Jerzy Kosiński Wyższa Szkoła Policji w Szczytnie

Wielkość: px

Rozpocząć pokaz od strony:

Download "Jerzy Kosiński Wyższa Szkoła Policji w Szczytnie"

Jacek Sadowski
8 lat temu
Przeglądów:

1 Jerzy Kosiński Wyższa Szkoła Policji w Szczytnie

koncie Contact Name: Facebook Security / LE Response Team Online Service Address: 18

2 Portal społecznościowy Informacje z komputera użytkownika Informacje z portalu o kontach o wprowadzanym kontencie o użytkowniku o historii jego działań na swoim koncie na obcym koncie Contact Name: Facebook Security / LE Response Team Online Service Address: 18 Hacker Way Menlo Park, CA Phone Number: Address: records@facebook.com

3 Co można znaleźć? Gdzie można znaleźć? Jak szukać?

4 Analiza protokołu wymiany danych na portalu społecznościowym zwykle pozwala na znalezienie śladów: wyszukiwania znajomych wypowiedzi na tablicy (neews feed) wpisów na tablicach innych tworzenia wydarzeń wysyłania komunikatów o wydarzeniu do grupy zapisów czatów.

wypowiedzi na tablicy (neews feed) wpisów na tablicach innych

5 Format protokołu Facebook a class="actorpic UIImageBlock_Image UIImageBlock_SMALL_Image" href="«url profilu odpowiadającego»" tabindex="-1"><img class=\\\"uiprofilephoto uiprofilephotomedium img" src="«zdjęcie profilu odpowiadającego»" alt="" /></a><div class=\\\"commentcontent UIImageBlock_Content UIImageBlock_SMALL_Content"><a class="actorname" href="«url profilu odpowiadającego»" datahovercard="/ ajax/hovercard/user.php?id=«id profilu odpowiadającego»">«pełna nazwa»</a> <span datajsid=" text">\\u200e«treść odpowiedzi»</span><div class="commentactions fsm fwn fcg"><abbr title="«local time»" data-date="«time in GMT-7»" class="timestamp">«last post s time» znaczenie Odpowiedź na wpis może być zidentyfikowana zarówno w RAM, jak i cache przeglądarki w formacie HTML

$id=«id profilu odpowiadającego»">«pełna nazwa»</a> <span datajsid=" text">\\u200e«treść odpowiedzi»</span><div class="commentactions fsm fwn fcg"><abbr title="«local time»" data-date="«time in$

6 Format protokołu Facebook a class="actorpic UIImageBlock_Image UIImageBlock_SMALL_Image" href="«url profilu testera»" tabindex="-1"><img class="uiprofilephoto uiprofilephotomedium img"src=" /IB7NOFm Pw2a.gif" alt="" /></a><div class="commentcontent UIImageBlock_Content UIImageBlock_SMALL_Content"><a class="actorname" href="«url profilu testera»" datahovercard="/ ajax/hovercard/user.php?id=«id profilu testera»">«pełna nazwa»</a> <span datajsid=" text">\\u200e«treść komentarza»</span> znaczenie Komentarz może być zidentyfikowany zarówno w RAM, jak i cache przeglądarki w formacie HTML

gif" alt="" /></a><div class="commentcontent UIImageBlock_Content UIImageBlock_SMALL_Content"><a class="actorname" href="«url profilu testera»"

7 Wysłanej wiadomości nie udało się zlokalizować, ale odpowiedź na nią była widoczna w pamięci RAM, chociaż w nieokreślonym formacie

8 Format protokołu Facebook a { "t":"msg", "c":"p_ ", "s":14, "ms":[ { "msg":{ "text":"«content of chat»", "time":«unix timestamp», "clienttime":«local unix timestamp», "msgid":" " }, "from":«tester s profile id», "to":«pomocnik s profile id», "from_name": «tester s full name»", "from_first_name": «tester s first name»", "from_gender":1, "to_name":"«pomocnik s full name>", "to_first_name": «pomocnik s first name>", znaczenie Zapis chatu może być zidentyfikowany zarówno w RAM, jak i cache przeglądarki

id», "from_name": «tester s full name»", "from_first_name": «tester s first name»", "from_gender":1, "to_name":"«pomocnik s full

9 Metadata Field Uri fb_item_type parent_itemnum thread_id recipients recipients_id album_id post_id application user_img user_id account_id user_name created_time updated_time To to_id Link comments_num picture_url Description Unified resource identifier of the subject item Identifies item as Wallitem, Newsitem, Photo, etc. Parent item number-sub item are tracked to parent Unique identifier of a message thread All recipients of a message listed by name All recipients of a message listed by user id. Unique id number of a photo or video item Unique id number of a wall post application used to post to Facebook(i.e, from an iphone or social media client) url where user profile image is located Unique id of the poster/author of a Facebook item unique id of a users account display name of poster/author of a Facebook item When a post or message was created When a post or message was revised/updated Name of user whom a wall post is directed to Unique id of user whom a wall post is directed to url of any included links Number of comments to a post url where picture is located

Parent item number-sub item are tracked to parent Unique identifier of a message thread All recipients of a message listed by name All recipients of a message listed by user id.

10 Ślady działalności na portalu społecznościowym znajdują się w obszarze pamięci i urządzeń: pamięci operacyjnej (RAM, pagefile, hiberfil) pamięci podręcznej przeglądarki (cache) w plikach obrazów maszyn wirtualnych w plikach migawek maszyn Wirtualne (snapshot) w zapisach systemu plików Android, iphone (dump)

podręcznej przeglądarki (cache) w plikach obrazów maszyn wirtualnych w

11 - profil cess=1 - zmiana w profilu w zakładce relacje 1#!/photo.php?fbid= &set=a &type=1&theater - zdjęcia kontaktów 1#!/?sk=app_ _ komentarz pod zdjęciem 1#!/?sk=nf - oglądanie news feed'a

100001850512038&type=1&theater - zdjęcia kontaktów http://www.facebook.com/editprofile.php?sk=contact&success= 1#!/?sk=app_2305272732_2392950137 - komentarz pod zdjęciem http://www.

12 Internet Evidence Finder (

19 Facebook JPG Finder (

20 CacheBack (

21 Narzędzia do analizy pamięci operacyjnej: Forensic Toolkit (FTK), En-case, X-Ways Win32dd ( Helix (

22 Narzędzia do analizy urządzeń mobilnych: XRY 5.0 ( Oxygen Forensics Suite 2012 (

23 Dziękuję za uwagę

Podobne dokumenty

2/2013. Media elektroniczne Electronic media. social media. security. freedom. data

2/2013. Media elektroniczne Electronic media. social media. security. freedom. data Kwartalnik Wydziału Prawa i Administracji Uniwersytetu Mikołaja Kopernika w Toruniu Quarterly of the Faculty of Law and Administration of Nicolaus Copernicus University in Torun privacy data social media