Informtica Forense: Mdulo 2

PRCTICA MDULO 2
INFORMTICA FORENSE

Richard Taylor Pleite 53472946Q

Richard Taylor Pleite Pgina 1

Informtica Forense: Mdulo 2

EJERCICIO 1 En primer lugar hemos buscado los programas que aparecen en el temario para realizar las prcticas. El primero ha sido DD (Helix), pero no ha habido suerte.

Despus el FTK Imager, pero tampoco.

Richard Taylor Pleite

Pgina 2

Informtica Forense: Mdulo 2

Posteriormente he probado a buscar los programas de Windows en Linux por si acaso.

Y me he encontrado con un programa que pareca pudiera servir: Foremost.

Richard Taylor Pleite

Pgina 3

Informtica Forense: Mdulo 2

Acto seguido he procedido a instalar el programa desde la consola.

Richard Taylor Pleite

Pgina 4

Informtica Forense: Mdulo 2

El programa no se abra despus de haberlo instalado, as que he buscado ms programas y he encontrado los comandos para hacer el clon desde la consola.

Richard Taylor Pleite

Pgina 5

Informtica Forense: Mdulo 2

He descargado GParted para ver las rutas de las particiones y dispositivos.

He accedido al programa.

Richard Taylor Pleite

Pgina 6

Informtica Forense: Mdulo 2

He abierto el programa y aparecen por defecto las particiones del disco duro.

Acto seguido he accedido al dispositivo que tena que clonar.

Richard Taylor Pleite

Pgina 7

Informtica Forense: Mdulo 2

Con la ruta he introducido en la consola el comando para la clonacin del disco.

He creado la imagen del dispositivo.

Richard Taylor Pleite

Pgina 8

Informtica Forense: Mdulo 2

He comprobado que la imagen se encontraba en la carpeta especificada.

EJERCICIO 2 A continuacin he buscado el GTKHash para obtener el Hash del dispositivo y el archivo.

Richard Taylor Pleite

Pgina 9

Informtica Forense: Mdulo 2

Al intentar seleccionar el dispositivo no me dejaba, y varios archivos tampoco.

De modo que he buscado checksum para encontrar ms programas.

Richard Taylor Pleite

Pgina 10

Informtica Forense: Mdulo 2

He comprobado la informacin de los programas y ninguno era vlido.

De manera que he buscado en Google la manera de adquirir el hash.

Richard Taylor Pleite

Pgina 11

Informtica Forense: Mdulo 2

Al no tener permisos para el dispositivo, se los he dado mediante la consola de nuevo.

He decidido ir por partes y buscar primero las instrucciones para el MD5.

Richard Taylor Pleite

Pgina 12

Informtica Forense: Mdulo 2

Y he encontrado una pgina donde vena explicado.

He procedido a obtener el hash del dispositivo en MD 5.

Richard Taylor Pleite

Pgina 13

Informtica Forense: Mdulo 2

Me lo ha proporcionado.

He procedido a obtener el de la imagen del dispositivo.

Richard Taylor Pleite

Pgina 14

Informtica Forense: Mdulo 2

Al no coincidir he hecho una nueva imagen y he obtenido el cdigo de ambas a la vez.

Como se puede observar, coinciden a la perfeccin.

Richard Taylor Pleite

Pgina 15

Informtica Forense: Mdulo 2

Acto seguido, por intuicin he probado el comando para SHA1 de la misma manera.

Ha funcionado y he obtenido ambos cdigos coincidentes.

Richard Taylor Pleite

Pgina 16

Informtica Forense: Mdulo 2

ACLARACIONES PERTINENTES Algunos procesos se han omitido para simplificar la explicacin. Dichos procesos no documentados se explican a continuacin: Significado de comandos: o Sudo: Comando para actuar como SuperUser (root). o Of: Ruta de origen. o If: Ruta de destino. o Conv: Comando de conversin. o Notrunc: Comando para no truncar el archivo. o Noerror: Comando para no parar la operacin ante errores del dispositivo. o Md5sum: Comando para checksum en MD5. o Sha1sum: Comando para checksum en SHA1. Guymager: En un principio intent realizar la prctica con este programa, pero me fue imposible. Cada vez que intentaba clonar el dispositivo o crear una imagen a partir de este, cambiaba el formato automticamente a .000, pese a que estaba puesto para exportar los archivos a .dd o .xxx no daba la opcin de exportarlos nicamente como .dd. Creacin de nueva imagen: Al adquirir el hash de la primera imagen (usb.dd) no coincida con el del dispositivo, de modo que proced a crear una nueva imagen con un nombre distinto (usbusb.dd), de ah que en las capturas de pantalla no coincidan los nombres, pero el proceso ha sido el mismo, mediante el comando sudo dd. El dispositivo se trataba de un pendrive con una capacidad de 256Mb, como se puede observar al comienzo de la prctica, en la captura de pantalla del GParted.

Richard Taylor Pleite

Pgina 17