ShellBag Analizi
Microsoft Windows Explorer aracılığıyla, görüntülediğinde bir klasör penceresinin görünümlerini, boyutlarını ve konumlarını izlemeye yardımcı olur buna ağ klasörleri ve çıkarılabilir cihazlar dahildir. Yani Windows ekranını başka bir yere taşıdığımızda, boyutunu değiştirdiğimizde, içindeki dosya sıralamasını yaptıktan sonra bir daha hatırlamasında Shellbag yardımcı olur. Belirli bir klasörün penceresinin konumu, görünümü veya boyutunun adli analiz için neden önemli olduğu kafamızda soru işareti olarak kalabilir. Bu özellikler bir analiz için fazla değerli olmasa da, Windows bu özellikleri registry saklarken bir dizi ek yapı oluşturur ve analizi gerçekleştiren kişiye klasöre şüphelini göz atma geçmişine ve herhangi bir klasöre ilişkin ayrıntılara ilişkin ayrıntılı bilgi verir. Shellbag analizi sayesinde, Silinmiş klasörlerin bilgisini bulabiliriz. Kullanıcının hangi klasörle eriştiğini, Klasörlere ait zaman damgalarının bilgisine, ulaşabiliriz.
ShellBag’ler, Windows explorer kullandığınızda klasörlerin boyutunu, simgesini, görünümünü ve konumunu kaydetmek ve depolamak için Windows’un kullandığı bir kayıt defteri anahtarı biçimidir.
Bir kullanıcı klasör görünümünde simgeler ayarlarını büyük simge yaparsa, ayrıntıları değiştirirse, ayarların ShellBag’de depolanacağı anlamına gelir. Bir kullanıcı, Windows grafik arabirimindeki klasörlerin görünüm modunu veya konumunu değiştirdiğinde, Windows, “ShelBags” olarak bilinen Windows Kayıt Defteri anahtarlarındaki bilgileri hatırladığından, yeni görünüm kullanılabilir durumda kalır. Windows explorer’da kullanımı genellikle yalnızca yerel makinedeki klasörleri değil, aynı zamanda ağdaki veya USB diskler veya flash sürücüler gibi çıkarılabilir aygıtlardaki klasörleri de içeren veritabanlarına kaydedilir yani silindikten sonra bile dizinler hakkındaki bilgileri koruyan bu ShellBag’lerdir.
Shellbags artifacklerin lokasyonu;
(HKEY_CURRENT_USER) NTUSER.DATSoftwareMicrosoftWindowsShellBagMRU
NTUSER.DATSoftwareMicrosoftWindowsShellBags
Shellbags artifact’ler ayrıca, UsrClass.dat hive dosyasındaki aşağıdaki lokasyonda bulunur;
(HKEY_CLASSES_ROOT) USRCLASS.DATLocal SettingsSoftwareMicrosoftWindowsShellBagMRU
USRCLASS.DATLocal SettingsSoftwareMicrosoftWindowsShellBags
ShellBag Analizi
BagMRUkey, birden fazla subkey içerir. Bu subkeyler Windows Explorer aracılığıyla erişilen klasörlerin dizin yapılarını gösterir. BagMRU key kendisi Masaüstü temsil eder; ancak subkey geri kalanı belirli bir klasöre atanmaz, bunun erine klasörlere erişilen hiyerarşiye göre yapılandırır.
BagMRU anahtarı da dahil olmak üzere bu numaralandırılmış alt anahtarların her biri aşağıdaki değerleri içerir:
MRUListEx: bu değer, geçerli anahtar içindeki her alt klasöre en son erişildiği sırayı gösterir.
NodeSlot: bu değer, o belirli klasör için görünüm ayarlarını içeren bag key’e karşılık gelir.
NodeSlots: Bu değer yalnızca BagMRU anahtarında bulunur ve yeni Shellbag oluşturulduğunda güncellenir.
Bags key yapılan özelleştirmeler ise bu dosya içerisine kaydedilmektedir. subkey her biri, görünüm ayarlarını (görüntüleme modu, boyut, konum) BagMRU anahtarının altında saklar.
Shellbag analizini Registry editor, Regribber, Registry Explorer, ShelBag Explorer araçların herhangi birini kullanarak analiz edebiliriz. Ben bu blog yazımda Windows’ta default olarak gelen Windows Registry Editor ve Shellbag Explorer araçlarını kullanarak analiz edeceğim.
Registry Editör ile;
Registry Explorer; EZ araçları olarak geçmektedir ücretsiz kullanabileceğimiz bir tooldur. Shellbag Explorer hem CLI hem GUI kullanım özelliği mevcuttur.
İlk olarak CLI tool yardımıyla bir shellbag parse edelim.
İlk olarak cmd.exe’yi administrator olarak açıyoruz ve SBECmd.exe nin bulunduğu konuma gidiyoruz.
SBECmd.exe yazıp çalıştırıyoruz.
Görüldüğü gibi araç hakkın ve kullanılan parametreler hakkında bilgileri görebiliyoruz.
Live bir sistem üzerinde analiz etmek –l parameteresini kullanıyorum
SBECmd.exe -l –csv .muhammed
Komutunu yazıyorum
-l : live sistemin shellbag parse etmek için
–csv : parse etmek istediğimiz format ve dosya yolunu belirliyoruz.
Parse işlemi tamamlandıktan sonra
Karşımıza dosyaları çıkıyor. Txt dosyasında command line da yazan bilgileri görebiliyoruz.
Csv dosyasında 502 tane shelbag outputlarını parse ettiğini ögrebiliyoruz.
Active registry diyerek şuandaki sistem üzerinde shellbagleri analizini gerçekleştirebiliriz.
Shellbags Artifact Analizi Sayesinde;
· Value – Klasör adı
· Absolute Path – Klasörün yolu
· MFT Bilgileri
o Creation Date – klasörün oluşturulma zaman damgası
o Last Access – klasöre erişilen en son zaman damgası
o Last Modification Date – klasörün en son değiştirildiği zaman damgası
Bilgileri alabiliriz. Shellbag analizini yaptığımıza göre olaysız dağılabiliriz 🙂
Kaynak:
https://www.sans.org/blog/shellbags-registry-forensics/
https://forensafe.com/blogs/shellbags.html
https://www.sans.org/blog/computer-forensic-artifacts-windows-7-shellbags/
Comments
Pingback: Windows Forensics – Muhammed AYGÜN
Suivre le téléphone portable – Application de suivi cachée qui enregistre l’emplacement, les SMS, l’audio des appels, WhatsApp, Facebook, photo, caméra, activité Internet. Idéal pour le contrôle parental et la surveillance des employés. Suivre le Téléphone Gratuitement – Logiciel de Surveillance en Ligne.
Wow, amazing weblog layout! How lengthy have you ever been blogging for?
you made running a blog look easy. The overall glance of your
web site is great, as smartly as the content material! You can see similar here sklep
mexican online pharmacies prescription drugs: mexican pharmacy – mexican border pharmacies shipping to usa
indian pharmacies safe https://indiaph24.store/# india pharmacy mail order
reputable indian pharmacies
cheapest pharmacy canada canadian pharmacies canadianpharmacymeds com
http://mexicoph24.life/# buying prescription drugs in mexico
mexican mail order pharmacies: mexico drug stores pharmacies – mexico drug stores pharmacies
indian pharmacies safe indian pharmacy fast delivery п»їlegitimate online pharmacies india
http://canadaph24.pro/# pet meds without vet prescription canada
Misoprostol 200 mg buy online order cytotec online buy cytotec pills online cheap
http://finasteride.store/# order generic propecia without dr prescription
lisinopril 10 mg cost: lisinopril 5 mg tablet price in india – lisinopril 20g
https://lisinopril.network/# generic lisinopril
buy cytotec over the counter order cytotec online п»їcytotec pills online
alternative to tamoxifen п»їdcis tamoxifen tamoxifen hip pain
antibiotics cipro: buy cipro cheap – buy generic ciprofloxacin
http://cytotec.club/# Abortion pills online
http://nolvadex.life/# tamoxifen postmenopausal
cipro pharmacy: cipro pharmacy – buy cipro online canada
buy cipro online without prescription ciprofloxacin mail online ciprofloxacin 500mg buy online
http://ciprofloxacin.tech/# purchase cipro
order propecia without dr prescription cost of propecia for sale cost of propecia
http://cytotec.club/# cytotec pills buy online
https://nolvadex.life/# benefits of tamoxifen
cost cheap propecia for sale: buy cheap propecia without rx – home
buy cytotec cytotec abortion pill buy cytotec pills
http://cytotec.club/# buy cytotec pills online cheap
lisinopril 5 mg for sale lisinopril online without a prescription buy lisinopril online usa
ciprofloxacin over the counter: cipro generic – cipro
cost of generic propecia tablets order cheap propecia without dr prescription or buying generic propecia without insurance
https://images.google.com.vn/url?sa=t&url=https://finasteride.store order generic propecia without prescription
cost of propecia no prescription cheap propecia without dr prescription and order cheap propecia pill buy generic propecia pill
http://ciprofloxacin.tech/# ciprofloxacin 500mg buy online
order cheap propecia generic propecia buying generic propecia
order cytotec online: purchase cytotec – buy cytotec over the counter
https://ciprofloxacin.tech/# where can i buy cipro online
nolvadex for sale tamoxifen cost or benefits of tamoxifen
http://forum.wonaruto.com/redirection.php?redirection=http://nolvadex.life/ tamoxifen therapy
tamoxifen hip pain tamoxifen mechanism of action and lexapro and tamoxifen tamoxifen depression
Great article. If you’re a Counter-Strike 2 player unfamiliar with the latest weaponry additions, delve into the arsenal expansion featuring potent options like the XM214-A Minigun and the precision-tailored MARS-X Sniper Rifle. However, You can elevate your game with raw accel in this title, enriching your gaming experience. Discover further insights about the CS2 game in a dedicated post.
https://finasteride.store/# cost of cheap propecia now
tamoxifen skin changes tamoxifen menopause what happens when you stop taking tamoxifen
http://finasteride.store/# cost of cheap propecia no prescription
cipro for sale: ciprofloxacin – ciprofloxacin 500 mg tablet price
cipro ciprofloxacin cipro pharmacy buy cipro online without prescription
https://nolvadex.life/# tamoxifen dosage
zestoretic 20 12.5 mg: lisinopril 10 mg price – lisinopril 10 mg daily
https://finasteride.store/# order propecia
buy cipro online canada buy ciprofloxacin over the counter where can i buy cipro online
buy generic propecia without insurance buy generic propecia without insurance or order propecia no prescription
https://images.google.co.kr/url?q=https://finasteride.store order generic propecia without prescription
cost propecia online generic propecia no prescription and buying propecia pill buying propecia tablets
cytotec online cytotec pills buy online or order cytotec online
http://dl.theme-wordpress.ir/index.php?url=http://cytotec.club buy cytotec over the counter
buy cytotec cytotec pills buy online and buy cytotec pills online cheap cytotec abortion pill
propecia otc get cheap propecia without insurance cheap propecia price
https://lisinopril.network/# lisinopril 10mg
http://ciprofloxacin.tech/# ciprofloxacin 500mg buy online
lisinopril 2.5 mg cost: lisinopril tab 100mg – lisinopril 5mg
tamoxifen cyp2d6 lexapro and tamoxifen tamoxifen and bone density
https://cytotec.club/# buy cytotec pills
ciprofloxacin: buy cipro – cipro
tamoxifen for breast cancer prevention: tamoxifen adverse effects – low dose tamoxifen
http://finasteride.store/# cost of cheap propecia pill
buy cytotec Abortion pills online buy cytotec over the counter
https://finasteride.store/# get generic propecia without dr prescription
lisinopril pill 40 mg lisinopril 40 mg tablets best price for lisinopril
https://lisinopril.network/# lisinopril 20 mg tabs
cost of propecia pills cost of propecia without a prescription or buy propecia tablets
https://www.d-style.biz/feed2js/feed2js.php?src=https://finasteride.store cost of cheap propecia pill
cost of propecia without prescription get propecia without insurance and generic propecia prices cost generic propecia for sale
ciprofloxacin order online: ciprofloxacin generic price – cipro online no prescription in the usa
zestril 20 mg price in india lisinopril 30 mg tablet lisinopril 2.5 mg coupon
antibiotics cipro buy cipro online without prescription or buy ciprofloxacin
http://images.google.com.bz/url?q=https://ciprofloxacin.tech ciprofloxacin 500 mg tablet price
ciprofloxacin 500 mg tablet price ciprofloxacin mail online and п»їcipro generic cipro for sale
https://lisinopril.network/# over the counter lisinopril
https://cytotec.club/# cytotec pills buy online
tamoxifen brand name nolvadex for sale tamoxifen brand name
buy cytotec pills: cytotec pills online – Abortion pills online
clomid nolvadex tamoxifen alternatives or lexapro and tamoxifen
https://www.google.lk/url?q=https://nolvadex.life tamoxifen blood clots
tamoxifen and weight loss nolvadex side effects and tamoxifen hormone therapy is nolvadex legal
ciprofloxacin generic price cipro ciprofloxacin buy ciprofloxacin
https://nolvadex.life/# aromatase inhibitor tamoxifen
https://nolvadex.life/# tamoxifen adverse effects
lisinopril online usa lisinopril tab 100mg cheapest price for lisinopril india
tamoxifen hot flashes: tamoxifen lawsuit – tamoxifen warning
get cheap propecia pill cost generic propecia without rx or cost of cheap propecia without insurance
https://www.google.hu/url?q=https://finasteride.store cheap propecia without dr prescription
buy propecia generic propecia without rx and propecia tablets buy generic propecia without prescription
buy cytotec online: cytotec online – buy cytotec over the counter
https://cytotec.club/# cytotec pills buy online
http://ciprofloxacin.tech/# ciprofloxacin generic
Cialis 20mg price in USA Generic Cialis without a doctor prescription Buy Cialis online
http://kamagra.win/# sildenafil oral jelly 100mg kamagra
buy Viagra online: Cheapest place to buy Viagra – viagra without prescription
п»їkamagra: kamagra.win – cheap kamagra
Great post! Do you want to know how to find hidden apps on android? If so, to find hidden apps on Android, there are available some methods like Access Settings, Use File Manager, Check the App Drawer and Home Screen, and many others techniques to know these steps do visit the mentioned link of the article, there you’ll also get to know about scrcpy which is a screen mirroring tool for android devices. Do visit the article.
buy Kamagra kamagra oral jelly super kamagra
https://cialist.pro/# Generic Tadalafil 20mg price
http://cialist.pro/# cheapest cialis
Tadalafil price: Generic Tadalafil 20mg price – Cialis over the counter
Levitra generic best price Buy Vardenafil online or Levitra 10 mg best price
https://cse.google.gp/url?sa=t&url=https://levitrav.store Buy Vardenafil 20mg
Vardenafil online prescription Levitra tablet price and Cheap Levitra online Cheap Levitra online
cenforce for sale Purchase Cenforce Online Buy Cenforce 100mg Online
https://levitrav.store/# Buy Vardenafil 20mg
https://levitrav.store/# Cheap Levitra online
Buy Vardenafil 20mg online: Levitra generic price – Levitra online pharmacy
Generic Viagra online: Buy Viagra online cheap – order viagra
cenforce for sale Buy Cenforce 100mg Online Cenforce 150 mg online
buy cialis pill Cialis over the counter or Cialis 20mg price
https://images.google.com.vn/url?q=https://cialist.pro Cheap Cialis
Tadalafil price Generic Tadalafil 20mg price and buy cialis pill Cialis over the counter
cialis for sale: Cheap Cialis – Tadalafil price
http://cialist.pro/# Buy Tadalafil 20mg
Cheap generic Viagra online Buy generic 100mg Viagra online Order Viagra 50 mg online
Generic Levitra 20mg Levitra 20 mg for sale or Vardenafil price
https://images.google.gr/url?q=https://levitrav.store Vardenafil online prescription
Buy Vardenafil 20mg online Buy Vardenafil online and Vardenafil price Generic Levitra 20mg
over the counter sildenafil: Cheap Viagra 100mg – Generic Viagra for sale
buy viagra here cheapest viagra Buy Viagra online cheap
https://viagras.online/# Viagra generic over the counter
https://cenforce.pro/# cenforce for sale
Levitra online USA fast: Cheap Levitra online – Vardenafil buy online
https://levitrav.store/# Levitra online pharmacy
Kamagra 100mg price: kamagra – kamagra
viagra canada Cheap Viagra 100mg Viagra Tablet price
http://cialist.pro/# Cialis over the counter
canadian pharmacy king reviews canadian family pharmacy best canadian pharmacy to buy from
https://pharmnoprescription.icu/# prescription meds from canada
mexican pharmaceuticals online: mexico pharmacies prescription drugs – medication from mexico pharmacy
canadian pharmacy no prescription required: mexican pharmacies no prescription – medications online without prescriptions
online pharmacy no prescription online pharmacy canadian prescription pharmacy
Как выбрать дренажную помпу: руководство по выбору оптимального решения
https://pharmnoprescription.icu/# online pharmacy no prescription
http://pharmworld.store/# pharmacy no prescription required
buying prescription drugs online canada: canadian prescription drugstore reviews – buying prescription drugs online without a prescription