IT-Forensik Wiki - Benutzerbeiträge [de]

Cookies

2020-08-01T13:58:38Z

St191517: Korrektur, Verlinkung zu SQLite Datenbank auslesen mittels Python (Forensik-Wiki)

Als Cookie bezeichnet man Datenpakete oder -sequenzen, die zwischen Computerprogrammen ausgetauscht werden, um einen Zustand innerhalb der ausgeführten Anwendung festzuhalten. Heute wird der Begriff Cookie häufig synonym mit HTTP-Cookies in Webbrowsern verwendet, in welchen der aktuelle Zustand einer Webanwendung auf dem Client gespeichert und an den Webserver übertragen wird. Allgemein werden Cookies als Datentoken von Anwendungen ausgewertet, um bereits durchgeführte Aktionen zu protokollieren. Im folgenden sollen hauptsächlich HTTP-Cookies betrachtet werden.

== Magic-Cookies als Vorgänger zu HTTP-Cookies ==

Der Begriff Magic-Cookies wurde bereits vor Erfindung des World Wide Web (WWW) unter Unix-Programmierer*innen verwendet, um einen Token zu beschreiben, der zwischen korrespondierenden Computerprogrammen ausgetauscht wird, um eine zuvor ausgeführte Interaktion zwischen diesen Programmen zu protokollieren [https://de.wikipedia.org/wiki/Magic-Cookie]. Am prominentesten ist das Beispiel der ftell-Routine der C-Standardbibliothek, welche für das fseek-Programm zum Durchsuchen von Dateien die aktuelle Pointerposition zurückgibt. Wichtig hierbei ist, dass dieses Token nur von der fseek-Routine sinnvoll ausgewertet werden kann und in keinem anderem Kontext für sinnvolle Berechnungen verwendet werden kann. In der analogen Welt wird das Token mit einer Garderobenmarke verglichen, die nur sinnvoll dafür verwendet werden kann, die abgegebene Garderobe wieder abzuholen [http://outpost9.com/reference/jargon/jargon_28.html#TAG1093][http://outpost9.com/reference/jargon/jargon_18.html#TAG342].

Mit dem Aufkommen von Webtechnologien in den 1980er und 1990er Jahren und der damit verbundenen zunehmenden Vernetzung verschiedenster Geräte wurde 1989 durch Tim Berners-Lee mit dem Hyper Text Transfer Protocol (HTTP) eine Standardisierung der Kommunikation zwischen den teilnehmenden Clients geschaffen [https://www.w3.org/Protocols/HTTP/AsImplemented.html]. Der erste Webbrowser zur Anzeige von Webseiten, deren Format in der Hyper Text Markup Language (HTML) standardisiert ist, war der Netscape Navigator. Der Netscape-Programmierer Lou Montulli stieß dabei auf das Problem, dass aufgrund der technischen Grundlagen der IP-Kommunikation im WWW keine Zustände der Verbindung im Protokoll gespeichert wurden. Dies bedeutete für HTML-Webseiten, dass jeder Aufruf der Seite für den Webserver wie der allererste Seitenaufruf schien und bereits abgeschlossene Interaktionen zwischen Browser und Server nicht protokolliert wurden. Montulli erfand daher, auf der Grundlage der aus UNIX-Umgebungen bekannten Magic Cookies, den sogenannten HTTP-Cookie. Die Netscape-Spezifikation zu HTTP-Cookies wurde von den ersten Webbrowsern Netscape Mosaic und Internet Explorer unterstützt und wurde von Internet Engineering Task Force (IETF) erstmals 1997 im Request for Comments (RFC) 2109 formalisiert.

== Technische Grundlagen ==
=== RFCs ===

* RFC2109 (1997, abgelöst durch RFC2965) [https://tools.ietf.org/html/rfc2109]
* RFC2965 (2000, abgelöst durch RFC6265) [https://tools.ietf.org/html/rfc2965]
* RFC6265 (2011) [https://tools.ietf.org/html/rfc6265]

=== Aufbau ===

Ein Cookie wird angelegt wenn der Server den "set cookie:" Befehl an den Client sendet. Dieser wird mit der "Session ID" (SID) verknüpft. Der Client erwähnt die gespeicherten Cookies im "HTTP Request Header" an den Server, der die "neue" Session dann der ihm bereits bekannten SID zuordnen kann.

Beispielhaft könnte der "set cookie" Befehl so aussehen:
Set-Cookie: SID=53d4d92e618ccd69

Der Client "meldet" beim aufruf der Seite den Cookie zurück an den Server:
Cookie: SID=53d4d92e618ccd69

Über Cookies lassen sich viele Informationen sehr granular hinterlegen, so zum Beispiel informationen über HTTP-Sicherheit- und Spracheinstellungen:

Set-Cookie: SID=53d4d92e618ccd69; Path=/; Secure; HttpOnly
Set-Cookie: lang=de-DE; Path=/; Domain=wings.de

=== Speicherort unter verschiedenen Browsern/Betriebsystemen ===

* Mozilla Firefox Cookies unter Windows: %APPDATA%\Mozilla\Firefox\Profiles\<profile>\cookies.sqlite
* Internet Explorer Cookies unter Windows: C:\Users\<username>\AppData\Local\Microsoft\Windows\INetCache

== Forensische Analyse von HTTP-Cookies ==

Da HTTP-Cookies in der Regel von Webbrowsern in Form von SQLite-Datenbanken abgespeichert werden, können diese mit SQLite Anzeigeprogrammen wie dem SQLite Forensic Explorer [https://www.sqliteviewer.org/] oder dem SQLite DB Browser [https://sqlitebrowser.org/] analysiert werden.

Alternativ können diese Dateien auch von den Webbrowsern selbst angezeigt und untersucht werden. Bei Mozilla Firefox beispielsweise ruft man hierzu in den Einstellungen die Web-Entwickler Konsole auf und öffnet den Reiter Web-Speicher.

Es gibt außerdem in verschiedenen Programmiersprachen Möglichkeiten, SQLite-Datenbanken auszulesen, wie beispielsweise unter [[SQLite Datenbanken auslesen mittels Python|Python]].

== Quellen ==

[1] https://de.wikipedia.org/wiki/Magic-Cookie

[2] http://outpost9.com/reference/jargon/jargon_28.html#TAG1093

[3] http://outpost9.com/reference/jargon/jargon_18.html#TAG342

[4] https://www.w3.org/Protocols/HTTP/AsImplemented.html

[5] https://tools.ietf.org/html/rfc2109

[6] https://tools.ietf.org/html/rfc2965

[7] https://tools.ietf.org/html/rfc6265

[8] https://www.sqliteviewer.org/

[9] https://sqlitebrowser.org/

Cookies

2020-08-01T13:44:42Z

St191517: Die Seite wurde neu angelegt: „Als Cookie bezeichnet man Datenpakete oder -sequenzen, die zwischen Computerprogrammen ausgetauscht werden, um einen Zustand innerhalb der ausgeführten Anwend…“

Als Cookie bezeichnet man Datenpakete oder -sequenzen, die zwischen Computerprogrammen ausgetauscht werden, um einen Zustand innerhalb der ausgeführten Anwendung festzuhalten. Heute wird der Begriff Cookie häufig synonym mit HTTP-Cookies in Webbrowsernverwendet, in welchen der aktuelle Zustand einer Webanwendung auf dem Client gespeichert und an den Webserver übertragen wird. Allgemein werden Cookies als Datentoken von Anwendungen ausgewertet, um bereits durchgeführte Aktionen zu protokollieren. Im folgenden sollen hauptsächlich HTTP-Cookies betrachtet werden.

== Magic-Cookies als Vorgänger zu HTTP-Cookies ==

Der Begriff Magic-Cookies wurde bereits vor Erfindung des World Wide Web (WWW) unter Unix-Programmierer*innen verwendet, um einen Token zu beschreiben, der zwischen korrespondierenden Computerprogrammen ausgetauscht wird, um eine zuvor ausgeführte Interaktion zwischen diesen Programmen zu protokollieren [https://de.wikipedia.org/wiki/Magic-Cookie]. Am prominentesten ist das Beispiel der ftell-Routine der C-Standardbibliothek, welche für das fseek-Programm zum Durchsuchen von Dateien die aktuelle Pointerposition zurückgibt. Wichtig hierbei ist, dass dieses Token nur von der fseek-Routine sinnvoll ausgewertet werden kann und in keinem anderem Kontext für sinnvolle Berechnungen verwendet werden kann. In der analogen Welt wird das Token mit einer Garderobenmarke verglichen, die nur sinnvoll dafür verwendet werden kann, die abgegebene Garderobe wieder abzuholen [http://outpost9.com/reference/jargon/jargon_28.html#TAG1093][http://outpost9.com/reference/jargon/jargon_18.html#TAG342].

Mit dem Aufkommen von Webtechnologien in den 1980er und 1990er Jahren und der damit verbundenen zunehmenden Vernetzung verschiedenster Geräte wurde 1989 durch Tim Berners-Lee mit dem Hyper Text Transfer Protocol (HTTP) eine Standardisierung der Kommunikation zwischen den teilnehmenden Clients geschaffen [https://www.w3.org/Protocols/HTTP/AsImplemented.html]. Der erste Webbrowser zur Anzeige von Webseiten, deren Format in der Hyper Text Markup Language (HTML) standardisiert ist, war der Netscape Navigator. Der Netscape-Programmierer Lou Montulli stieß dabei auf das Problem, dass aufgrund der technischen Grundlagen der IP-Kommunikation im WWW keine Zustände der Verbindung im Protokoll gespeichert wurden. Dies bedeutete für HTML-Webseiten, dass jeder Aufruf der Seite für den Webserver wie der allererste Seitenaufruf schien und bereits abgeschlossene Interaktionen zwischen Browser und Server nicht protokolliert wurden. Montulli erfand daher, auf der Grundlage der aus UNIX-Umgebungen bekannten Magic Cookies, den sogenannten HTTP-Cookie. Die Netscape-Spezifikation zu HTTP-Cookies wurde von den ersten Webbrowsern Netscape Mosaic und Internet Explorer unterstützt und wurde von Internet Engineering Task Force (IETF) erstmals 1997 im Request for Comments (RFC) 2109 formalisiert.

== Technische Grundlagen ==
=== RFCs ===

* RFC2109 (1997, abgelöst durch RFC2965) [https://tools.ietf.org/html/rfc2109]
* RFC2965 (2000, abgelöst durch RFC6265) [https://tools.ietf.org/html/rfc2965]
* RFC6265 (2011) [https://tools.ietf.org/html/rfc6265]

=== Aufbau ===

Ein Cookie wird angelegt wenn der Server den "set cookie:" Befehl an den Client sendet. Dieser wird mit der "Session ID" (SID) verknüpft. Der Client erwähnt die gespeicherten Cookies im "HTTP Request Header" an den Server, der die "neue" Session dann der ihm bereits bekannten SID zuordnen kann.

Beispielhaft könnte der "set cookie" Befehl so aussehen:
Set-Cookie: SID=53d4d92e618ccd69

Der Client "meldet" beim aufruf der Seite den Cookie zurück an den Server:
Cookie: SID=53d4d92e618ccd69

Über Cookies lassen sich viele Informationen sehr granular hinterlegen, so zum Beispiel informationen über HTTP-Sicherheit- und Spracheinstellungen:

Set-Cookie: SID=53d4d92e618ccd69; Path=/; Secure; HttpOnly
Set-Cookie: lang=de-DE; Path=/; Domain=wings.de

=== Speicherort unter verschiedenen Browsern/Betriebsystemen ===

* Mozilla Firefox Cookies unter Windows: %APPDATA%\Mozilla\Firefox\Profiles\<profile>\cookies.sqlite
* Internet Explorer Cookies unter Windows: C:\Users\<username>\AppData\Local\Microsoft\Windows\INetCache

== Forensische Analyse von HTTP-Cookies ==

Da HTTP-Cookies in der Regel von Webbrowsern in Form von SQLite-Datenbanken abgespeichert werden, können diese mit SQLite Anzeigeprogrammen wie dem SQLite Forensic Explorer [https://www.sqliteviewer.org/] oder dem SQLite DB Browser [https://sqlitebrowser.org/] analysiert werden. Alternativ können diese Dateien auch von den Webbrowsern selbst angezeigt und untersucht werden. Bei Mozilla Firefox beispielsweise ruft man hierzu in den Einstellungen die Web-Entwickler Konsole auf und öffnet den Reiter Web-Speicher.

== Quellen ==

[1] https://de.wikipedia.org/wiki/Magic-Cookie

[2] http://outpost9.com/reference/jargon/jargon_28.html#TAG1093

[3] http://outpost9.com/reference/jargon/jargon_18.html#TAG342

[4] https://www.w3.org/Protocols/HTTP/AsImplemented.html

[5] https://tools.ietf.org/html/rfc2109

[6] https://tools.ietf.org/html/rfc2965

[7] https://tools.ietf.org/html/rfc6265

[8] https://www.sqliteviewer.org/

[9] https://sqlitebrowser.org/

Hauptseite

2020-08-01T13:29:29Z

St191517: Cookies hinzugefügt

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

=== B ===
[[Betriebssystem]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Cold Backup]]

[[Computer Sabotage]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankforensik]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[Datensammlung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DoS & DDoS]]

[[Dokumentation]]

[[Doxing]]

[[Dual Use Software]]

=== E ===
[[eDiscovery]]

[[Egg Hunting]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Flüchtige Daten]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Integrität]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick]]

[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[OS Fingerprinting]]

[[OSINT-Werkzeug]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Seitenkanalattacke]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sniffing]]

[[SQL Injection]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sealbag]]

[[SpiderFoot]]

[[Spuren]]

[[Sqlmap]]

=== T ===
[[Tatort]]

[[Timeline]]

[[Trugspur]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

Abhören von Smarthome-Geräten https://srlabs.de/bites/smart-spies/

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]