Randolph Chaves » ubuntu

Herramientas para análisis forense

Randolph — Fri, 17 Dec 2010 00:23:58 +0000

Listado de algunas herramientas de análisis forense para Debian, Ubuntu y derivadas:

$ sleuthkit
Conjunto de herramientas para análisis forense. Tambien conocido por TSK,
es una herramienta forense open-source para recuperación de datos.
Permite recuperar los datos y archivos dejados por el sospechoso.

Mas información de SleuthKit

$ autopsy
Interfase gráfica para el programa Sleuthkit.

Mas información de Autopsy

$ dcfldd
$ dcfldd if=/dev/zero of=/dev/null
Versión perfeccionada del comando dd para análisis forense

$ foremost
Aplicación forense para recuperación de datos

Sitio de Foremost

$ rdd
Programa de copia forense.

Sitio de rdd

$ scalpel
Herramienta de análisis de archivos de alta performance.

Mas información de scalpel

$ tct
Conjunto de utilitarios para análisis forense.

Mas información de tct

$ unhide (proc|sys|brute)
Herramienta forense para encontrar procesos y puertas ocultas TCP/UDP.

Mas información de Unhide

$ vinetto
Herramienta forense para examinar archivos Thumbs.db.

Mas información de vinetto

$ galleta
Herramienta forense para análisis de cookies del Internet Explorer.

$ pasco
Herramienta de análisis forense de cache de browsers Internet Explorer.

$ rifiuti2
Herramienta de análisis de papelera para sistemas MS Windows.

libtsk1 Biblioteca para análisis forense.

libtsk1-dbg Biblioteca para análisis forense con símbolos de debug.

libtsk1-dev Archivos de desarrollo para análisis forense.

Información de nuestro Sistema

Randolph — Thu, 26 Aug 2010 14:37:41 +0000

Algunos comandos para saber información sobre nuestro sistema en Ubuntu y Debian.

Sobre mother, microprocesador, memoria, disco duro, bios, versión y/o distribución que usamos y sistema en general.

CPU

Listar el nombre del modelo del CPU

$ sudo grep "model name" /proc/cpuinfo

Otra opción para ver información del CPU

$ cat /proc/cpuinfo

USANDO SED
Comando alternativo usando SED para obtener modelo CPU

$ sudo sed -n 's/^model name[ \t]*: *//p' /proc/cpuinfo

BIOS

display BIOS information

$ sudo dmidecode -t bios

MOTHER

Ver información de la MOTHER

$ sudo dmidecode -t baseboard

Ver información del tipo de procesador

$ sudo dmidecode --type=processor

Algunas opciones de dmidecode para -t [type]

bios
system
baseboard
chasis
sis
processor
memory
cache
connector
slot

Usando lshw

lshw es una pequeña herramienta para extraer información detallada sobre el hardware y configuración de la máquina. Se puede obtener información exacta de la memoria, versión del firmware, configuración de la tarjeta madre, versión de la CPU su velocidad y también del caché.

Crea un informe de nuestro hardware en un formato html, luego lo podemos ver con el navegador

$ sudo lshw -html > hardware.html

Reporte comprimido de toda la información de nuestro equipo:

$ sudo lshw | bzip2 > /tmp/reporte_de_hardware.txt.bz2

32 o 64 bits?

$ sudo lshw -C cpu|grep width

información de la tarjeta gráfica

$ lshw -C display

información de nuestro disco duro en un archivo html

$ sudo lshw -C disk -html > /tmp/diskinfo.html

Información CPU

$ sudo lshw -C cpu

procinfo - información estadística desde /proc

$ procinfo

Distribución

También funciona en Ubuntu

$ cat /etc/debian_version

Versión Ubuntu

$ cat /etc/issue

Ubuntu 9.10

$ lsb_release --all

No LSB modules are available.
Distributor ID: Ubuntu
Description: Ubuntu 9.10
Release: 9.10
Codename: karmic

Libro OOoBasic

Randolph — Tue, 24 Aug 2010 14:29:19 +0000

Libro “Aprendiendo OOo Basic”

Autor : Mauricio Baeza Servín

Libro para aprender a programar con OOo Basic dentro de OpenOffice.org, más de 500 páginas que te llevan paso a paso en tu aprendizaje. Archivo en su formato original ODT de OpenOffie.org Writer.

Como apoyo durante tu aprendizaje puedes suscribirte a la siguiente lista de correo: Consultas OOo Basic
La ultima actualización de este libro fue el: 07-Jul-2010
Licencia : GNU Free Documentation License, v1.3 o posterior

Sitio oficial donde bajar en distintos formatos inclusive el código fuente utilizado en el libro:

http://www.correolibre.net/archivos/

También con licencia GPL:

Sencillo y simple pero funcional sistema de facturación. Se usa OOo Base como base de datos y OOo Calc como interfaz de usuario. Esta adaptado a las necesidades de México, pero puedes adaptarlo fácilmente a tus necesidades.

Como apoyo para el uso, modificación, personalización y adaptación a tus necesidades, puedes suscribirte a la siguiente lista de correo: Consultas OOo Basic

La ultima actualización del sistema de facturación fué el: 24-Ago-2010

Habilitar SSH2 en WordPress

Randolph — Thu, 19 Aug 2010 20:10:58 +0000

Para actualizar wordpress siempre prefiero hacerlo manual y por consola. Pero dado que desde la administración solo permite ftp/ftps y hay quién maneja toda la administración visual y solo tiene conexión “ssh” con el servidor , en éste caso “libssh2-php” es una buena opción.

Recordar antes de actualizar wordpress o los plugin's,
hacer respaldo de la Base de Datos y todos lo datos.

En Ubuntu server o Debian se puede habilitar ssh2 instalando:

$ sudo aptitude install libssh2-php

En cherokee web server:

sudo nano /etc/php5/cgi/php.ini

En Apache:

sudo nano /etc/php5/apache2/php.ini

Agregar en la sección:

:::::::::::::::::::::::::::::::::::::::::::

; Dynamic Extension

:::::::::::::::::::::::::::::::::::::::::::

extension=ssh2.so

Luego reinciar el servidor web:

$ sudo /etc/init.d/apache2 restart

Para cherokee solo con “force-reload” es suficiente:

sudo /etc/init.d/cherokee force-reload

Ahora en la administración de wordpress en la ventana de conexión nos aparecerá ssh2 (Ver imágen)

Teniendo los permisos correspondientes en el servidor no debería haber ningún problema.

wget (Gestor de descargas)

Randolph — Wed, 18 Aug 2010 19:59:41 +0000

GNU Wget es una herramienta de software libre que permite la descarga de contenidos de una forma simple desde la interfaz de la ” línea de comandos”.

Soporta descargas mediante los protocolos http, https y ftp.

Siguiendo con la utilidades para consola, van algunos ejemplos del uso de wget.

Ejemplos:

Sin ningún parámetro especial, estaría bajando la distribución de “Ubuntu 10.04.1 desktop” :

$ wget http://releases.ubuntu.com/releases/10.04/ubuntu-10.04.1-desktop-i386.iso

Y si corta la conexión por algún motivo y podamos continuar la descarga usamos el parámetro <-c>:

$ wget -c http://releases.ubuntu.com/releases/10.04/ubuntu-10.04.1-desktop-i386.iso

En descargas muy largas como una “iso” de la distribución “ubuntu”, se puede limitar el ancho de banda de la descarga ya que podría ser que la descarga ocupara todo el ancho de banda durante mucho tiempo. El parámetro <–limit-rate=60K> en este ejemplo no superaría 60 kb/s.

$ wget -c --limit-rate=60K http://releases.ubuntu.com/releases/10.04/ubuntu-10.04.1-desktop-i386.iso

Algunos parámetros más:

-P nombredir     # Grabar los archivsave files into directory llamado "nombredir"
-p               # descarga todas las páginas.
-E               # Grabar páginas text/html como .html
-r               # recursivo
-k               # convertir enlaces para visualización local.
-U "Mozilla"     # enviar solicitud como usuario de Mozilla (navegador web)
-w N             # espera N segundos entre pedidos de descargas
--no-parent      # no descargará archivos por debajo del directorio que deseamos descargar.
-nd              # no crea jerarquía de directorios.
-nH              # no crea el directorio
--cut-dirs=N     # corta el nro de directorios a crear
--mirror         # Opciones para el "mirroring"

Wget es muy potente es solo una muestra de lo que se puede hacer. Por eso más información y para aprender más:

$ man wget

Manuales en distintos formatos en el sitio oficial GNU Wget.

Comandos para agilizar el uso del terminal

Randolph — Fri, 13 Aug 2010 14:34:32 +0000

Pequeño resumen de algunos de los comandos que uso y que agilizan el uso del terminal si tener que digitar una y otra vez.

Para activar la búsqueda incremental inversa (reverse-i-search).

Solo introducir alguna letras del comando; lo que hace es buscar en el historial los comandos que has digitado.

Repitiendo [ctrl]+[r] hasta encontrar el comando que buscas y luego [enter], para salir [Esc]

$ ctrl+r

Búsqueda por referencia [alt]+ [p]

$ Alt+p
$ :cat [enter]
$ cat /etc/hosts

Repetir el último comando digitado:

$ !!

Repetir un comando que por ejemplo empieze con la letra “c”, repetiría el comando anterior “cat /etc/hosts”.

$ !c

Glabels (Crear etiquetas y mucho más)

Randolph — Wed, 04 Aug 2010 23:27:37 +0000

Hace mucho tiempo uso en Ubuntu ésta utilidad que es muy rápida, práctica y sencilla de usar:

Glabels es un progrma para crear distintos tipos de etiquetas, carátulas para CD/DVD, tarjetas de negocios y mas.

Permite una rápida edición de etiquetas, cuenta con templates para hacerlo aún mas fácil.

Instalación:

Por consola:

sudo aptitude install glabels

Módo gráfico desde Gnome:

/Sistema/Administración/Gestor de paquetes Synaptic

Luego de instalado lo encontramos en:

/Aplicaciones/Oficina/Diseñador de etiquetas gLabels

gLabels is free software and is distributed under the terms of the GNU General Public License (GPL)

Sitio oficial: gLabels

Testdisk y PhotoRec (Recuperar particiones y archivos)

Randolph — Tue, 03 Aug 2010 19:40:34 +0000

Es una de las tantas “buenas” herramientas que hay para recuperación de particiones y archivos perdidos. Infaltable en el maletín del Sysadmin .

Es un software OpenSource y está bajo licencia Licencia Pública General GNU (GPL).

Testdisk (Partition scanner and disk recovery tool)

Chequea las particiones y los sectores de booteo de discos, pendrive, memorias.

Para instalar en Debian, Ubuntu y distribuciones derivadas:

aptitude install testdisk

Funciona con:

* DOS/Windows FAT12, FAT16 and FAT32
* NTFS ( Windows NT/2K/XP )
* Linux Ext2 and Ext3
* BeFS ( BeOS )
* BSD disklabel ( FreeBSD/OpenBSD/NetBSD )
* CramFS (Compressed File System)
* HFS and HFS+, Hierarchical File System
* JFS, IBM’s Journaled File System
* Linux Raid
* Linux Swap (versions 1 and 2)
* LVM and LVM2, Linux Logical Volume Manager
* Netware NSS
* ReiserFS 3.5 and 3.6
* Sun Solaris i386 disklabel
* UFS and UFS2 (Sun/BSD/…)
* XFS, SGI’s Journaled File System

PhotoRec (File data recovery software designed to recover)

Para recuperar imágenes perdidas de archivos de cámaras digitales o discos duros, ejecutar:
$ sudo photorec

Busqueda para:

 * Sun/NeXT audio data (.au)
 * RIFF audio/video (.avi/.wav)
 * BMP bitmap (.bmp)
 * bzip2 compressed data (.bz2)
 * Source code written in C (.c)
 * Canon Raw picture (.crw)
 * Canon catalog (.ctg)
 * FAT subdirectory
 * Microsoft Office Document (.doc)
 * Nikon dsc (.dsc)
 * HTML page (.html)
 * JPEG picture (.jpg)
 * MOV video (.mov)
 * MP3 audio (MPEG ADTS, layer III, v1) (.mp3)
 * Moving Picture Experts Group video (.mpg)
 * Minolta Raw picture (.mrw)
 * Olympus Raw Format picture (.orf)
 * Portable Document Format (.pdf)
 * Perl script (.pl)
 * Portable Network Graphics (.png)
 * Raw Fujifilm picture (.raf)
 * Contax picture (.raw)
 * Rollei picture (.rdc)
 * Rich Text Format (.rtf)
 * Shell script (.sh)
 * Tar archive (.tar )
 * Tag Image File Format (.tiff)
 * Microsoft ASF (.wma)
 * Sigma/Foveon X3 raw picture (.x3f)
 * zip archive (.zip)

Más información y ejemplos: Testdisk y PhotoRec.

Fdupes (Buscando archivos duplicados)

Randolph — Mon, 26 Jul 2010 17:57:49 +0000

Hoy por hoy tenemos grandes discos duros, no por eso lo vamos a desperdiciar teniendo archvos duplicados.

Por eso buscar archivos duplicados en nuestro Gnu/Linux una buena opción es usar fdupes.

Su funcionamiento es de comparar los tamaños de los ficheros y firmas MD5 y después realiza una verificación byte-a-byte.

Es válido para cualquier distribución Gnu/Linux de nuestro agrado.

Si no está instalado hay que instalarlo en Debian – Ubuntu y derivados.
$ sudo apt-get install fdupes
Opciones:
-r : recursivo
-s: Comprueba los enlaces simbolicos
-h: comprueba los enlaces fuertes
-S: enseña el tamaño de los ficheros duplicados
-q: modo “quiet”, oculta el indicador de progreso.
-v: muestra la version de fdupes
-d: borra los ficheros duplicados ( ojo! … con mucho cuidado, hacerlo únicamente en caso de saber que es lo que estás haciendo)
-h: muestra ayuda y mas opciones.
-n: descarta los ficheros vacios

Algunos ejemplos:

Se buscan los ficheros duplicados en el “home” del “usuario” y sus subdirectorios (recursivamente) descartando los vacíos, mostrando el tamaño de los mismos.

$ fdupes -S -r -n /home/usuario

Busca recursivamente y preserva el primer archivo de los duplicados encontrados borrando el resto sin intervención del usuario (combinando “-N – -noprompt” y “-d – -delete”).

$ fdupes -r -n -N -d /home/usuario

Sitio oficial fdupes

Por más ayuda a no olvidarse de man o info:

$ man fdupes

$ info fdupes

Fdupes es el que más uso para buscar y eliminar duplicados pero existen otras alternativas.

lsof (Lista de archivos abiertos)

Randolph — Mon, 26 Jul 2010 06:12:21 +0000

lsof (list open files)

Conocida herramienta de monitoreo de sistemas operativos tipo Unix y es de código abierto, el cual muestra todos los archivos de disco que mantiene abiertos un determinado proceso (PID), incluyendo los sockets de red abiertos, tuberías ( pipes). Se puede utilizar para revisar que procesos están haciendo uso de directorios, ficheros.

Algunos ejemplos:

Para listar los ficheros abiertos de un determinado PID:

$ sudo lsof -p PID

Listar ficheros abiertos en un dispositivo o partición, determinar que procesos están haciendo uso cuando la partición no se puede desmontar:

$ sudo lsof [particion]

Comprobar servicios o puertos que están escuchando:

$ sudo lsof -i -nP

Comprobando firefox:

$ sudo lsof -i -nP | grep firefox

Listar ficheros abiertos de un determinado usuario:

$ sudo lsof -u randolph

Para ver parámetros a usar:

$ man lsof