Forensik-Tool forex

Forex ist ein terminalbasiertes Forensik-Tool unter Linux, dessen Entwicklung hauptsächlich durch die Diskussionen über den NFI-Bericht im Fall Froon/Kremers entstanden ist.

Hier werde ich immer die aktuelle Version des Programms zum Testen zur Verfügung stellen. Gerne können hier gefundene Bugs und Verbesserungsvorschläge gepostet werden. Eine erste Version wird bald veröffentlicht.

Außerdem suche ich nach Leuten, die sich eventuell am Projekt beteiligen wollen. Eine Beteiligung muss dabei nicht unbedingt in Form einer Mitentwicklung stattfinden, es gibt auch neben der Programmierung einige Aufgaben zu erledigen. Wer Interesse hat, kann mir gerne eine Email an forex-project@freenet.de senden.

Hier eine erste Beta-Version des Programms zum Testen:

https://www.dropbox.com/scl/fi/vu63mzy7a336kdoy605vh/forex_09_beta.zip?rlkey=vmpleg36fova7lmf5ih5jtjej&st=zrs454y6&dl=0

Programmaufruf für Disks : forex -d
Programmaufruf für Images: forex -i IMAGEDATEI

Im Programm gibt es mit help eine Befehlsübersicht.

Nachtrag: Am Besten vorher ein Terminal mit root-Rechten holen (sudo su), da der Zugriff auf Disks nur so funktioniert.

Falls der Link aus dem ersten Post über Dropbox nicht geht oder Probleme damit auftreten, werde ich zukünftige Versionen direkt auf Allmy hochladen.

Hier die aktuelle Beta-Version 0.9.1b, in der schonmal ein paar Bugs behoben wurden:

Dateianhang: forex_0_9_1b.zip (60 KB)

Diese ist zum Testen wahrscheinlich besser geeignet.

Neue Beta-Version 0.9.2b:

Dateianhang: forex_0_9_2b.zip (61 KB)

Neues Feature: Extraktion von Dateien und Slack in Ordner /forex/extract

Es ist jetzt auch ein Installations-Script dabei, bitte nach dem Entpacken die folgenden Befehle ausführen:

sudo su
chmod -x ./install.sh
./install.sh

Update:

Da das Interesse sich scheinbar in Grenzen hält, möchte ich nochmal ein paar Screenshots vorstellen, in der die Funktionen der kommenden Beta-Version 0.9.3b dargestellt sind. Es ist noch einiges zu tun und dafür wären Mitentwickler/Programmtester hilfreich. Auch im Hinblick auf zukünftig weitere Funktionen.

Öffnet block devices und disk images:



Ordnernavigation mit Pfadangaben:


Ordnerinhalte anzeigen (geht auch rekursiv) normal, Zeitstempel oder forensisch mit Start-Kluster, Anzahl Überhangsektoren, Zustand:




Filter für Kluster-Nummer, Größe und Zeitstempel:


Kurzübersicht der Ordnerstruktur:


Klusterketten anzeigen (geht auch rekursiv):


Auszug aus der FAT anzeigen:


Hex-Dump eines Klusters inkl. Anzeige des Status und auf diesen Kluster referenzierender Einträge (bei allokierten Klustern inkl. Klusterkette):


Suche im Schlupfspeicher von Datein nach Daten und gezielte Anzeige der Überhangsektoren im Schlupfspeicher einzelner Dateien.




Weiterhin gibt es schon einen Befehl zum Extrahieren von Dateien inkl. Schlupfspeicher und einen Befehl zum Wiederherstellen gelöschter Dateien über deren Gelöscht-Eintrag.[/quote]

Quelle: