أمن المعلومات

التحليل الجنائي لـ Recycle Bin

بسم الله الرحمن الرحيم

والسلام عليكم ورحمة الله وبركاته

 

عندما تقوم بحذف ملف من نظام التشغيل تابع لشركة مايكروسوفت ، فأن الملف لا يحذف بشكل نهائي بل يتم تخزينه في recycle bin في حالة اراد المستخدم استعادة هذا الملف ، ولكن عندما تقوم بالضغط على زر او مفتاح SHIFT من لوحة المفاتيح ومن ثم اختيار الحذف ، فأن الملف يتم حذفه بشكل كل من النظام ولا يتم تخزينه في recycle bin .

 

من منظور المحلل الجنائي يعتبر recycle bin ، عبارة عن منجم ذهب ، لما يحتوي على الكمية الهائله من البيانات والمعلومات ، التي تساعد على جمع الادلة ، لذلك يقوم المحلل الجنائي بتحليل هذه الملفات !

 

الصوره ادناه توضح مسارات تواجد ملف recycle bin في جميع الانظمه التابعه لشركة مايكروسوفت

 

11-300x67

 

الان سوف نقوم بتحليل ملف INFO2 لنظام Windows XP المتواجد في recycle bin ، اولاً يجب ان نقوم بعملية اظهار المجلد لانه فعلياً مخفي في النظام ، ولكيفية ذلك الصوره القادمه توضح ذلك

 

2-244x300

 

بعد القيام بهذه العمليه ، نذهب الى مسار C ، لنشاهد امامنا مجلد RECYCLER

 

3-300x238

 

بعد الدخول للمجلد نلاحظ ملف اخر بأسم [ S-1-5-21-484763869-1220945662-682003330-500 ] ، حيث يقوم النظام بأنشاءه

 

4-300x136

 

نقوم بفتح سطر اوامر Command Line ، ونقوم بالذهاب للمسار الاتي ، نلاحظ وجود ملف INFO2 الذي سوف نقوم بتحليله

 

5-300x150

 

وللقيام بعملية التحليل سوف نستخدم اداة rifiuti من اصدار شركة مكافي

ولتحميل الاداة ، قم بالدخول للرابط

http://www.mcafee.com/in/downloads/free-tools/rifiuti.aspx

ولاستخدام الاداة من سطر الاوامر

 

7-300x150

 

نسحب ملف INFO2 ونضعه في مجلد الاداة ، ومن ثم نكتب الامر التالي ، لتحويل البيانات الى ملف TXT حتى نقوم باستعراضها

rifiuti.exe INFO2 >result.txt

 

8-300x150

 

بعد الانتهاء من هذا الامر ، نلاحظ وجود ملف result.txt ، داخل مجلد الاداة

 

9-300x177

 

لو قمنا بفتح الملف ، سوف نجد الكثير من البيانات التي تساعد المحلل الجنائي على اثبات ما يريد !

من حيث وقت حذف الملف والتاريخ ، وحجم الملف والمسار الذي كان يتواجد فيه الملف قبل حذفه

 

10-300x134

 

ان شاء الله الشرح ينال اعجابكم

نلتقي في الجزء القادم من طرق التحليل الجنائي ;)

والسلام عليكم ورحمة الله وبركاته

محمد خريشة

مهندس حاسوب من الأردن مهتم ومهووس بكل ماله علاقة بالتقنية على اختلاف اصنافها, عملت و مازلت اعمل كمطور لمواقع الويب بشكل فردي, عملت بمؤسسات اردنية كمهندس شبكات ومن ثم مهندس انظمة و حماية و الآن أعمل كمدير لقواعد بيانات اوراكل بالإضافة الى ادراة خوادم *nix , لدي خبرة بالتعامل و ادارة نظام تشغيل OpenVMS و نظام البريد الإلكتروني Exchange Server من شركة مايكروسوفت . من اهتماماتي اثراء المحتوى التقني العربي بكل ما هو جديد.

مقالات ذات صلة

‫3 تعليقات

  1. السلام عليكم ,
    عندي وندوز 7 ولم اجد الملف INFO2
    في المسار C:\$Recycle.Bin
    ظهر عندي 8 من سلة المهملات
    وكلها تحتفظ بالمعلومات نفسها

    كيف اجده ؟

    شكرا

اترك تعليقاً

لن يتم نشر عنوان بريدك الإلكتروني. الحقول الإلزامية مشار إليها بـ *

six + eight =

إغلاق