Web Browser Forensics

 


Web Browser Forensics

Web Browser yani internet tarayıcı uygulamaları, işletim sistemi kurulduğu anda browser kurulumunu da gerçekleştiririz. Bilgisayar kullanan her kullanıcının olmazsa olmazlarından biridir yani genel anlamda internette gezinmek, işletim sistemine ait dosyaları görüntülemek için Web Browserları kullanılmaktadır. Hepimizin kullanmış olduğu bu browser kendi içerisinde arama sorguları, kullanıcı adı, parola, form verileri, e-posta, kredi kartı bilgileri ve daha nice çok veriyi içinde kaydettiğini ayrıca indirilen medyalar, bookmark (yer imleri) ve tarayıcı geçmişi, kullanıcının sörf alışkanlığını gibi bilgileri de barındırdığını görmüşüzdür. Tabi bu özellikleri sayesinde kullanıcılara büyük kolaylıklar sağlar. Forensics bakış açısı ile bu tür bilgilere bakarsak bizlerinde işini bir nebze olsa kolaylaştırdığını söyleyebiliriz. Güvenliği ihlal edilmiş bir sistemin ana nedenini bulmak için analizi gerçekleştirdiğimiz artifackler bulunur bu artifacklerden biride browser artikfakleridir.

Browser forensics teknikleri ile bir saldırgan tarafından browser vasıtasıyla yetkisiz erişimin temel nedenini (root casue) belirleme süreci ve tekniğidir, analizin çoğu bölümü yetkisiz giriş etkinliğini ilişkilendirmek ve bir saldırının kaynağını belirlemektir. Browser forensics sayesinde indirilmiş dosya silinmiş olsa bile nereden indirildiği, kayıtlı parola bilgileri, web geçmişi gibi kritik bilgileri elde edebiliriz. İçerisinde bu kadar bilgiyi muhafaza eden browserlar analizi göz ardı edilemeyecek kadar önemlidir. Güvenliği ihlal edilen bir Windows sisteme sahip makine üzerinde analiz yapılırken olayın root casue bulunması açısından, browserlarda çok değerli bilgiler edilebiliriz. Olay öncesi sisteme bulaşan malware’ın nereden geldi mail aracılığıyla mı? browserdan kullanıcı kendisi mi indirdi gibi sorulara web browser forensics tekniklerini uygulayarak bulabiliriz.  Browser artifackleri sayesinde oluşturulan timeline yardımcı olabilecek çok fazla bilgiyi elde edebiliriz.

Genellikle malware kaynağı browserlarda bulunan artifcakler sayesinde bulunur. Malware analiz edilmesi kadar browser artifacklerinin analizi de bir o kadar değerlidir.  Kullanıcı bir phishing url adresine mi tıkladı tıkladıysa neye tıkladı ya da zararlı eklenen bir eklenti yüzünden mi güvenliği ihlal edildi gibi önemli bilgileri elde edebiliriz.  

Bu blog yazımda bu browser artifacklerinin toplanması ve nasıl analiz edildiğinden bahsedeceğim.

Browser Forensics Analiz sayesinde;

·       Browserlar içerisinde gezinme geçmişi (history kaydı), yer imleçleri (booksmark), indirilenler (downloands), önbellek verileri (cache), çerez bilgileri (cookies) gibi bilgileri elde edebiliriz.

·       History kayıtları sayesinde kullanıcının hangi web adreslerine eriştiğini tespit edebiliriz.

·       Cache, (önbellek), web sitelerinde gezinirken tarayıcı birçok nedenden dolayı her türlü önbellek verisini (resimler, javascrpit dosyaları vb.) oluşturur. Web sitelerinin yükleme süresini hızlandırmak için bu cache bilgileri kullanılır.

·       Form Data, formlar içine yazılan her şey genellikle tarayıcı tarafından depolanır, bu nedenle kullanıcı bir sonraki sefer formunu içine bir şey girdiğinde tarayıcı önceden girilmiş verileri önerebilir.

Kullanılan platforma bağlı olarak Chrome, Firefox, Safari, IE, Opera gibi bir çok web browser mevcuttur. Aşağıda kullanım yüzdelikleri verilmiştir.

 

Figure 1https://en.wikipedia.org/wiki/Usage_share_of_web_browsers

 

Browser Artifack Analizi:

Bu blog yazımda popüler olarak kullanılan Chrome, FireFox, Edge internet tarayıcılarını artifacklerini analiz edeceğiz, Bildiğimiz üzere çok çeşitli web browser sürümleri var hayliyle hepsinin farklı artifack lokasyonları bulunur. Artifackleri analiz etmek için çeşitli toollar kullanabiliriz. Benim popüler olarak kullanmış olduğum toollar, EseDatabaseView, Browser History Viewer,  DB Browser, Hindsight, araçlarını kullanmaktayım. Sizlerde ücretsiz bir şekilde elde edip kullanabilirsiniz. 

 

Chrome





Google tarafından geliştirilen ücretsiz bir web tarayıcısıdır. Eylül 2008’de Microsoft Windows sürümü yayımlanmış; daha sonra Linux, macOS, iOS ve Android sürümleri de geliştirilmiştir. Google, Chrome’un kaynak kodlarının büyük kısmını Chromium adlı açık kaynak projesi kapsamında paylaşır (https://tr.wikipedia.org/wiki/Google_Chrome)

 

 

Chrome artifacklerin genelde bulunduğu konum;

Linux:

/home/$USER/.config/google-chrome/

/home/$USER/.config/chromium/

Windows:

C:Users[USERNAME]AppDataLocalGoogleChrome

MacOS:

_/Users/$USER/Library/Application/ Support/Google/Chrome/

 

Bu yazımda Windows bir sistem üzerinde genel Chrome artifackleri analiz edilmesinden bahsedeceğim. (Genel mantalite diğer işletim sistemlerinde aynıdır.)

Bookmarks

Bookmarks yani yer imleleri olarak oluşturduğumuz sık kullanılan web adreslerini analiz etmek için Bookmarks dosyasına bakabiliriz. Chrome Bookmarks kayıtlarını Json dosya formatında saklar

C:Users<username>AppDataLocalGoogleChromeUser DataDefaultBookmarks

konumunda bulunur.

Bookmarks dosyasını parse etmek için notpead veya Sublime Text kullanılabilir.

Görüldüğü içerisini açıp bookmarks kısmını analiz edebiliriz.

 

Cache

Cache bilgileri geçmişte gidilen sitelere, aynı siteler sık ​​ziyaret edildiğinde aynı görüntülerin ve içeriğin tekrar tekrar indirilmesini önlemek için kullanılırdı. Chrome, önbellek içeriğini ve bilgilerini üç tür dosyada depolar: tümü önbellek klasörlerinin altındaki dizin, data_X ve f_XXXXXX dosyaları. Data_X dosyaları, veriler küçükse önbelleğe alınmış içeriği depolar, ancak daha büyük bir resim veya başka bir içerikse f_XXXXXX’e aktarılır

C:Users<username>AppDataLocalGoogleChromeUser DataDefaultCache

C:Users<username>AppDataLocalGoogleChromeUser DataChromeDefaultDataCache

Konumunda bulunur.

Bu dosyaları teker teker analiz etmek zor olabilir. Bu klasörün tümünü analiz etmemiz gerekmektedir. Bu dosyaları parse etmek için ise Browser History Viwer aracını kullanabiliriz.


Görüldüğü gibi parse etme işlemlerini gerçekleştirebiliyoruz.

 

Cookies

C:Users<username>AppDataLocalGoogleChromeUser DataDefaultNetworkCookies

Cookies dosyasını parse etmek için DB Browser for SQLite aracını kullanabiliriz.

Favicons

Chrome Favicons SQLite Veritabanında favicon_bitmaps ve icon_mapping tablolarında saklanır. Favicons [SQLite Database] Favicons sayesinde geçmiş silinse bile ikonlar sayesinden silinen geçmiş tespit edilebilir.

C:Users<username>AppDataLocalGoogleChromeUser DataDefaultFavicons

Favicons dosyasını parse etmek için DB Browser for SQLite aracını kullanabiliriz

From geçmişi



Chrome Form Geçmişi, otomatik doldurma (autofill) web verileri SQLite veritabanında saklar.

C:Users<username>AppDataLocalGoogleChromeUser DataDefaultWeb Data

WebData dosyasını parse etmek için DB Browser for SQLite aracını kullanabiliriz

Logins

Chrome girişleri, SQLite veritabanı dosyası olan “Web Data” dosyası içerisinde login tablosundata tutar.  

Oturum verileri (Session Data)

Chrome oturum verilerini, “Session” klasöründe tutar.

C:Users<username>AppDataLocalGoogleChromeUser DataDefaultSessions

Thumbnails (Küçük Resimler)

Chrome Thumbnails bilgilerini “Top Sites” dosyasında tutar.

C:UsersMAAppDataLocalGoogleChromeUser DataDefaultTop Sites

Top Sites dosyasını parse etmek için DB Browser for SQLite aracını kullanabiliriz

 


History

History dosyası bir veritabanı dosyasıdır. Ve SQLLite kullanılarak incelenebilir. Veritabanında mevcutta bulunan tablolar; Downloads, presentation, urls, keyword_search_terms, segment_usage, visits, meta, segments, Cache

Şeklindedir.

C:Users<username>AppDataLocalGoogleChromeUser DataDefaultHistory

Link:User Clied on a link

Type: The url was written

Auto Bookmark

Start page

From submit

Downloands: Chrome indirilen geçmişleri SQLite veritabanında “History” dosyasındak, downloand table içeisinde tutmaktadır.

Searches: Chrome aramaları “History” SQLite veritabanı dosyasındaki “Keyword_serach_terms” tablosunda tutar. İlişkili url bilgilerinide görebiliriz.

Website Visits (Web adres ziyareti): Chrome Web sitesi ziyaretlerini “History” SQLite veritabanı dosyasındaki “visits” tablolarında tutar. İlişkili url bilgilerini “url” tablosunda tutar.

URLS – urls tablosu, Chrome için temel tarama geçmişini içerir. Bu, ziyaret edilen tüm URL’ler için tek bir örnek, son ziyaret edilen zaman için bir zaman damgası ve ziyaret edilenlerin sayısı için bir sayaç içerecektir.

Visit– Visit tablosu: Chromium kullanan taraycılara özeldir. Sayfa her ziyaret edildiğinde aynı URL için birden fazla kayıt içermektedir. Kullanıcı bir url adresine birden fazla gidebilir her gittiğinde ise ayrı bir zaman damgası oluşturur.  Burada zorluk olarak url listelenmeketeidr. Yalnızca URL tablosunda eşleşen url kaydını gösterir. Bu veriler manuel analiz ediliyorsa iki tablonun birleştirilmesi gerektiği ve silinen kayıtları oyan herhangi bir aracın eşleşen kaydı bir tabloda bulması gerektiği veya kısmi sonuçlara anlamına gelir.

Visit_Source: Belirli bir url’in kaynağı da dahil olmak üzere tüm geçmişi, yerel olarak mı taranmış, başka bir yerden senkronize edilmiş veya başka bir tarayıcda içe mi aktarılmış diye tespit edilmesine imkan tanır.

Yukarda Google Chrome’un artifaklerini ve lokasyonlarını anlattım bu kadar locasyon ve teker teker parse etmekle uğraşmak istemiyorsak Hindsight aracını kullanabiliriz.

 


Aracımızı çift tıklayıp çalıştırıyoruz. Görüldüğü gibi karşımıza cmd ekranı çıkmakta ve localhost:8080 listenig modunda olduğunu belirtmekte. Herhangi bir internet tarayıcısını kullanarak http://localhost:8080/ adresine gidiyoruz.

Adresine gittiğimizde karşımıza bu şekilde bir sayfa çıkmaktadır.

Şuan bu tool ile chrome ve Brave tarayıcılarını parse edebiliyoruz.

Chrome artifacklerini path yolunu Profile path kısmına cache pathinide cach dosyasınının bulunduğu path’i veriyoruz Run diyerek aracımızı çalıştırıyoruz.

 


 Parse etme işlemleri tamamlandıktan sonar karşıma bu şekilde bir ekran geliyor.

Burada görüldüğü gibi bize neleri parse ettiği gibi mahiyetinde özet bilgiler sunmakta asıl artifackleri ise Save XLSX diyerek bir excel dosyasında inceleyebiliriz ya da farklı formatlardaki dosya tiplerinde çıktı larak analiaz edebiliriz benim favori olarak kullanmış olduğum excel vazgeçilmez 🙂

Excel dosyamızı açtığımız zaman alt tarafta farklı sayfaları da görebilmekteyiz. Buradaki bilgileri alarak analizimizi gerçekleştirebiliriz.

 

Microsoft Edge


Microsoft Edge; Windows 10, Windows 11, Windows 10 Mobile ve Xbox One’da kullanılmak üzere Microsoft tarafından geliştirilen web tarayıcısı. Tüm cihaz türlerinde Internet Explorer’ın yerini alarak varsayılan web tarayıcısı olmak üzere tasarlandı. (https://tr.wikipedia.org/wiki/Microsoft_Edge)

Artifackleri analiz etmek için çeşitli toollar kullanabiliriz. Benim popüler olarak kullanmış olduğum toollar, EseDatabaseView, Browser History Viewer,  DB Browser, Hindsight, araçlarını kullanmaktayım

C:UsersMAAppDataLocalMicrosoftEdgeUser DataDefault

Lokasyonunda artifackler bulunur.

Yukarda Chrome’da detaylı açıklanan tüm artifakler bu lokasyonda bulunur.

C:UsersMAAppDataLocalMicrosoftEdgeUser DataDefaultHistory

Dosyasında












Bilgileri bulunur. Yukarda chrome da bu sekmeler detaylı bir şekilde anlatılmıştır.

 

Cookies

C:UsersMAAppDataLocalMicrosoftEdgeUser DataDefaultExtension Cookies-journal

Thumbnails (Küçük Resimler)

C:UsersMAAppDataLocalMicrosoftEdgeUser DataDefaultTop Sites

 

Favicons

C:UsersMAAppDataLocalMicrosoftEdgeUser DataDefaultFavicons

Cache

C:UsersMAAppDataLocalMicrosoftEdgeUser DataDefaultCacheCache_Data

Bookmarks

C:UsersMAAppDataLocalMicrosoftEdgeUser DataDefaultBookmarks

From geçmişi

C:UsersMAAppDataLocalMicrosoftEdgeUser DataDefaultWeb Data

Sessions

C:UsersMAAppDataLocalMicrosoftEdgeUser DataDefaultSessionsTop Sites

 

Thumbnails (Küçük Resimler)

C:UsersMAAppDataLocalMicrosoftEdgeUser DataDefault

Profile Path: C:UsersXXAppDataLocalPackagesMicrosoft.MicrosoftEdge_XXXAC

History, Cookies and Downloads:

[ESE Database]

C:UsersXXAppDataLocalMicrosoftWindowsWebCacheWebCacheV01.dat

Settings, Bookmarks, and Reading List: C:UsersXXAppDataLocalPackagesMicrosoft.MicrosoftEdge_XXXACMicrosoftEdgeUserDefaultDataStoreDatanouser1XXXDBStorespartan.edb

Cache: C:UsersXXXAppDataLocalPackagesMicrosoft.MicrosoftEdge_XXXAC#!XXXMicrosoftEdgeCache

Last active sessions: C:UsersXXAppDataLocalPackagesMicrosoft.MicrosoftEdge_XXXACMicrosoftEdgeUserDefaultRecoveryActive

History

History dosyası bir veritabanı dosyasıdır. Ve SQLLite kullanılarak incelenebilir. Veritabanında mevcutta bulunan tablolar; Downloads, presentation, urls, keyword_search_terms, segment_usage, visits, meta, segments, Cache

Şeklindedir.

C:Users<username>AppDataLocalGoogleChromeUser DataDefaultHistory

Link:User Clied on a link

Type: The url was written

Auto Bookmark

Start page

From submit

Downloands: Chrome indirilen geçmişleri SQLite veritabanında “History” dosyasındaki downloand table içerisinde tutmaktadır.

Searches: Chrome aramaları “History” SQLite veritabanı dosyasındaki “Keyword_serach_terms” tablosunda tutar. İlişkili url bilgilerini de görebiliriz.

Website Visits (Web adres ziyareti): Chrome Web sitesi ziyaretlerini “History” SQLite veritabanı dosyasındaki “visits” tablolarında tutar. İlişkili url bilgilerini “url” tablosunda tutar.

URLS – urls tablosu, Chrome için temel tarama geçmişini içerir. Bu, ziyaret edilen tüm URL’ler için tek bir örnek, son ziyaret edilen zaman için bir zaman damgası ve ziyaret edilenlerin sayısı için bir sayaç içerecektir.

Visit– Visit tablosu: Chromium kullanan tarayıcılara özeldir. Sayfa her ziyaret edildiğinde aynı URL için birden fazla kayıt içermektedir. Kullanıcı bir url adresine birden fazla gidebilir her gittiğinde ise ayrı bir zaman damgası oluşturur.  Burada zorluk olarak url listelenmektedir. Yalnızca URL tablosunda eşleşen url kaydını gösterir. Bu veriler manuel analiz ediliyorsa iki tablonun birleştirilmesi gerektiği ve silinen kayıtları oyan herhangi bir aracın eşleşen kaydı bir tabloda bulması gerektiği veya kısmi sonuçlara anlamına gelir.

Visit_Source: Belirli bir url’in kaynağı da dahil olmak üzere tüm geçmişi, yerel olarak mı taranmış, başka bir yerden senkronize edilmiş veya başka bir tarayıcı da içe mi aktarılmış diye tespit edilmesine imkan tanır.

 

Mozilla FireFox






Artifackleri analiz etmek için çeşitli toollar kullanabiliriz. Benim popüler olarak kullanmış olduğum toollar, EseDatabaseView, Browser History Viewer,  DB Browser, Hindsight, araçlarını kullanmaktayım

Windows Vista, 7, 8, 10

C:Users<username>AppDataRoamingMozillaFirefoxProfiles<profile folder>

C:Users<username>AppDataLocalMozillaFirefoxProfiles<profile folder>cache2

Mac OS X

/Users/<username>/Library/Application Support/Firefox/Profiles/<profile folder>

/Users/<username>/Library/Caches/Firefox/Profiles/<profile folder>/cache2

Linux/Unix

/home/<username>/.mozilla/firefox/<profile folder>

/home/<username>/.cache/mozilla/firefox/<profile folder>/cache2

 

 

Windows sistem üzerinde analiz gerçekleştireceğim.

Belirtilen path üzerinde dosyalar analiz edilebilir.

 

places.sqlite:

History (moz__places), bookmarks (moz_bookmarks), ve downloads (moz__annos) bilgilerini görebiliriz. Bu dosya analizi sayesinde, User followed a link 2: User wrote the URL, User used a favorite, Loaded from Iframe, Accessed via HTTP redirect 301, Accessed via HTTP redirect 302, Downloaded file bilgilerini görebiliriz.

formhistory.sqlite : Web form data (like emails)

handlers.json : Protocol handlers (like, which app is going to handle mailto:// protocol)

addons.json and _extensions.sqlite _ : indirilen addons and extensions bilgileri

cookies.sqlite : Contains cookies. MZCookiesView can be used in Windows to inspect this file.

favicons.sqlite : Favicons

prefs.js : Settings and Preferences

downloads.sqlite : Old downloads database (now it’s inside places.sqlite)

thumbnails/ : Thumbnails

logins.json : Encrypted usernames and passwords

 

Safari

/Users/$User/Library/Safari lokasyonunda artifackler bulunur.

History.db: History_visits ve history_items tabloları, geçmiş ve zaman damgaları hakkında bilgiler içerir.

Downloads.plist: İndirilen dosyalar hakkındaki bilgileri içerir.

Book-marks.plist

TopSites.plist: Kullanıcının göz attığı en çok ziyaret edilen web sitelerinin listesi.

Extensions.plist: Safari tarayıcı uzantılarının eski tarz bir listesini almak için.

 

 

Opera

/Users/$USER/Library/Application Support/com.operasoftware.Opera

Opera, tarayıcı geçmişini ve indirme verilerini Google Chrome ile tam olarak aynı biçimde saklar. Bu, tablo adları kadar dosya adları için de geçerlidir.

 

İncognito (Gizli) sekme Web Tarayıcı Analizi:

İncognito özelliği olan normal sekmelerin geçmişi diske yazmaz. Bu, kullanıcı gizli modu kullanırsa, tarama kanıtının tek kaynağının bellekte veya uzantıya göre sayfa dosyası veya hazırda bekleme dosyalarında bulunacağı anlamına gelir. Verileri canlı bir sistemden alabildiğiniz sürece, gizli geçmişi bellekten tespit edilebilir. Bellek geçicidir ve sistem kapatıldığında veriler kaybolacaktır.






 

 

Kaynak:

https://resources.infosecinstitute.com/topic/browser-forensics-google-chrome/

https://www.sans.org/blog/google-chrome-forensics/

https://forensafe.com/blogs/googlechrome.html

https://forensafe.com/blogs/microsoftedge.html

https://archerhall.com/knowledge-base/internet-browser-forensics

https://www.security-hive.com/post/browser-forensics-useful-forensic-data

Comments

  1. najlepszy sklep

    Hello! Do you know if they make any plugins to assist with Search Engine Optimization? I’m trying to get my blog to
    rank for some targeted keywords but I’m not seeing very good success.
    If you know of any please share. Kudos! You can read similar article here: Dobry sklep

  2. Suivre Téléphone

    Suivre le téléphone portable – Application de suivi cachée qui enregistre l’emplacement, les SMS, l’audio des appels, WhatsApp, Facebook, photo, caméra, activité Internet. Idéal pour le contrôle parental et la surveillance des employés. Suivre le Téléphone Gratuitement – Logiciel de Surveillance en Ligne. https://www.xtmove.com/fr/

  3. Backlink Building

    Hello! Do you know if they make any plugins
    to help with SEO? I’m trying to get my blog to rank for
    some targeted keywords but I’m not seeing very good results.
    If you know of any please share. Thank you! You can read
    similar art here: AA List

  4. GSA Verified List

    Hey there! Do you know if they make any plugins to assist with SEO?
    I’m trying to get my blog to rank for some targeted keywords but I’m not seeing very good results.
    If you know of any please share. Many thanks! I saw
    similar text here: AA List

Bir yanıt yazın

E-posta adresiniz yayınlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir