IT-Forensik Wiki - Benutzerbeiträge [de]

Windows-Papierkorb

2023-07-11T19:37:28Z

St221650:

Windows-Papierkorb

In jedem Windows Betriebssystem gibt es das spezielle Verzeichnis “Windows-Papierkorb”. Wenn ein Benutzer eine Datei löscht, wird diese zunächst in diesen Papierkorb verschoben und ist im Dateisystem noch vorhanden. Der Benutzer kann durch Zugriff über den Windows-Explorer auf diese Dateien zugreifen und diese ggf. wiederherstellen.

Bei dem Verzeichnis “Papierkorb” handelt es sich um ein Systemverzeichnis, das in den Standardeinstellungen des Windows Explorers ausgeblendet ist. Auf jeder Partition befindet sich das Verzeichnis für die jeweils auf dieser Partition gelöschten Dateien. Abhängig von der Windows Version werden die Dateien im Papierkorb auf unterschiedliche Art und Weise dort abgelegt.

In Windows XP werden die Dateien im Verzeichnis „Recycler“ unter der spezifischen SID des Benutzers gespeichert. In diesem Verzeichnis existiert zudem die INFO2-Datei, die einen Index aller gelöschten Dateien, deren ursprünglichen Pfad, die Dateigröße und den Zeitpunkt der Löschung sowie Meta-Daten der gelöschten Dateien enthält. Ab Windows Vista werden die Dateien in dem Verzeichnis „$Recycle.Bin“ in dem Unterverzeichnis mit der SID des Benutzers abgelegt. Die INFO2-Datei existiert im Gegensatz zu dem Betriebssystem Windows XP nicht mehr.

Für alle darauffolgenden Versionen werden für jede gelöschte Datei zwei Dateien im Papierkorb angelegt. Die erste Datei beginnt mit dem Wert „$R“, gefolgt von einem zufälligen String. In dieser Datei ist der tatsächliche Inhalt der gelöschten Datei gespeichert. Die zweite Datei beginnt mit „$I“ und endet auf demselben String wie die „$R“-Datei. Die „$I“-Datei enthält den ursprünglichen Dateinamen, den ursprünglichen Pfad, die Dateigröße und wann die Datei gelöscht wurde.

Damit es dem Anwender möglich ist, einfach auf seine gelöschten Dateien zuzugreifen, erzeugt Windows aus diesen beiden Dateien für den Benutzer eine virtuelle Datei mit dem ursprünglichen Dateinamen. Ein Zugriff über das Programm TotalCommander hingegen, liefert eine Ansicht der eben erläuterten Datenstruktur.

Forensische Auswertung

Der Papierkorb ist zur forensischen Auswertung relevant, da durch die Verwendung spezieller Forensik Programme auch die aus dem Papierkorb entfernten Dateien sichtbar und ggf. wiederhergestellt werden können.

<ref>Geschonneck, Alexander; Computer Forensik, 6. Aufl. Heidelberg; dpunkt.verlag, 2014</ref>
<ref>https://www.magnetforensics.com/de/blog/digitale-forensik-artefakt-profil-papierkorb/</ref>

Windows-Papierkorb

2023-07-11T19:36:50Z

St221650:

<ref>Geschonneck, Alexander; Computer Forensik, 6. Aufl. Heidelberg; dpunkt.verlag, 2014</ref>Windows-Papierkorb

In jedem Windows Betriebssystem gibt es das spezielle Verzeichnis “Windows-Papierkorb”. Wenn ein Benutzer eine Datei löscht, wird diese zunächst in diesen Papierkorb verschoben und ist im Dateisystem noch vorhanden. Der Benutzer kann durch Zugriff über den Windows-Explorer auf diese Dateien zugreifen und diese ggf. wiederherstellen.

Bei dem Verzeichnis “Papierkorb” handelt es sich um ein Systemverzeichnis, das in den Standardeinstellungen des Windows Explorers ausgeblendet ist. Auf jeder Partition befindet sich das Verzeichnis für die jeweils auf dieser Partition gelöschten Dateien. Abhängig von der Windows Version werden die Dateien im Papierkorb auf unterschiedliche Art und Weise dort abgelegt.

In Windows XP werden die Dateien im Verzeichnis „Recycler“ unter der spezifischen SID des Benutzers gespeichert. In diesem Verzeichnis existiert zudem die INFO2-Datei, die einen Index aller gelöschten Dateien, deren ursprünglichen Pfad, die Dateigröße und den Zeitpunkt der Löschung sowie Meta-Daten der gelöschten Dateien enthält. Ab Windows Vista werden die Dateien in dem Verzeichnis „$Recycle.Bin“ in dem Unterverzeichnis mit der SID des Benutzers abgelegt. Die INFO2-Datei existiert im Gegensatz zu dem Betriebssystem Windows XP nicht mehr.

Für alle darauffolgenden Versionen werden für jede gelöschte Datei zwei Dateien im Papierkorb angelegt. Die erste Datei beginnt mit dem Wert „$R“, gefolgt von einem zufälligen String. In dieser Datei ist der tatsächliche Inhalt der gelöschten Datei gespeichert. Die zweite Datei beginnt mit „$I“ und endet auf demselben String wie die „$R“-Datei. Die „$I“-Datei enthält den ursprünglichen Dateinamen, den ursprünglichen Pfad, die Dateigröße und wann die Datei gelöscht wurde.

Damit es dem Anwender möglich ist, einfach auf seine gelöschten Dateien zuzugreifen, erzeugt Windows aus diesen beiden Dateien für den Benutzer eine virtuelle Datei mit dem ursprünglichen Dateinamen. Ein Zugriff über das Programm TotalCommander hingegen, liefert eine Ansicht der eben erläuterten Datenstruktur.

Forensische Auswertung

Der Papierkorb ist zur forensischen Auswertung relevant, da durch die Verwendung spezieller Forensik Programme auch die aus dem Papierkorb entfernten Dateien sichtbar und ggf. wiederhergestellt werden können.

<ref>https://www.magnetforensics.com/de/blog/digitale-forensik-artefakt-profil-papierkorb/</ref>

Windows-Papierkorb

2023-07-11T19:36:31Z

St221650:

<ref>Geschonneck, Alexander; Computer Forensik, 6. Aufl. Heidelberg; dpunkt.verlag, 2014</ref>Windows-Papierkorb

In jedem Windows Betriebssystem gibt es das spezielle Verzeichnis “Windows-Papierkorb”. Wenn ein Benutzer eine Datei löscht, wird diese zunächst in diesen Papierkorb verschoben und ist im Dateisystem noch vorhanden. Der Benutzer kann durch Zugriff über den Windows-Explorer auf diese Dateien zugreifen und diese ggf. wiederherstellen.

Bei dem Verzeichnis “Papierkorb” handelt es sich um ein Systemverzeichnis, das in den Standardeinstellungen des Windows Explorers ausgeblendet ist. Auf jeder Partition befindet sich das Verzeichnis für die jeweils auf dieser Partition gelöschten Dateien. Abhängig von der Windows Version werden die Dateien im Papierkorb auf unterschiedliche Art und Weise dort abgelegt.

In Windows XP werden die Dateien im Verzeichnis „Recycler“ unter der spezifischen SID des Benutzers gespeichert. In diesem Verzeichnis existiert zudem die INFO2-Datei, die einen Index aller gelöschten Dateien, deren ursprünglichen Pfad, die Dateigröße und den Zeitpunkt der Löschung sowie Meta-Daten der gelöschten Dateien enthält. Ab Windows Vista werden die Dateien in dem Verzeichnis „$Recycle.Bin“ in dem Unterverzeichnis mit der SID des Benutzers abgelegt. Die INFO2-Datei existiert im Gegensatz zu dem Betriebssystem Windows XP nicht mehr.

Für alle darauffolgenden Versionen werden für jede gelöschte Datei zwei Dateien im Papierkorb angelegt. Die erste Datei beginnt mit dem Wert „$R“, gefolgt von einem zufälligen String. In dieser Datei ist der tatsächliche Inhalt der gelöschten Datei gespeichert. Die zweite Datei beginnt mit „$I“ und endet auf demselben String wie die „$R“-Datei. Die „$I“-Datei enthält den ursprünglichen Dateinamen, den ursprünglichen Pfad, die Dateigröße und wann die Datei gelöscht wurde.

Damit es dem Anwender möglich ist, einfach auf seine gelöschten Dateien zuzugreifen, erzeugt Windows aus diesen beiden Dateien für den Benutzer eine virtuelle Datei mit dem ursprünglichen Dateinamen. Ein Zugriff über das Programm TotalCommander hingegen, liefert eine Ansicht der eben erläuterten Datenstruktur.

Forensische Auswertung
Der Papierkorb ist zur forensischen Auswertung relevant, da durch die Verwendung spezieller Forensik Programme auch die aus dem Papierkorb entfernten Dateien sichtbar und ggf. wiederhergestellt werden können.

<ref>https://www.magnetforensics.com/de/blog/digitale-forensik-artefakt-profil-papierkorb/</ref>

Windows-Papierkorb

2023-07-11T19:36:12Z

St221650:

Windows-Papierkorb

2023-07-11T19:35:44Z

St221650: Die Seite wurde neu angelegt: „<ref>Geschonneck, Alexander; Computer Forensik, 6. Aufl. Heidelberg; dpunkt.verlag, 2014</ref>Windows-Papierkorb In jedem Windows Betriebssystem gibt es das s…“

<ref>Geschonneck, Alexander; Computer Forensik, 6. Aufl. Heidelberg; dpunkt.verlag, 2014</ref>Windows-Papierkorb

In jedem Windows Betriebssystem gibt es das spezielle Verzeichnis “Windows-Papierkorb”. Wenn ein Benutzer eine Datei löscht, wird diese zunächst in diesen Papierkorb verschoben und ist im Dateisystem noch vorhanden. Der Benutzer kann durch Zugriff über den Windows-Explorer auf diese Dateien zugreifen und diese ggf. wiederherstellen.

Bei dem Verzeichnis “Papierkorb” handelt es sich um ein Systemverzeichnis, das in den Standardeinstellungen des Windows Explorers ausgeblendet ist. Auf jeder Partition befindet sich das Verzeichnis für die jeweils auf dieser Partition gelöschten Dateien. Abhängig von der Windows Version werden die Dateien im Papierkorb auf unterschiedliche Art und Weise dort abgelegt.

In Windows XP werden die Dateien im Verzeichnis „Recycler“ unter der spezifischen SID des Benutzers gespeichert. In diesem Verzeichnis existiert zudem die INFO2-Datei, die einen Index aller gelöschten Dateien, deren ursprünglichen Pfad, die Dateigröße und den Zeitpunkt der Löschung sowie Meta-Daten der gelöschten Dateien enthält. Ab Windows Vista werden die Dateien in dem Verzeichnis „$Recycle.Bin“ in dem Unterverzeichnis mit der SID des Benutzers abgelegt. Die INFO2-Datei existiert im Gegensatz zu dem Betriebssystem Windows XP nicht mehr.

Für alle darauffolgenden Versionen werden für jede gelöschte Datei zwei Dateien im Papierkorb angelegt. Die erste Datei beginnt mit dem Wert „$R“, gefolgt von einem zufälligen String. In dieser Datei ist der tatsächliche Inhalt der gelöschten Datei gespeichert. Die zweite Datei beginnt mit „$I“ und endet auf demselben String wie die „$R“-Datei. Die „$I“-Datei enthält den ursprünglichen Dateinamen, den ursprünglichen Pfad, die Dateigröße und wann die Datei gelöscht wurde.

Damit es dem Anwender möglich ist, einfach auf seine gelöschten Dateien zuzugreifen, erzeugt Windows aus diesen beiden Dateien für den Benutzer eine virtuelle Datei mit dem ursprünglichen Dateinamen. Ein Zugriff über das Programm TotalCommander hingegen, liefert eine Ansicht der eben erläuterten Datenstruktur.

Forensische Auswertung
Der Papierkorb ist zur forensischen Auswertung relevant, da durch die Verwendung spezieller Forensik Programme auch die aus dem Papierkorb entfernten Dateien sichtbar und ggf. wiederhergestellt werden können.

<ref>https://www.magnetforensics.com/de/blog/digitale-forensik-artefakt-profil-papierkorb/</ref>

Hauptseite

2023-07-11T19:22:10Z

St221650: /* W */

Willkommen auf dem IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Julia Winkler: KI-Detektoren im Test – Zero Tolerance Policy für ChatGPT mit zerogpt.com, [[Media:KI-Detektoren-Test_Winkler.pdf|Download PDF-Dokument]]

Antje Raab-Düsterhöft: Introduction into Database Forensics - Issues to be solved. DFRWS-EU, "Woman in Forensic Computing", Bonn, 20.3.2023, [[Media:WIF-2023-ARD2.pdf|Download Slides]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

[[Alternative Data Stream (ADS)]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cloud Log Forensik]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CTI - Cyber Threat Intelligence]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dumpster Diving]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Header]]

[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hackback]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IT-Forensisches Gutachten]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Juice Jacking]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

[[Logical Volume Manager (LVM)]]

=== M ===
[[Magnet Axiom]]

[[Malware]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

[[Metadata Carving]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Netzwerk-Forensik]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Passwortsicherheit]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[PIC]]

=== Q ===

[[Query Log]]

[[QRT: Quick Reaction Team]]

[[QRT: Quick Response Team]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Ransomware]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Schwachstelle]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[Server Side Request Forgery]]

[[Shellbags]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[Server Side Request Forgery]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

[[Steghide]]

[[Supply Chain Attack]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]<br>
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Papierkorb]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zeitstempel]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Datei:Windows Papierkorb.pdf

2023-07-11T19:19:21Z

St221650: - https://www.magnetforensics.com/de/blog/digitale-forensik-artefakt-profil-papierkorb/ - Geschonneck, Alexander; "Computer Forensik"; 6. Aufl., Heidelberg Punkt.verlag; 2014

== Beschreibung ==
- https://www.magnetforensics.com/de/blog/digitale-forensik-artefakt-profil-papierkorb/

- Geschonneck, Alexander; "Computer Forensik"; 6. Aufl., Heidelberg Punkt.verlag; 2014