.Tambem e possivel verificar o md5 com o comando md5sum. A imagem mostra que embora possuam o mesmo nome e tamanho nao sao iguais.Indexando:Paciencia, esta etapa vai demorar, em um Core 2 Duo demorou 12h em uma imagem de 30GB.Siga conforme imagem, marque todos campos.Pesquisando - O que procurar? - Nesta etapa o investigador necessitara de uma iluminacao? Nao! Existem modificacoes em arquivos e strings podem dar uma pista inicial:E indispensavel conhecer o sistema operacional, pois arquivos diferentes do padrao podem ser considerados suspeitos.E interessante conhecer o perfil de utilizacao da maquina, no caso da imagem analisada, ser um servidor, nele nao deveria ocorrer alteracoes frequentes em programas instalado, nem navegacao.Em resumo tudo que sai do padrao deve ser considerado suspeito, sendo assim o Bookmarks, deve conter tudo que parece anormal assim facilitara a analise de cada evidencia.Windows:Arquivos que podem afetar o sistema operacional:exe, ini, com, bat, cmd, vbsLinux:Como o linux trabalha com os headers de arquivo e nao por extensao, nao ha tipo de arquivo que possa interferir no sistema operacional. Qualquer arquivo com permissoes de execucao pode ser um risco, muitos Exploits, sao simplesmente scripts em formato texto, mas com permissoes de execucao.Procurar em todo o disco seria muito exaustivo (nem sempre escaparemos disto), uma ideia interessante e utilizar os MACtimes:M - Meta dados, permissoes.A - AcessoC - Criacao ou modificacaoO PTK, fornece a possibilidade construir um grafico com esses valores, isto facilita na localizacao de evidencias. Alem do grafico e possivel analisar uma tabela, nesta tabela podemos encontrar arquivos de log recentemente alterados que devem ir para os bookmarks.Alem da pesquisa por arquivos podemos fazer buscas por strings nos arquivos.