由於隱私問題，Flash cookie進來成為一個熱點安全話題。不過從另一個角度講，Flash cookie（即本地共享對像）卻是一個很好的法庭證據——因為凡是在個人隱私上有問題的東西，都在取證調查上都很有用。本文首先詳細介紹Flash cookie的有關基礎知識，然後闡述了它在取證分析中的應用，最後給出一個操作Flash cookie的小工具。
# P1 f0 N3 @- g/ G7 {一、Flash cookie基礎知識6 q7 B9 U! ?* V n
5 {0 g/ Q) }& z' z- C- a0 ]首先，介紹一些Flash cookie方面的基礎知識：0 r' ]3 A. U8 O5 ?( w! [7 n4 d
8 c, A$ g! F1 |1 e* d
◆Flash在互聯網上已經非常普及，它不僅提供流式視頻，同時還提供富客戶端體驗。目前，許多流行的站點都依賴於Flash，因此，Flash插件在Internet用戶中的安裝率極高。
$ G1 i7 q4 Y T' D3 h
: t2 v( P" {: q/ o6 B% m; Y◆Flash標準的本地共享對像本地共享對像允許在用戶電腦上的本地Flash實例中存儲數據。 9 L4 S l0 s2 F. ` V9 l% I% X- D
# p1 J" W* ?: Z% `( o3 M3 ?
◆本地共享對象是作為一些單獨的文件來存儲的，它們的文件擴展名為.SOL。默認時，它們的尺寸為不超過100kB，並且不會過期——這一點與傳統的HTTP Cookie不同。
5 p/ k8 y# C: |) P
. r5 W# T$ Q" Q, ? l/ o4 s◆我已經在本地系統上的兩處位置發現了.SOL文件，分別是%user profile%\Application Data\Macromedia\Flash Player 和 %user profile%\Application Data\Macromedia\Flash Player\#SharedObjects\\，這裡的%user profile%表示用戶文件夾目錄，在XP 系統上一般為C:\Documents and Settings\\ 。對於Vista系統來說，可能還有留意%user profile%目錄下的Roaming文件夾。 5 g0 z- I F5 G% }+ x) u7 m
( m( M, A$ S# E( {; Q◆本地共享對象並不是基於瀏覽器的，所以普通的用戶不容易刪除它們。如果要刪掉它們的話，首先要知道這些文件所在的具體位置。這使得本地共享對像能夠長時間的保留在本地系統上。% H J4 O+ b% N/ q
' L1 S0 B/ T/ ]* t* b
二、取證分析5 S2 Q. i- G0 l9 W. @7 U
+ e9 [, q( [# Y! V在進行計算機調查取證時，將本地共享對像描述為Flash cookie是比較恰當的，因為它們提供了類似於傳統的HTTP Cookie的各種信息。一般情況下，Flash cookie可以提供下列信息：
( ?3 @) O/ C) [( C8 e1 l) q- b% n6 W4 g8 r/ w" x }( ~) Q
已訪問過的網站
# O1 r3 N" B4 ^- f% {
9 T8 O' z$ Y& W9 c7 ]$ DFlash要求按照域名的體系結構分層存儲本地共享對象。這樣做能夠強制每個域名只能在本地系統上最多存放100k數據。從我們的角度來說，這給調查取證工作打開了一扇迅速檢查已訪問站點的方便之門。
! H( I8 \) w7 g& Q( z( q' z- _
R% R) q9 i( b) l; S3 x3 J/ }
2 \4 E, y( [) S) ?- i m; z圖1 顯示本地共享對像域的目錄清單
1 `1 M( q$ I% ?& D: {7 @; Z6 O2 ^2 I( i# c, \( h) |
要注意的是，基於Flash的廣告也能夠保存本地共享對象，這一點很重要，因為在一些情況下我們要考慮這些站點是不是用戶特意去訪問的。本地共享對象的來源是非常明顯的（參見圖2），但是更進一步地測試或者額外的證據可能必須要進行必要的推斷。 Q% ~. J! \8 a, i
8 H( Y/ O# d7 W }
; G- J' A' ?1 l* @- x圖2 來自一個Flash廣告的本地共享對像 0 ] E0 j. b" _8 \, ~) a; l
5 b) b7 g3 n' \
訪問站點時所登錄的本地用戶帳戶7 T w$ \( j% D! I
: }9 z2 x6 P/ w" r+ q! ^# {
我們知道，.SOL文件位於%user profile%文件夾中，而它正好指出了保存該文件時用戶所登錄的帳戶。
' V, s& u0 s% x) L3 ?, C- Z
; c! B/ w* _2 {訪問站點的起止時間- ^# E4 ]. l( h ` Z0 F% a! `; |
1 l0 Q9 X" i4 X7 }9 b, M
因為.SOL文件是單獨存放的，所以我們能夠利用文件系統的時間戳來確定該文件的建立和最後一次修改時間。在Windows XP 系統上，我們可以使用訪問時間來確定最近讀取該文件的時間。通過它，我們可以瞭解最近一次訪問該站點的時間，但是我們必須小心，因為我們尚不明瞭要求站點讀取該本地共享對象的標準。但是大部分情況下，每當訪問這些站點的時候，它們就會訪問它們存放在用戶端的本地共享對像；不過，如果由於某種原因站點沒有讀取該本地共享對象的話，訪問時間就不會改變。0 v; s5 V: |& Q! k3 I3 u
/ S1 s" h b* G/ ^SOL文件的創建時間有可能告訴我們第一次訪問該站點的時間。再一次強調，我們無法保證該在第一次訪問該站點時必定創建該本地共享對象，所以斷定起來有些難度。最佳的說法應該是已知的最初訪問該站點的時間。在系統上的其他證據可能印證這確實是第一次訪問時間，或者表明還有更早的訪問時間。
6 F8 p. I( g0 y+ H* Q* x3 G$ o, v/ v2 l* {4 H3 ?* r) m4 W" \* K8 `/ n
所以，放回頭去在看看圖 1，我們可以看到已知的訪問mg3.mail.yahoo.com的最早時間是11/27/2008上午1:38，已知的最後一次訪問時間為8/17/2009下午5:27，這裡的時間都是本地計算機時間。0 A, J8 g) Y2 l
7 Q' d" B! n1 F. q& C
網站存儲的數據
% y: [+ g; [" |) ]# }+ ?8 L& K7 z/ C4 H/ ~. C9 ~: D' i2 B
Flash試圖通過控制格式並迫使所有的數據都存放成二進制序列來對本地共享對像數據進行混淆處理。也就是說，如果您發現了一個相關文件，那麼就不要忽視這個數據區域。我也發現有趣的明文消息，例如天氣網站存儲的基於文本的位置信息。) p5 a" o0 \3 o/ @$ t
9 ^ g) v D2 g
三、Flash cookie工具
* G* ]# }- [9 F* d5 X* \1 ?
: F7 T9 z3 s7 F4 b v( y1 U& L雖然不推薦作為取證工具使用，因為它要求在一個工作的系統上安裝運行，但是Better Privacy Firefox擴展用於在本地系統上發現和清除本地共享對像還是非常不錯的。了解法庭證據來最好手段之一是在一個已經知道其行為的系統上做檢查，例如在自己的系統上。插件Better Privacy允許您輕鬆地查看和管理在一個運行中的系統中的本地共享對象。
4 ?. _: o1 q4 Y4 w9 M
0 f& G4 B0 N% I $ Y4 P( E3 i5 G4 A% i4 ]" Y6 Z
圖3 Better Privacy插件的截屏 $ r. X) z1 ^4 M# h% u& | x
- O! E; L% H& ?* k* J* e四、小結
- p. E8 W2 c* u# I3 f/ V' m7 F
! `% [, m- C/ Z" i5 s5 E# j由於隱私問題，Flash cookie進來成為一個熱點安全話題。不過從另一個角度講，Flash cookie（即本地共享對像）卻是一個很好的法庭證據——因為凡是在個人隱私上有問題的東西，都在取證調查上都很有用。本文首先詳細介紹了Flash cookie的有關基礎知識，然後闡述了它在取證分析中的應用，最後給出了一個操作Flash cookie的小工具。
* D4 l9 l) g _+ ?- Z9 v/ Q# Q( O3 P# \ Q0 u% [
! l! ?' z0 t9 H$ M
本篇文章來源於 黑客基地-全球最大的中文黑客站 原文鏈接：http://www.hackbase.com/tech/2009-10-17/57060.html |
發表於 2010-4-18 20:22:23
提升卡
沉默卡
变色卡
路過 嘿嘿