Strumento forense digitale: Hindsight

Strumento forense digitale: Hindsight
geek
by geek Published on 25 Apr 2020

Hindsight è uno strumento gratuito per l’analisi di artefatti relativi al browser. Possiamo analizzare la cronologia di navigazione del browser Web Google Chrome e si è espanso per supportare altre applicazioni basate su Chromium (con altre in arrivo!).

  • Hindsight può analizzare diversi tipi di artefatti Web come:
  • inclusi URL
  •  cronologia download
  •  cache del browser
  • segnalibri
  •  form web di compilazione automatica
  • password salvate
  • preferenze
  • estensioni del browser
  • cookie HTTP e varie storage locali (cookie HTML5).

Una volta che i dati vengono estratti da ciascun file, vengono correlati con i dati di altri file della cronologia e inseriti in una sequenza temporale. Ha una semplice interfaccia utente Web: per avviarlo, esegui “hindsight_gui.py” (o su Windows, il pacchetto “hindsight_gui.exe“) e visita http://localhost: 8080 in un browser:

L’unico campo che devi compilare è “il percorso del profilo”. Questa è la posizione del profilo Chrome che desideri analizzare (i percorsi predefiniti del profilo per diversi sistemi operativi sono elencati nella parte inferiore di questa pagina). Fai clic su “Esegui” e verrai indirizzato alla pagina dei risultati in cui puoi salvare i risultati in un foglio excel per esempio, (o altri formati).

Riga di comando
Esiste anche una versione della riga di comando di Hindsight: hindsight.py o hindsight.exe. La guida per l’utente nella cartella della documentazione copre molti argomenti, ma le informazioni di seguito dovrebbero iniziare con la versione da riga di comando:

Esempio: > C:\hindsight.py -i “C:\Users\Ryan\AppData\Local\Google\Chrome\User Data\Default” -o prova_file

Option Description
-i or –input Percorso della directory “Default” di Chrome (o Chronium)
-o or –output Nome del file di output (senza estensione)
-f or –format Formato di output (il valore predefinito è XLSX, altre opzioni sono SQLite e JSONL)
-c or –cache Percorso della directory della cache; necessario solo se la directory si trova all’esterno della directory “input” fornita. I sistemi Mac sono configurati in questo modo per impostazione predefinita.
-b or –browser_type Il tipo di browser a cui appartengono i file di input. Le opzioni supportate sono Chrome (impostazione predefinita) e Brave.
-l or –log Hindsight dovrebbe accedere alla posizione o la (aggiungerà se esiste)
-h or –help Mostra queste opzioni e le posizioni predefinite dei dati di Chrome
-t or –timezone Visualizza il fuso orario per i timestamp nell’output XLSX