Scalpel Beispiele: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
Zeile 1: Zeile 1:
==Ziel==
+
=Scalpel (Forensik)=
*Demonstration, dass gelöschte Dateien im Datenstrom erhalten bleiben
 
  
==Ausgangslage==
+
==Wichtige Klarstellung zur Konfiguration==
*Linux-System
 
*Image mit ext4-Dateisystem
 
*Zwei Dateien:
 
**tux.png
 
**daemon.pdf
 
  
==Testmedium vorbereiten==
+
*Scalpel verwendet eine feste Signaturdatenbank in /etc/scalpel/scalpel.conf
*sudo -i
+
*Jeder Dateityp ist vollständig definiert:
*dd if=/dev/zero of=stick.img bs=1M count=100
+
**Dateiendung
*mkfs.ext4 stick.img
+
**Aktiv/Deaktiviert
*mkdir /mnt/forensic
+
**Maximale Dateigröße
*mount -o loop stick.img /mnt/forensic
+
**Header-Signatur
 +
**Footer-Signatur
 +
*Neue Zeilen wie „png y 5000000“ funktionieren NICHT
  
==Installation==
+
==Prinzip==
*sudo apt install -y scalpel
+
*Alle Dateitypen sind standardmäßig auskommentiert
 +
*Ein Dateityp wird aktiviert, indem die komplette Zeile entkommentiert wird
 +
*Header und Footer dürfen nicht verändert werden
  
==Dateien beschaffen==
+
==Korrektes Vorgehen==
*wget https://xinux.de/downloads/forensic/tux.png
 
*wget https://xinux.de/downloads/forensic/daemon.pdf
 
  
==Dateien kopieren==
+
*nano /etc/scalpel/scalpel.conf
*cp tux.png /mnt/forensic/
 
*cp daemon.pdf /mnt/forensic/
 
*sync
 
  
==Dateien löschen==
+
==PNG aktivieren==
*rm /mnt/forensic/tux.png
+
;Original (auskommentiert)
*rm /mnt/forensic/daemon.pdf
+
# png y 5000000 \x89PNG\r\n\x1a\n \x49\x45\x4e\x44\xae\x42\x60\x82
*sync
 
*umount /mnt/forensic
 
  
==Scalpel konfigurieren==
+
;Aktiv (Kommentarzeichen entfernen)
*nano /etc/scalpel/scalpel.conf
+
png y 5000000 \x89PNG\r\n\x1a\n \x49\x45\x4e\x44\xae\x42\x60\x82
 +
 
 +
==PDF aktivieren==
 +
;Original (auskommentiert)
 +
# pdf y 20000000 %PDF %EOF
  
;Aktivierte Dateitypen
+
;Aktiv (Kommentarzeichen entfernen)
png y 5000000
+
pdf y 20000000 %PDF %EOF
pdf y 20000000
 
  
==Analyse durchführen==
+
==Bedeutung der Felder==
*scalpel stick.img -o scalpel-output
+
*png / pdf
 +
**Dateiendung
 +
*y
 +
**Dateityp aktiv
 +
*5000000 / 20000000
 +
**Maximale Dateigröße in Bytes
 +
*Header-Signatur
 +
**Beginn der Datei
 +
*Footer-Signatur
 +
**Ende der Datei
  
==Ergebnis==
+
==Warum das forensisch wichtig ist==
*Scalpel extrahiert PNG- und PDF-Daten aus dem Image
+
*Scalpel findet nur exakt definierte Dateitypen
*Dateien erhalten generische Namen
+
*Keine Heuristik
*Kein Bezug zu ursprünglichen Metadaten
+
*Kein Erraten
 +
*Jeder Fund ist reproduzierbar und erklärbar
  
 
==Merksatz==
 
==Merksatz==
*Scalpel zeigt, dass Daten existierten – nicht ihre Geschichte.
+
*Bei Scalpel entscheidet die Signatur – nicht der Dateiname.

Version vom 9. Februar 2026, 18:54 Uhr

Scalpel (Forensik)

Wichtige Klarstellung zur Konfiguration

  • Scalpel verwendet eine feste Signaturdatenbank in /etc/scalpel/scalpel.conf
  • Jeder Dateityp ist vollständig definiert:
    • Dateiendung
    • Aktiv/Deaktiviert
    • Maximale Dateigröße
    • Header-Signatur
    • Footer-Signatur
  • Neue Zeilen wie „png y 5000000“ funktionieren NICHT

Prinzip

  • Alle Dateitypen sind standardmäßig auskommentiert
  • Ein Dateityp wird aktiviert, indem die komplette Zeile entkommentiert wird
  • Header und Footer dürfen nicht verändert werden

Korrektes Vorgehen

  • nano /etc/scalpel/scalpel.conf

PNG aktivieren

Original (auskommentiert)
  1. png y 5000000 \x89PNG\r\n\x1a\n \x49\x45\x4e\x44\xae\x42\x60\x82
Aktiv (Kommentarzeichen entfernen)

png y 5000000 \x89PNG\r\n\x1a\n \x49\x45\x4e\x44\xae\x42\x60\x82

PDF aktivieren

Original (auskommentiert)
  1. pdf y 20000000 %PDF %EOF
Aktiv (Kommentarzeichen entfernen)

pdf y 20000000 %PDF %EOF

Bedeutung der Felder

  • png / pdf
    • Dateiendung
  • y
    • Dateityp aktiv
  • 5000000 / 20000000
    • Maximale Dateigröße in Bytes
  • Header-Signatur
    • Beginn der Datei
  • Footer-Signatur
    • Ende der Datei

Warum das forensisch wichtig ist

  • Scalpel findet nur exakt definierte Dateitypen
  • Keine Heuristik
  • Kein Erraten
  • Jeder Fund ist reproduzierbar und erklärbar

Merksatz

  • Bei Scalpel entscheidet die Signatur – nicht der Dateiname.