Strings Beispiele: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
| (4 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
| Zeile 41: | Zeile 41: | ||
== Erste Einordnung der Datei == | == Erste Einordnung der Datei == | ||
| − | *file sample1 | + | *file sample1 |
== Strings extrahieren == | == Strings extrahieren == | ||
| − | *strings sample1 | + | *strings sample1 |
== Zielgerichtete Auswertung == | == Zielgerichtete Auswertung == | ||
| Zeile 65: | Zeile 65: | ||
== Szenario 2 – Analyse eines Datenträger-Images == | == Szenario 2 – Analyse eines Datenträger-Images == | ||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
=== Strings auf dem Image === | === Strings auf dem Image === | ||
| Zeile 100: | Zeile 92: | ||
* Hypothesenbildung | * Hypothesenbildung | ||
* Vorbereitung weiterführender Analyse | * Vorbereitung weiterführender Analyse | ||
| − | |||
| − | |||
| − | |||
<!-- | <!-- | ||
=== Datei erzeugen === | === Datei erzeugen === | ||
Aktuelle Version vom 21. August 2026, 06:35 Uhr
strings – Praktische Nutzung in der IT-Forensik
Ziel
Dieses Kapitel zeigt den praktischen Einsatz des Linux-Werkzeugs strings in der IT-Forensik. Alle Beispiele sind lokal reproduzierbar und basieren auf selbst erzeugten Dateien. Es werden keine externen Samples oder Malware benötigt.
Vorarbeiten
- mkdir forensic
- wget https://xinux.de/downloads/forensic/sample1
- wget https://xinux.de/downloads/forensic/usb.dd
- wget https://xinux.de/downloads/forensic/invoice-helper
Werkzeug
- strings
- file
- grep
Szenario 1 – Analyse eines verdächtigen Programms
- Datei runterladen
- wget
Erste Einordnung der Datei
- file sample1
Strings extrahieren
- strings sample1
Zielgerichtete Auswertung
- Netzwerkindikatoren
- strings sample1 | grep -Ei 'http|https|ftp'
- Zugangsdaten
- strings sample1 | grep -Ei 'user|pass|password'
- Systempfade und Shells
- strings sample1 | grep -Ei '/bin/|/etc/'
Forensische Bewertung
- Das Programm enthält Klartext-Zugangsdaten
- Es nutzt eine Shell (/bin/sh)
- Es verweist auf ein externes Netzwerkziel
- Das Programm wurde nicht ausgeführt
Szenario 2 – Analyse eines Datenträger-Images
Strings auf dem Image
- strings usb.dd
Typische Filter
- Mailadressen
- strings usb.dd | grep '@'
- URLs
- strings usb.dd | grep -Ei 'http|https'
Forensische Bewertung
- Auch in scheinbar leeren Images finden sich Klartextdaten
- Gelöschte oder überschrieben geglaubte Inhalte können sichtbar bleiben
Grenzen von strings
- Keine Zeitstempel
- Kein Beweis für Ausführung
- Kein Kontext
- Nur Hinweisquelle
Typische Einsatzphase
- Triage
- Erstbewertung
- Hypothesenbildung
- Vorbereitung weiterführender Analyse
Aufgaben
Untersuchungen der Datei invoice-helper
- Aufgabe 1
- Suche mit strings gezielt nach: version, build, user, /home.
- Notiere alle gefundenen Strings und ordne sie dem Entwicklungs- oder Einsatzkontext zu.
- Aufgabe 2
- Suche mit strings nach: /etc, /var, /srv, /tmp.
- Aufgabe 3
- Welche dieser Pfade deuten auf Konfiguration, temporäre Dateien oder Datenexport hin?
- Suche mit strings nach: http, https, api.
- Aufgabe 4
- Welche Kommunikationsziele sind erkennbar?
- Suche mit strings nach: key, api, /bin/sh.
- Aufgabe 5
- Welche dieser Strings sind für ein Rechnungsprogramm ungewöhnlich?