Disk Analysis

1. หลักการ

Disk image เก็บทุก byte ของ disk รวมไฟล์ที่ถูกลบ (ยังอยู่จนถูกเขียนทับ), slack space (พื้นที่ท้าย cluster), unallocated space, และ partition ที่ลบ การวิเคราะห์คือ mount แบบ read-only แล้วสำรวจ + recover ไฟล์ที่ลบ + carve ไฟล์จาก raw bytes ตาม signature

2. ระบุ format และ mount

# ดูชนิดไฟล์ + partition
file disk.img
fdisk -l disk.img
mmls disk.img                  # Sleuth Kit — partition layout + offset (sector)

# mount raw read-only
mkdir /mnt/d
mount -o ro,loop disk.img /mnt/d
# หลาย partition: ใช้ offset (start sector * 512)
mount -o ro,loop,offset=$((2048*512)) disk.img /mnt/d

# E01 (EnCase) → ต้อง ewfmount ก่อน
ewfmount disk.E01 /mnt/ewf
mount -o ro,loop /mnt/ewf/ewf1 /mnt/d

# VMDK/VHD → qemu-nbd หรือ guestmount

3. Sleuth Kit — สำรวจ filesystem

# list ไฟล์ (รวมที่ถูกลบ * = deleted)
fls disk.img                   # root
fls -o 2048 disk.img           # ระบุ partition offset
fls -r -o 2048 disk.img        # recursive ทั้งหมด
fls -rd -o 2048 disk.img       # เฉพาะ deleted files

# ดึงไฟล์ตาม inode
icat -o 2048 disk.img 1234 > recovered_file   # inode 1234

# ดู metadata ของ inode
istat -o 2048 disk.img 1234

# timeline (ดูหัวข้อ Timeline Analysis)
fls -r -m / -o 2048 disk.img > bodyfile

4. File carving (ดึงจาก raw bytes)

# foremost — carve ตาม file signature (magic bytes)
foremost -i disk.img -o output/
foremost -t jpg,pdf,zip -i disk.img -o out/   # เฉพาะชนิด

# photorec — interactive recover (เก่งหลาย format)
photorec disk.img

# binwalk — หา/แยกไฟล์ฝัง
binwalk disk.img
binwalk -e disk.img            # extract

# scalpel (คล้าย foremost)
scalpel -o out/ disk.img

5. หา flag/หลักฐานที่ไหน

• ไฟล์ที่ถูกลบ: fls -rd → icat — flag มักซ่อนตรงนี้ (ลบแล้วคิดว่าหาย)
• user folders: Desktop, Documents, Downloads, AppData
• browser: history, cache, cookies, downloads
• recycle bin: $Recycle.Bin (Windows), .Trash (Linux)
• registry hive (Windows): SAM, SYSTEM, NTUSER.DAT (ดู credential/config)
• logs: /var/log, Windows Event Logs (.evtx)
• slack/unallocated: carve ด้วย foremost/photorec
• hidden/system files: ls -la, attribute ซ่อน

6. Quick Reference

• mmls (partition+offset) → mount -o ro,loop,offset=N*512
• E01 → ewfmount ก่อน; VMDK → qemu-nbd
• deleted: fls -rd -o OFFSET → icat -o OFFSET img INODE
• carve: foremost/photorec/binwalk -e (จาก raw bytes)
• หา flag: deleted files, user folders, registry hive, recycle bin
• Autopsy = GUI ครอบ Sleuth Kit (ดูหัวข้อแยก)

🧭 จับมือทำทีละขั้น (มีแค่ Kali) + ถ้าติดไปไหนต่อ

สมมติเพิ่งได้ disk image มาไฟล์เดียว มีแค่ Kali เปล่าๆ ไม่มี GUI ให้พึ่งก็ทำได้ ทำตามนี้ทีละขั้นด้วย CLI ล้วนๆ

1. 1พิมพ์ file disk.img เช็คว่าเป็น raw/E01/อื่นๆ
2. 2พิมพ์ mmls disk.img ดู partition table + offset ของแต่ละ partition (หน่วย sector)
3. 3mount แบบ read-only: mount -o ro,loop,offset=$((2048*512)) disk.img /mnt/d (แทน 2048 ด้วย offset ที่ mmls บอก)
4. 4ถ้าเป็น E01: ewfmount disk.E01 /mnt/ewf ก่อน แล้วค่อย mount /mnt/ewf/ewf1 ต่อ
5. 5เดินดูไฟล์ปกติใน /mnt/d ก่อน (Desktop, Documents, Downloads, browser cache)
6. 6หาไฟล์ที่ถูกลบ: fls -rd -o 2048 disk.img ดูรายการ inode ที่มีเครื่องหมาย *
7. 7ดึงไฟล์ที่เจอ: icat -o 2048 disk.img > recovered_file แล้วเปิดดู
8. 8ถ้ายังไม่เจอ carve จาก raw bytes: foremost -i disk.img -o out/ หรือ photorec disk.img
9. 9ค้น flag ตรงๆ ทั้ง image: strings disk.img | grep -i flag
10. 10ถ้าอยากได้ GUI สำรวจง่ายกว่า พิมพ์ autopsy เปิดครอบ Sleuth Kit ตัวเดียวกัน