File/Data Carving & Recovery Tools

Reading time: 4 minutes

tip

Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks

Revisa los planes de suscripción!
Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.
Comparte trucos de hacking enviando PRs a HackTricks y HackTricks Cloud repos de github.

Herramientas de Carving y Recuperación

Más herramientas en https://github.com/Claudio-C/awesome-datarecovery

Autopsy

La herramienta más común utilizada en forenses para extraer archivos de imágenes es Autopsy. Descárgala, instálala y haz que ingiera el archivo para encontrar archivos "ocultos". Ten en cuenta que Autopsy está diseñada para soportar imágenes de disco y otros tipos de imágenes, pero no archivos simples.

Binwalk

Binwalk es una herramienta para analizar archivos binarios y encontrar contenido incrustado. Se puede instalar a través de apt y su código fuente está en GitHub.

Comandos útiles:

bash

sudo apt install binwalk #Insllation
binwalk file #Displays the embedded data in the given file
binwalk -e file #Displays and extracts some files from the given file
binwalk --dd ".*" file #Displays and extracts all files from the given file

Foremost

Otra herramienta común para encontrar archivos ocultos es foremost. Puedes encontrar el archivo de configuración de foremost en /etc/foremost.conf. Si solo deseas buscar algunos archivos específicos, descoméntalos. Si no descomentas nada, foremost buscará sus tipos de archivo configurados por defecto.

bash

sudo apt-get install foremost
foremost -v -i file.img -o output
#Discovered files will appear inside the folder "output"

Scalpel

Scalpel es otra herramienta que se puede utilizar para encontrar y extraer archivos incrustados en un archivo. En este caso, necesitarás descomentar del archivo de configuración (/etc/scalpel/scalpel.conf) los tipos de archivo que deseas que extraiga.

bash

sudo apt-get install scalpel
scalpel file.img -o output

Bulk Extractor

Esta herramienta viene dentro de kali, pero puedes encontrarla aquí: https://github.com/simsong/bulk_extractor

Esta herramienta puede escanear una imagen y extraer pcaps dentro de ella, información de red (URLs, dominios, IPs, MACs, correos) y más archivos. Solo tienes que hacer:

bulk_extractor memory.img -o out_folder

Navega a través de toda la información que la herramienta ha recopilado (¿contraseñas?), analiza los paquetes (lee análisis de Pcaps), busca dominios extraños (dominios relacionados con malware o inexistentes).