FORENSIC INSIGHT SEMINAR Web Browser Forensics : Part3 blueangel blueangel1275@gmail.com http://blueangel-forensic-note.tistory.com
목차 1. 웹브라우저로그분석 : 심화과정 통합타임라인분석 Time Zone 분석 검색어추출 URL 인코딩분석 사용자행위분류 삭제로그정보복구 2. 결론 forensicinsight.org Page 2 / 26
- 통합타임라인분석 - Time Zone 분석 - 검색어추출 - URL 인코딩분석 - 사용자행위분류 - 삭제로그정보복구 forensicinsight.org Page 3 / 26
통합타임라인분석 타임라인분석? 웹브라우저의사용내역을일련의시간흐름으로재구성 사용자의사이트간이동경로를파악, 전체적인사용자행위를유추 통합타임라인분석의필요성 한명의사용자가여러브라우저를동시에사용하는경우가많아짐 è 여러브라우저의로그를하나의타임라인상에서분석해주는도구필요 ~!!! 각로그의시간정보를기준으로통합 시간정보 forensicinsight.org Page 4 / 26
통합타임라인분석 5 대웹브라우저모두서로다른시간포멧사용 하나의공통된포멧으로통일할필요성이있음 웹브라우저 Internet Explorer Firefox Chrome Safari Opera 시간정보포멧 FILETIME: 100-nanosecond (10-9 ) Since January 1, 1601 00:00:00 (UTC+0) PRTime: microsecond(10-6 ) Since January 1, 1970 00:00:00 (UTC+0) WEBKIT Time: microsecond(10-6 ) Since January 1, 1601 00:00:00 (UTC+0) CFAbsoluteTime: second Since January 1, 2001 00:00:00 (UTC+0) UNIX Time: second Since January 1, 1970 00:00:00 (UTC+0) forensicinsight.org Page 5 / 26
- 통합타임라인분석 - Time Zone 분석 - 검색어추출 - URL 인코딩분석 - 사용자행위분류 - 삭제로그정보복구 forensicinsight.org Page 6 / 26
타임존분석 5대웹브라우저모두 UTC+0을기준으로시간정보저장 로그수집장소의지역시간으로변경할필요성이있음 è 분석도구의타임존변환기능필요 ~!!! 예외적으로지역시간으로저장되는경우가있음 è IE 주간히스토리정보의접근시간 forensicinsight.org Page 7 / 26
- 통합타임라인분석 - Time Zone 분석 - 검색어추출 - URL 인코딩분석 - 사용자행위분류 - 삭제로그정보복구 forensicinsight.org Page 8 / 26
검색어추출 검색어? 사용자의의도와관심사를가장명확하게알수있는키워드 웹브라우저포렌식조사과정에서가장중요한정보 일반적으로검색엔진에입력한검색어는 Cache, History 로그의 URL 에기록됨 기본적인 URL 구조 구글검색엔진에서 forensic 키워드검색시, 로그에저장되는 URL http://www.google.co.kr/#sclient=psy&hl=ko&newwindow=1&source=hp&q=forensic&aq=f&aqi=g5 &aql=&oq=&pbx=1&fp=a03afb05b2691392&biw=1280&bih=939 forensicinsight.org Page 9 / 26
검색어추출 전세계검색엔진점유율 ( 출처 : NetMarketShare, 2012 년 6 월 ) forensicinsight.org Page 10 / 26
검색어추출 검색어추출을위한각검색엔질별시그니처와검색어위치 검색엔진 도메인 시그니처 검색어위치 Google google.com sclient 변수 q 의값 Yahoo search.yahoo.com /search 변수 p 의값 Baidu baidu.com /s 변수 wd 의값 Bing bing.com /search 변수 q 의값 Ask ask.com /web 변수 q 의값 AOL search.aol.com /search/ 변수 q 의값 Excite msxml.excite.com /results/ 경로 /Web/ 뒤에위치 Lycos Search.lycos.com 변수 query 의값 Alta vista altavista.com /search 변수 p 의값 MSN bing.com /search 변수 q 의값 Naver naver.com /search 변수 query 의값 Daum daum.net /search 변수 q 의값 Nate nate.com /search 변수 q 의값 forensicinsight.org Page 11 / 26
- 통합타임라인분석 - Time Zone 분석 - 검색어추출 - URL 인코딩분석 - 사용자행위분류 - 삭제로그정보복구 forensicinsight.org Page 12 / 26
URL 인코딩분석 URL 에서영어가아닌문자는모두인코딩됨 è URL 디코딩필요 ~!!! forensicinsight.org Page 13 / 26
URL 인코딩분석 기본적인 URL 인코딩방식 헥사코드로표현한후, 1 바이트단위로 % 문자를앞부분에추가 è %ED%8F%AC%EB%A0%8C%EC%8B%9D URL 인코딩방식분류 UTF-8 인코딩 ü 1~4 바이트까지사용, 1 바이트까지는 ASCII 와동일 EX) %ED%8F%AC%EB%A0%8C%EC%8B%9D è 포렌식 ü 전세계에서가장많이사용하는인코딩형식 ü 검색엔진 : www.google.co.kr, www.yahoo.co.kr, www.bing.com, www.ask.com 코드범위 UTF-16(UNICODE) 표현 UTF-8 표현설명 000000-00007F 000080-0007FF 00000000 0xxxxxxx 0xxxxxxx ASCII 와동일한범위 00000xxx xxxxxxxx 110xxxxx 10xxxxxx 첫바이트는 110 으로시작하고, 나머지바이트들은 10 으로시작함 000800-00FFFF xxxxxxxx xxxxxxxx 1110xxxx 10xxxxxx 10xxxxxx 첫바이트는 1110 으로시작하고, 나머지바이트들은 10 으로시작함 010000-10FFFF 110110yy yyxxxxxx 110111xx xxxxxxxx 11110zzz 10zzxxxx 10xxxxxx 10xxxxxx UTF-16 서러게이트쌍영역 (yyyy = zzzzz - 1). UTF-8 로표시된비트패턴은실제코드포인트와동일하다. forensicinsight.org Page 14 / 26
URL 인코딩분석 URL 인코딩방식분류 ( 계속 ) Unicode 인코딩 ü Unicode의 2바이트를 16진수혹은 10진수형식으로인코딩 è %uhhhh or %26%23< 십진수 >%3B 형식으로인코딩됨 EX) %26%2354252%3B%26%2347116%3B%26%2349885%3B è 포렌식 ü 검색엔진 : www.baidu.com 코드페이지인코딩 ü 각나라의코드페이지에따라인코딩하는방식 ü 한국어의경우, EUC-KR( 한글완성형 ) 코드표에따라 2바이트단위로인코딩됨 EX) %C6%F7%B7%BB%BD%C4 è 포렌식 ü 같은 HEX 값이라도코드페이지에따라의미하는문자가달라짐 è %C6%F7%B7%BB%BD%C4 è EUC-KR è 포렌식 è EUC-JP è 匂兄縦 è 사이트혹은국가별구분필요 ü 검색엔진 : www.nate.com, www.paran.com forensicinsight.org Page 15 / 26
- 통합타임라인분석 - Time Zone 분석 - 검색어추출 - URL 인코딩분석 - 사용자행위분류 - 삭제로그정보복구 forensicinsight.org Page 16 / 26
사용자행위분류 필요성 URL 정보만으로는사용자행위를바로파악이어려움 è 웹브라우저를통해직접웹사이트를방문필요 è 시간소모 ~ 분석효율성증가 è 분석시간단축 ü 수많은로그기록에서사용자행위흐름을한눈에파악가능 ü 조사자가찾고자하는사용자행위를빠르게검색 forensicinsight.org Page 17 / 26
사용자행위분류 분류방법 History URL은웹사이트제작자에의해결정됨 è URL의도메인과 Path에는해당웹페이지의특징과역할을나타내는키워드존재 키워드를기반으로사용자행위분류 ü 일반적인키워드 : mail, lecture, map, news ü 특수키워드 : facebook, twitter, è DB에저장된시그니처사용 정보획득다운로드구입인간관계업무엔터테이먼트 사용자행위 일반키워드및분류방법 검색 검색어추출이가능하면검색행위로분류 위키피디아 wikipedia 문서보기.doc(x),.ppt(x),.xls(x),.pdf,.txt 블로그 blog 교육 lecture, study, learn 지도 map 뉴스 news 날씨 weather 사전 dic, dictionary ftp://, download 쇼핑 shop, store 예약 reservation, ticket SNS DB 에저장된시그니처사용 (facebook.com, twitter.com...) 커뮤니티 forum, cafe, club, group, community 채팅 chat 메일 mail, email, e-mail 일정 calendar 클라우드 DB 에저장된시그니처사용 (docs.google.com, zoho, aws.amazon, racksace... ) 은행업무 bank 신청 apply, application 등록 register game, movie, music, cartoon, sport, radio, adult, porn, sex forensicinsight.org Page 18 / 26
- 통합타임라인분석 - Time Zone 분석 - 검색어추출 - URL 인코딩분석 - 사용자행위분류 - 삭제로그정보복구 forensicinsight.org Page 19 / 26
삭제된로그정보복구 대부분의웹브라우저들은로그삭제기능을가지고있음 è 웹브라우저포렌식조사과정을어렵게만듬 forensicinsight.org Page 20 / 26
삭제된로그정보복구 사용자정보삭제기능분류 : 해당파일의내용을 (0 으로혹은파일초기상태로 ) 파일삭제 : 해당파일을파일시스템에서삭제 삭제기능분류에따른복구가능여부 : 복구불가능 ü 유사정보를통한복구 EX) History 정보가되도 Session 정보가삭제되는경우가있음 è 복구한세션파일의정보를통해 History 정보의일부분을복구가능 파일삭제 ü 파일시스템관점에서삭제된파일을복구한후, 삭제된정보추출 ü 카빙기법을통해삭제된파일복구가능 forensicinsight.org Page 21 / 26
삭제된로그정보복구 각브라우저별로그정보삭제방식 IE Firefox 웹브라우저로그정보삭제방식 Chrome Safari Opera Cache History Cookie Download Cache History Cookie Download Cache History Cookie Download Cache History Cookie Download Cache History Cookie Download index.dat 파일의데이터임시인터넷파일삭제 index.dat 파일의데이터일간 / 주간 index.dat 파일삭제 index.dat 파일의데이터 Cookie 텍스트파일삭제 IE 8 이하는다운로드정보없음 IE 9 다운로드정보의레코드는삭제되지않음 ( 비활성화 ) 파일삭제 파일삭제 forensicinsight.org Page 22 / 26
삭제된로그정보복구 각브라우저별삭제된로그정보에대한복구방식 IE 웹브라우저로그정보 Recovery Method Firefox Chrome Safari Opera Cache History Cookie 삭제된임시인터넷파일복구 삭제된일간 / 주간 index.dat 파일복구비할당영역에서일간 / 주간 index.dat 파일카빙 삭제된 Cookie 텍스트파일복구 Download IE 9 다운로드정보의레코드는삭제되지않음 ( 비활성화 ) Cache History Cookie Download Cache History Cookie Download Cache History Cookie Download Cache History Cookie Download N/A 삭제된 Session 파일복구비할당영역에서 session 파일카빙 N/A N/A 삭제된 Cache 파일복구 삭제된월간 History 파일복구 N/A N/A N/A 삭제된 Session 파일복구 삭제된 Cookie 파일복구 N/A N/A 삭제된 Session 파일복구 N/A N/A forensicinsight.org Page 23 / 26
결론 forensicinsight.org Page 24 / 26
결론 단순히로그파일파싱이전부가아니다 ~!! 웹브라우저로그분석에서고려해야할사항 여러웹브라우저에대한통합타임라인분석 Time Zone 적용 검색어추출 URL 인코딩 사용자행위분류 삭제된로그정보에대한복구 분석시, 위사항을고려및지원해주는도구사용 forensicinsight.org Page 25 / 26
질문및답변 forensicinsight.org Page 26 / 26