fdtk.com.br » Blog Archive » Dados Voláteis

07 jan

Dados Voláteis

Autor: Paulo Neukamp // Categoria: Dicas, Scripts

Uma das primeiras ações do perito ao chegar no local da investigação é a coleta dos dados voláteis, pois os mesmos serão perdidos caso o equipamento seja desligado. Pensando nisso e numa forma de agilizar este processo que é composto de uma série de comandos, segue um script para amenizar este tarefa.

O script abaixo, necessita do pacote zenity para ser executado (# apt-get install zenity) e trabalha de forma interativa, sendo assim, leia com atenção o que lhe é solicitado para que o mesmo funcione corretamente.



#!/bin/bash
# Paulo Neukamp
## Tela de Aviso inicial
zenity --info --title "AVISO" --text " Este script deve ser usado somente quando você estiver realizando uma coleta de provas live e não reiniciou o equipamento (Preferencialmente tenha este script em uma PenDrive)"
## Tela solicitando em qual pasta os dados coletados devem ser salvos destino=`zenity --entry --title "DESTINO DOS DADOS" --text " Informe a pasta na qual os dados coletados devem ser salvos" --entry-text "/home/fdtk/caso1"  --width=200 --height=100`
## Tela solicitando o nome do caso a ser investigado
caso=`zenity --entry --title "NOME DO CASO" --text " Informe o nome do caso que está sendo investigado" --entry-text "Apropriação indevida de informações da empresa ZYX"  --width=200 --height=100`
## Tela solicitando o número do caso investigado
cason=`zenity --entry --title "NUMERO DO CASO" --text " Informe um número para o caso que está sendo investigado" --entry-text "00099-12-2008"  --width=200 --height=100`
## Tela solicitando o nome do perito em trabalho
perito=`zenity --entry --title "NOME DO PERITO" --text " Informe o nome do perito que esta gerando estar informações" --entry-text "Paulo Neukamp"  --width=200 --height=100` data=$(date) echo "  " >> $destino/dados-volateis.txt echo "  " >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo "     Relatório de evidências voláteis coletadas em modo Live!" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt echo "  " >> $destino/dados-volateis.txt
echo "Perito: $perito" >> $destino/dados-volateis.txt
echo "Caso: $caso" >> $destino/dados-volateis.txt
echo "Número: $cason" >> $destino/dados-volateis.txt
echo "Data Início: $data" >> $destino/dados-volateis.txt
echo "  " >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo "              Iniciando script de coleta dos dados volateis" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo "                              Data do sistema" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt date >> $destino/dados-volateis.txt echo >> $destino/dados-volateis.txt echo "===============================================" >> $destino/dados-volateis.txt
echo "                         Identificação do equipamento" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt echo >> $destino/dados-volateis.txt hostid >> $destino/dados-volateis.txt echo >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo "                            Nome do Equipamento" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt hostname >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo "                            Sistema operacioal" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt uname -a >> $destino/dados-volateis.txt echo >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo "                           Configurações do IP" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt echo >> $destino/dados-volateis.txt ifconfig -a >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo "                         Tempo de funcionamento" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt w >> $destino/dados-volateis.txt echo >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo "                     Quem esta logado no equipamento" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt who >> $destino/dados-volateis.txt echo >> $destino/dados-volateis.txt echo "===============================================" >> $destino/dados-volateis.txt
echo "                           Últimos Logins" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo " " >> $destino/dados-volateis.txt last -a -i >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt echo "===============================================" >> $destino/dados-volateis.txt
echo "                        Estado das conexões" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt echo >> $destino/dados-volateis.txt netstat -an >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo "                       Tabela de Roteamento" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt netstat -rn >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt echo "===============================================" >> $destino/dados-volateis.txt
echo "                       Informações do RPC" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt rpcinfo -p 127.0.0.1 >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo "                      Lista dos Processos" >> $destino/dados-volateis.txt
echo "===============================================" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt ps -eaf >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt echo "===============================================" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt
echo "Data Final: $data" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt
echo " Final da coleta dos Dados Volateis do Equipamento" >> $destino/dados-volateis.txt
echo >> $destino/dados-volateis.txt ## Listagem com todos os arquivos do equipamento
echo "  " >> $destino/dados-vol-arq.txt echo "  " >> $destino/dados-vol-arq.txt
echo "===============================================" >> $destino/dados-vol-arq.txt
echo "     Relatório de evidências voláteis coletadas em modo Live!" >> $destino/dados-vol-arq.txt
echo "===============================================" >> $destino/dados-vol-arq.txt
echo "  " >> $destino/dados-vol-arq.txt
echo " Perito: $perito"  >> $destino/dados-vol-arq.txt echo " Caso: $caso" >> $destino/dados-vol-arq.txt
echo " Número: $cason" >> $destino/dados-vol-arq.txt echo " Data Início: $data" >> $destino/dados-vol-arq.txt
echo "  " >> $destino/dados-vol-arq.txt
echo "===============================================" >> $destino/dados-vol-arq.txt
echo "                  Lista de todos os arquivos" >> $destino/dados-vol-arq.txt
echo "===============================================" >> $destino/dados-vol-arq.txt
echo >> $destino/dados-vol-arq.txt FIND_PATH="/" FIND_FLAGS="-printf %m;%Ax;%AT;%Tx;%TT;%Cx;%CT;%U;%G;%s;%pn" echo >> $destino/dados-vol-arq.txt echo "Permissão;Data_Ult.acesso;Hora_ult_acesso;Data_Modificação;Hora_Mudança;Data_Mudança;Hora_Mudança; Proprietário;Grupo;Tamanho;Nome_do_Arquivo";find $FIND_PATH $FIND_FLAGS) >> $destino/dados-vol-arq.txt echo >> $destino/dados-vol-arq.txt
echo " Data Final: $data" >> $destino/dados-vol-arq.txt
echo >> $destino/dados-vol-arq.txt
echo " Final da Lista dos arquivos do equipamento" >> $destino/dados-vol-arq.txt
echo >> $destino/dados-vol-arq.txt ## Listagem do sha256sum todos os arquivos do equipamento
echo "  " >> $destino/dados-vol-arq-hash.txt echo "  " >> $destino/dados-vol-arq-hash.txt
echo "===============================================" >> $destino/dados-vol-arq-hash.txt
echo "     Relatório de evidências voláteis coletadas em modo Live!" >> $destino/dados-vol-arq-hash.txt echo "===============================================" >> $destino/dados-vol-arq-hash.txt
echo "  " >> $destino/dados-vol-arq-hash.txt echo " Perito: $perito" >> $destino/dados-vol-arq-hash.txt
echo " Caso: $caso" >> $destino/dados-vol-arq-hash.txt
echo " Número: $cason" >> $destino/dados-vol-arq-hash.txt echo " Data Início: $data" >> $destino/dados-vol-arq-hash.txt echo "  " >> $destino/dados-vol-arq-hash.txt
echo "===============================================" >> $destino/dados-vol-arq-hash.txt
echo "                  md5sum de todos os Arquivos" >> $destino/dados-vol-arq-hash.txt
echo "===============================================" >> $destino/dados-vol-arq-hash.txt
echo >> $destino/dados-vol-arq-hash.txt hash="md5sum -b" find $FIND_PATH -xdev -type f -exec $hash {} ; >> $destino/dados-vol-arq-hash.txt echo >> $destino/dados-vol-arq-hash.txt
echo "===============================================" >> $destino/dados-vol-arq-hash.txt
echo >> $destino/dados-vol-arq-hash.txt
echo " Data Final: $data" >> $destino/dados-vol-arq-hash.txt
echo >> $destino/dados-vol-arq-hash.txt
echo " Final da Lista do sha256sum de todos os Arquivos" >> $destino/dados-vol-arq-hash.txt
echo >> $destino/dados-vol-arq-hash.txt
echo ## Mostrando os Arquivos criados echo ls $destino | zenity --list --title "Lista de Arquivos" --text " Lista dos arquivos criados durante a execução deste script" --column " Arquivo "  --width=700 --height=400

Tags: coleta, Dados Voláteis, voláteis

Deixe seu comentário

18 visitantes online agora
15 visitantes, 3 bots, 0 membros
Máx. de visitantes hoje: 20 às 02:38 am UTC
Este mês: 50 às 02-16-2020 04:31 pm UTC
Este ano: 81 às 01-10-2020 11:42 pm UTC
No total: 81 às 01-10-2020 11:42 pm UTC