Ana içeriğe atla

The Sleuth Kit (TSK) ile Silinen Dosyaları Kurtarmak

The Sleuth Kit (TSK) araçlarını kullanarak silinen bir dosyayı nasıl elde elebileceğimizi en yalın haliyle örneklemeye çalışalım...

Öncelikle Windows 7 üzerinde komut satırına geçip aşağıdaki gibi bir komutla onemli.txt dosyasını oluşturalım.
C:\>echo "Onemli Veriler" > onemli.txt

Dosyamızın oluştuğunu doğrulamak için type komutu ile içine bakalım ve önemli verilerimizin yerinde durduğunu görelim :)
C:\>type onemli.txt
"Onemli Veriler"

Şimdi onemli.txt dosyasını kazara siliyoruz :)

C:\>del onemli.txt

Şimdi de dosyamızın silindiğini doğrulayalım...
C:\>type onemli.txt
Sistem belirtilen dosyayı bulamıyor. 

Hemen dir komutu verelim ve dosya listesini alalım...

C:\>dir
 C sürücüsündeki birimin etiketi yok.
 Birim Seri Numarası: C038-BD41

 C:\ dizini

10.06.2009  23:42                24 autoexec.bat
10.06.2009  23:42                10 config.sys
14.07.2009  04:37    <DIR>          PerfLogs
13.11.2015  13:43    <DIR>          Program Files
02.11.2015  17:33    <DIR>          tsk
13.10.2015  22:22    <DIR>          Users
15.11.2015  17:49    <DIR>          Windows
               2 Dosya               34 bayt
               5 Dizin    4.504.195.072 bayt boş


Görüldüğü gibi dosyamız silinmiş durumda! Onermi Verilerimizi kaybetmiş durumdayız... :)Artık TSK araçlarını kullanarak neler yapabiliriz bir bakalım..

Öncelikle C: sürücündeki dosyaları listelemek için fls aracını kullanalım...
C:\>fls \\.\c:
r/r 4-128-4:    $AttrDef
r/r 8-128-2:    $BadClus
.....
r/r 9759-128-1: autoexec.bat
r/r 9762-128-1: config.sys
d/d 9764-144-1: Documents and Settings
d/d 16566-144-1:MSOCache
r/r 43548-128-1:pagefile.sys
d/d 58-144-1:   PerfLogs
d/d 60-144-6:   Program Files
d/d 261-144-6:  ProgramData
d/d 16827-144-1:Recovery
d/d 11291-144-6:System Volume Information
d/d 54841-144-5:tsk
d/d 357-144-5:  Users
d/d 517-144-5:  Windows
-/r * 55019-128-1:onemli.txt
d/d 61696:      $OrphanFiles 


Yukarıdaki çıktıyı incelediğimzide silinmiş olan onemli.txt dosyasına ait kaydın  55019-128-1 numaralı MFT kaydında olduğunu görüyoruz...

Bu kaydın gösteridiği dosya içeriğini elde etmek için icat komutunu kullanalım...

C:\>icat \\.\c:  55019
"Onemli Veriler"

Görüldüğü gibi "Onemi Veriler"i elde etmeyi başardık... :)

Yorumlar

Bu blogdaki popüler yayınlar

Crunch ile Wordlist Oluşturmak

Crunch seçilen karakter kümesinden, istenilen uzunlukta parolalar üreten ve bu parolaları bir dosyaya yazarak wordlist oluşturan kullanışlı bir araçtır. Çalışmak için özel bir yetkiye ihtiyaç duymaz. Yalnızca derlenip çalıştırılması yeterlidir. Çalıştığında istenilen karakter kümesinden parolalar üretir ve bir dosyaya yazar.
Oldukça hızlı çalışır ve kolay kullanılır.



Crunch Kurulumu
Öncelikle crunch yazılımını indirelim.
harun@gondor:~$ wget http://garr.dl.sourceforge.net/project/crunch-wordlist/crunch-wordlist/crunch-3.0.1.tgz
İndirme işlemi bittikten sonra crunch-3.0.1.tgz arşivini açalım.

harun@gondor:~$ tar zxvf crunch-3.0.1.tgz crunch3.0/ crunch3.0/Makefile crunch3.0/GPL.TXT crunch3.0/crunch.1 crunch3.0/charset.lst crunch3.0/crunch.cArşivin açılmasıyla oluşan crunch3.0/ dizinine geçelim ve ardından make komutunu vererek derleme işlemini başlatalım.
harun@gondor:~$ cd crunch3.0/ harun@gondor:~/crunch3.0$ make Building binary... /usr/bin/gcc -Wall -lm -pthread -std=c99 -m32 -D_LARGEF…

Linux Kullanıcı ve Grup İşlemleri

Linux sistemlerde yeni bir kullanıcı eklemek için useradd komutu kullanılabilir. Aşağıdaki komut hakan isminde yeni bir kullanıcı hesabı açacaktır.

root@gondor:/home# useradd -m  -G admin,cdrom  hakan
-m paramesi kullanıcı için ev dizini oluşturulmasını sağlar.
-G parametresi kullanıcının üye olduğu grupları belirtir.

Şimdi hakan kullanıcına parolasını atamak için passwd komutunu kullanalım.

root@gondor:/home# passwd hakan Yeni parolayı girin: Yeni parolayı tekrar girin: passwd: şifre başarıyla güncellendi
Şimdi hakan kullanıcısını "disk" grubuna eklemek için aşağıdaki gibi bir komut verelim.

root@gondor:/home# usermod -a -G disk hakan
Bakalım hakan kullanıcısı hangi gruplara üyeymiş. Bunun için id komutunu "id kullanıcıadı" şeklinde kullanalım.
root@gondor:/home# id hakan uid=1001(hakan) gid=1001(hakan) gruplar=1001(hakan),6(disk),24(cdrom),118(admin)
Yukarıdaki çıktıya göre hakan kullanıcısı hakan, disk,cdrom ve admin gruplarına üyeymiş. Şimdi hakan kullanıcısını …

Aircrack ile WEP Crack

İlk olarak airmon-ng aracıyla wlan0 kablosuz ağ arayüzünden, dinleme ve paket sokuşturma işlemleri için kullanacağımız mon0 isimli sanal ağ arayüzünü oluşturalım.

airmon-ng start wlan0
Bu komutun ardından ekran çıktısı aşağıdaki gibi olacaktır...



Dinleme ve paket sokuşturma işlemlerini yapacağımız mon0 arayüzü oluştuğuna göre şimdi etrafımızdak kablosuz ağları tespit edelim. Bunun için airodum-ng aracını aşağıdaki gibi kullanabiliriz.

airdump-ng mon0

airodump-ng yukarıkdakine benzer şekilde çevrenizdeki kablosuz ağları listeleyecektir. Benim örneğimde yalnızca evde kullandığım kablosuz ağım yer alıyor. Dolayısıyla hedefdeki kablosuz ağ Seker isimli WEP şifreli kablosuz olacak...

Hedef ağı tespit ettikten sonra Ctrl+C tuş kombinasyonuyla airodump-ng aracını durduralım ve daha sonra yalnızca hedef ağı dinleyecek şekilde tekrar başlatalım.

airodump-ng -c 6 --bssid 00:a0:c5:98:1f:f9 -w Seker mon0
Bu komut -c parametresi ile 6. kanalı, --bssid parametresi ile MAC adresi verilen kablosuz ağ no…