Amikor egy számítógépen történteket vizsgálunk, a webböngésző gyakran a nagy csendes tanú. A Firefox, profilrendszerével és az SQLite adatbázisok intenzív használatával , különösen érdekes a számítógépes forenzikában: lehetővé teszi a munkamenetek rekonstruálását, a webes tevékenységek nyomon követését, a látszólag elveszett előzmények visszaállítását, sőt olyan profilok visszakeresését is, amelyeket maga a böngésző "elfelejtett" egy újraindítás vagy összeomlás után.
A Firefox forenzikus elemzése korántsem pusztán az előzmények áttekintését igényli, hanem annak megértését is, hogyan tárolja, törli és rekonstruálja a böngésző az információkat , hogyan szervezi a felhasználói profilokat, és milyen elemeket lehet kinyerni egy incidens után. Ebben a cikkben részletesen megvizsgáljuk a munkamenetek és profilok helyreállításának technikáit és bevált gyakorlatait, mind forenzikus szempontból, mind egy haladó felhasználó szemszögéből, aki vissza szeretné állítani adatait.
Miért kulcsfontosságú a böngésző (és különösen a Firefox) a forenzikában?
A digitális elemzések szinte minden esetében a felhasználói tevékenységek nagy része a böngészőn keresztül történik : keresések, közösségi média, online banki szolgáltatások, webmail, vásárlások, letöltések, az adminisztrációs panelekhez való hozzáférés stb. Ezen műveletek mindegyike nyomot hagy elemek formájában: előzmények, gyorsítótár, sütik, helyi adatbázisok, ideiglenes fájlok vagy letöltési naplók.
A Firefoxban ezek a műtermékek nemcsak a „mi történt”, hanem a „mikor”, „melyik profilból” és „melyik aktív fiókkal vagy munkamenettel” kérdésekre is választ adnak. Itt jönnek képbe az időbélyegek és a különböző bizonyítékforrások közötti összefüggések: profilfájlok, SQLite adatbázisok, letöltési naplók vagy akár profilmentések.
Egy dolog gyakran meglep sok felhasználót, hogy még privát böngészés használata esetén is folyamatosan keletkeznek gyorsítótárazott adatok, ideiglenes sütik és lemezfájlok a munkamenet során . Bár a privát ablak bezárása logikailag törli ezeket az információkat, a tartalom a lemez íratlan szektoraiban vagy a memória/lapozófájlokban maradhat, amelyek fejlett forenzikus technikákkal helyreállíthatók.
Ezért a számítógépes forenzika szakmai gyakorlatában a Firefox profilmappájának megfelelő megőrzése prioritás : mindig forenzikus másolatokkal (képekkel vagy duplikátumokkal) kell dolgozni, és kerülni kell a böngésző normál megnyitását az eredeti bizonyítékokon, hogy ne változtassuk meg a leleteket.
Firefox profil forenzikus szerkezete és kulcsfontosságú összetevői
A Firefox az összes felhasználói adatot egy vagy több profilba rendezi. A profil egyszerűen egy rendszermappa, ahol a beállítások, az előzmények, a jelszavak, a munkamenetek és a bővítmények tárolódnak . Forenzikus szempontból ez a mappa felbecsülhetetlen értékű, mivel lehetővé teszi a felhasználói tevékenységek nagy pontosságú rekonstrukcióját.
Windows rendszereken a profilok tipikus elérési útja a %APPDATA%\Mozilla\Firefox\Profiles\ , míg Linux rendszereken a Home/<felhasználónév>/.config/mozilla/firefox mappában található . Ezeken az elérési utakon belül számos mappa található, például az abcd1234.default vagy az xyz7890.default-release nevűek , amelyek az adott felhasználóhoz társított különböző profilokat jelölik.
Minden profilmappában többek között olyan fájlokat és adatbázisokat találunk, amelyek különösen érdekesek a forenzikus elemzés szempontjából:
- helyek.sqliteGyűjti a böngészési előzményeket és a könyvjelzőket. Ez az egyik központi összetevő, mivel URL-eket, címeket, időbélyegeket és a látogatások közötti kapcsolatokat kombinál.
- sütik.sqlite: sütiket, az aktív munkamenetek nyomon követésére szolgáló kulcsokat, webes hitelesítéseket és felhasználói beállításokat tárol.
- formhistory.sqlite: automatikusan kiegészített bejegyzéseket és űrlapokat tartalmaz, amelyek hasznosak a keresési kifejezések vagy a webmezőkbe beírt adatok lekéréséhez.
- permissions.sqlite: rögzíti a webhelyeknek adott engedélyeket (például kamerahozzáférés vagy értesítések), ami segít bizonyos szolgáltatások használatának kontextusba helyezésében.
- webappsstore.sqlite: helyi webes alkalmazástárolási adatokat (localStorage) tárol, amelyek tartalmazhatnak munkamenet-azonosítókat vagy online szolgáltatásbeállításokat.
Az SQLite adatbázisokon kívül a profilmappa olyan fájlokat is tartalmaz, mint a prefs.js (felhasználói beállítások és belső paraméterek) , telepített bővítmények, témák, munkamenet-fájlok és különféle alkönyvtárak ( storage , cache , bookmarkbackups stb.), amelyek kiegészíthetik az aktivitás idővonalát.
Kriminalisztikai szempontból elengedhetetlen az SQLite adatbázisok sérülése nélküli olvasására és lekérdezésére szolgáló eszközök (például SQLiteStudio vagy más megjelenítők) használatának elsajátítása: ezek lehetővé teszik a történetek, sütik és űrlapok speciális lekérdezéseinek futtatását a navigáció nagy részletességgel történő rekonstruálásához.
Böngésző munkamenetek és lapok forenzikus helyreállítási technikái
Sok böngésző „lap-helyreállítási” mechanizmusokat alkalmaz, amikor a lapok hirtelen bezáródnak, legyen az összeomlás, áramszünet vagy rendszer újraindítása. Ezek a rendszerek jellemzően ideiglenesen tárolják a megnyitott lapok, ablakok és aktív munkamenetek adatait , ami kiváló kontextusforrás a forenzikus elemzők számára.
Míg a klasszikus történelmi példa az Internet Explorer, a maga index.dat fájljaival és a lapok helyreállítására szolgáló dedikált könyvtáraival, a Firefox a profilmappájában is tárol munkamenet-struktúrákat. Ezek a fájlok feltárhatják, hogy mely lapok voltak nyitva közvetlenül az összeomlás előtt , mely webhelyek voltak használatban, és mely fiókok lehettek hitelesítve.
Ezen munkamenet-struktúrák, valamint a böngészési előzmények és a gyorsítótár elemzésével olyan tényeket lehet kimutatni, mint például, hogy egy oldalt ténylegesen megtekintettek az eszközön, hogy aktív munkamenet volt egy adott szolgáltatáson, vagy hogy a felhasználó megpróbált visszaállítani egy fiókot, vagy egy adott műveletet végrehajtani közvetlenül az incidens előtt.
Módszertani szempontból a helyreállítható munkameneteket nem szabad elszigetelten vizsgálni: fontos, hogy összekapcsoljuk őket a letöltési időbélyegekkel, a rendszernaplókkal, az e-mailekkel és minden más műtermékkel . Csak így lehet szilárd és védhető narratívát felépíteni egy próbaverzióhoz vagy audithoz.
Firefox profilok kezelése, biztonsági mentése és visszaállítása
A pusztán forenzikus elemzésen túl nagyon gyakori, hogy biztonsági másolatot kell készíteni a Firefox profiljairól, és vissza kell állítani azokat az adatvesztés megelőzése érdekében a böngésző összeomlása, újratelepítése vagy alaphelyzetbe állítása után. Ez az eljárás, amelyet bármely haladó felhasználó elvégezhet, bizonyítékmegőrzési technikaként is szolgál a forenzikus környezetben.
A profilmappád megkeresésének egyszerű módja a kezelőfelületen belül, ha megnyitod a Firefoxot, a főmenüben a „Súgó” menüpontra kattintasz, majd a „További hibaelhárítási információk” menüpontra (ami megegyezik a belső about:support oldallal ). Ezen az oldalon találsz egy „Profilmappa” nevű sort egy „Mappa megnyitása” gombbal, amely közvetlenül a profilod könyvtárába visz.
Miután a megfelelő mappában van, a manuális biztonsági mentés elkészítése olyan egyszerű, mint az összes tartalom kiválasztása és átmásolása egy másik helyre : külső merevlemezre, USB flash meghajtóra vagy egy belső biztonsági mentési mappába. A zárolt fájlok vagy az inkonzisztenciák elkerülése érdekében azonban ajánlott teljesen bezárni a Firefoxot másolás előtt.
A biztonsági mentés ugyanazon a számítógépen történő visszaállításához egyszerűen zárja be a Firefoxot, lépjen vissza az eredeti profilmappába, és illessze be a biztonsági másolatban lévő elemeket, felülírva a meglévőket . A rendszer egy fájlcsere-figyelmeztetést jelenít meg, amelyet el kell fogadnia. Amikor újra megnyitja a Firefoxot, a böngésző betölti a visszaállított profilt, az előzményekkel, a munkamenetekkel (ahol lehetséges), a jelszavakkal, a kiterjesztésekkel és a beállításokkal pontosan úgy, ahogyan voltak.
Amikor egy profilt egy másik gépre vagy egy friss Firefox telepítésre szeretnél áthelyezni, a dolgok kissé megváltoznak: ha a profilmappa neve már nem egyezik , akkor a legjobb, ha a profilkezelőt használod. Egy megnyitott Firefox ablakból úgy érheted el, hogy a címsorba beírod az about:profiles parancsot; ha a Firefox be van zárva, Windows rendszeren a firefox.exe -p paranccsal is elindíthatod .
Ebben a profilkezelőben létrejön egy új profil, és a létrehozás után a biztonsági mentés az új profil mappájába kerül átmásolásra . Amikor a Firefox ezzel a profillal indul, a felhasználó minden adatát visszaállítja, mintha soha nem váltott volna gépet. A még pontosabb szabályozás érdekében a profil szerkeszthető úgy, hogy közvetlenül egy adott nevű mappára mutasson, így igazítva azt egy bizonyítékstruktúrához vagy egy belső szervezeti szabályzathoz.
Az „elveszett” profilok igazságügyi helyreállítása a Firefox alaphelyzetbe állítása után
Előfordulhat, hogy egy összeomlás, problémás frissítés, böngészőeltérítő vagy verzióváltás (pl. stabil és béta) után a Firefox új profillal indul, és azt a benyomást kelti, hogy minden elveszett : a könyvjelzők eltűnnek, az előzmények üresek, a bővítmények hiányoznak… A valóságban a legtöbb esetben a régi profilok még mindig a lemezen vannak, de a böngésző leállította a hivatkozásukat rájuk.
A helyreállításuk alapvető stratégiája két műveletet ötvöz: a Firefox által jelenleg használt profilok azonosítása és a régi profilmappák megkeresése a fájlrendszerben . Az első lépés általában az about:profiles mappából történik , ahol az aktív profilok és azok elérési útjai vannak felsorolva. Érdemes feljegyezni az aktuális profilok nevét, például 4jwpkg44.default-release vagy bjk4rx6v.default.
Ezután navigáljon az operációs rendszer általános profilok elérési útjára (például \AppData\Roaming\Mozilla\Firefox\Profiles Windows rendszerben), és tekintse át az összes meglévő mappát. Ezek új és régi profilokat is tartalmaznak majd . A régi profilok és a visszaállítás előtt használt profilok megkülönböztetéséhez tekintse meg az egyes mappák méretét (a legnagyobbak általában a leggyakrabban használtak), vagy vizsgálja meg az almappákat, például a storage\default mappát , hogy felismerje az ismerős helyeket az előzményekben.
Fontos figyelni a mappa nevének „második részére” is: a végződések általában „.default” vagy „.default-release” . A félreértések elkerülése végett egy régi „.default” profilt kell párosítani egy aktuális „.default” profillal, és ugyanezt kell tenni a „.default-release” esetében is. Miután azonosította, hogy melyik mappa felel meg a kívánt régi profilnak, másolja át az összes fájlját, és illessze be azokat a feljegyzett aktuális profil mappájába, lecserélve a meglévő tartalmat.
Ha a személynek több régi profilja is volt, a folyamat mindegyiknél megismételhető. Ennek a módszernek az egyik mellékhatása, hogy a felületen található profilválasztó (a címsor melletti gomb) „rosszul igazodhat ”, üres nevet jeleníthet meg, vagy nem reagálhat, mivel a Firefox belsőleg továbbra is a korábbi elérési utakra mutat.
Még ebben a kevésbé ideális esetben is helyreállnak az adataid: a Firefox újratölti az előzményeket, munkameneteket, könyvjelzőket és beállításokat a visszaállítás előtti állapotukban. A profilok manuális váltásához mindig használhatod az about:profiles oldalt , amely lehetővé teszi bármelyik felsorolt profil elindítását, még akkor is, ha a vizuális választó nem működik megfelelően.
Speciális profilhangolás SQLite és konfigurációs fájlok használatával
Amikor a profilrendszer „finomhangoltabb” javítására van szükség, vagy a belső szelektornak teljes mértékben működőképesnek kell lennie, szükségessé válhat az SQLite adatbázis szerkesztése, amely a profilok és az elérési utak közötti kapcsolatot tárolja . Ez az információ .sqlite fájlokban van mentve a Profilcsoportok mappában.
Windows rendszeren a tipikus elérési út az \AppData\Roaming\Mozilla\Firefox\Profile Groups , míg Linux rendszeren a Home/<felhasználónév>/.config/mozilla/firefox/Profile Groups címen található . Ez a könyvtár általában egy vagy több .sqlite fájlt tartalmaz, gyakran olyan nevekkel, mint a ca96babb.sqlite vagy hasonló. Ezek a fájlok egy "profilok" nevű táblázatot tartalmaznak, amelyben egy "elérési út" oszlop jelzi az egyes profilokhoz társított mappát.
A releváns profilcsoport-fájl azonosításához feltöltheti azt egy online SQLite-megjelenítőbe, vagy megnyithatja egy szerkesztővel, például az SQLiteStudio-val, és áttekintheti a „profilok” tábla tartalmát. A régi vagy az aktuális profilmappákkal megegyező elérési utak keresésével meghatározhatja, hogy melyik adatbázist kell módosítani.
Miután biztonsági másolatot készített az .sqlite fájlról (ami elengedhetetlen bármilyen változtatás elvégzése előtt), szerkessze a szükséges rekordok „elérési út” oszlopát, a Profiles\ hivatkozásokat Profiles\ -re módosítva . Mentse el a fájlt, majd cserélje ki az eredetit erre a módosított verzióra a Profile Groups mappában . Így a Firefox ismét helyesen társítja a profilokat az új elérési úttal , és a profilválasztó visszanyeri normál működését.
A haladó felhasználók alternatív módszereket is javasolnak az adatbázis közvetlen szerkesztésének elkerülésére. Az egyik a Firefox szinkronizálási opciójának használata a profilfájlok cseréje után , így maga a szinkronizálási mechanizmus "visszaállítja" az információkat, és a szelektor újra működik az SQLite manuális módosítása nélkül.
Egy másik megközelítés az, hogy az egyes profilmappákon belül szerkesztjük a prefs.js fájlt . Ha egy szövegszerkesztővel megnyitjuk, és a "toolkit.profiles.storeID" bejegyzésre keresünk , akkor az értéket a profilcsoport .sqlite fájljának nevéhez igazíthatjuk (például: ("toolkit.profiles.storeID", "7d97d1ff") ). Ez a profilt a megfelelő tárolóval igazítja, és segít a Firefoxnak a struktúra helyes felismerésében.
Végül, a közösségben alternatív módszereket is leírtak azokra az esetekre, amikor a fenti módszerek nem működnek, kombinálva az elérési út szerkesztését, új profilok létrehozását az about:profiles alapján, és a mappák manuális áthelyezését. Forenzikus szempontból a lényeg az, hogy mindig biztonsági mentéseken dolgozzunk , minden változást dokumentáljunk, és az eredeti bizonyítékokat érintetlenül tartsuk.
Firefox profilok automatikus biztonsági mentése külső eszközök használatával
A profilmappád manuális biztonsági mentése vészhelyzet esetén rendben van, de sok környezetben ajánlott a rendszeres, automatizált biztonsági mentés . Itt jönnek képbe a kifejezetten a böngészőprofilok kezelésére vagy ütemezett szinkronizálások végrehajtására tervezett külső eszközök.
Az egyik klasszikus segédprogram a MozBackup , egy önálló alkalmazás, amelyet eredetileg Mozilla-termékek, köztük a Firefox profiljainak biztonsági mentésére és visszaállítására terveztek. Fő előnye az egyszerű varázsló: kiválasztja a profilt, kiválasztja, hogy mely összetevőket szeretné menteni (könyvjelzők, előzmények, jelszavak, bővítmények stb.), és a program létrehoz egy biztonsági mentési fájlt, amelyet aztán vissza lehet állítani ugyanazon a gépen vagy egy másikon.
Fontos azonban megjegyezni, hogy a MozBackup már nem áll aktív fejlesztés alatt . Ismert problémák vannak, és a technikai csapat akkoriban kijelentette, hogy hiányoznak az erőforrások a további javításukhoz és a funkciók hozzáadásához. Ezért a használatát a felhasználónak vagy az elemzőnek saját felelősségére kell végeznie, mindig ellenőrizve, hogy a biztonsági mentés megfelelően létrejött és visszaállításra került-e.
Egy másik népszerű opció a Firefox Environment Backup Extension (FEBE) volt , egy böngészőbővítmény, amelynek célja a környezet teljes biztonsági mentésének létrehozása: mentett jelszavak, beállítások, sütik, előzmények, témák, telepített bővítmények, sőt, akár a Firefoxhoz nem kapcsolódó fájlok is, ha a felhasználó szeretné.
A FEBE lehetővé teszi az automatikus biztonsági mentések ütemezését (naponta, hetente vagy havonta) , és a fejlettebb verzióiban a biztonsági mentési fájlok feltöltését olyan szolgáltatásokba, mint a Box.net. Mint minden bővítmény esetében, fennáll a kompatibilitás veszélye a Firefox jövőbeli verzióival, vagy a bővítmény karbantartásának elmaradása, ezért mindig ajánlott ellenőrizni, hogy melyik verziót használja, és hogy az még aktív-e.
A Mozilla speciális eszközein túl általános szinkronizációs programok, mint például a SyncBackFree is használhatók . Ez a megoldás lehetővé teszi biztonsági mentési és visszaállítási profilok definiálását adott könyvtárakhoz, beleértve a Firefox profilmappáját is, és a folyamat automatizálását. Nem tartalmaz hirdetéseket vagy rosszindulatú programokat, és ingyenes verziója sok otthoni felhasználó vagy kis szervezet számára elegendő.
A SyncBackFree azonban nem kompatibilis a Windows Server verziókkal; ezekben a környezetekben magasabb kiadásokra, például a SyncBackSE-re vagy a SyncBackPro-ra lenne szükség. Forenzikus használat esetén az az előnye, hogy lehetővé teszi a gyakori biztonsági mentések létrehozását anélkül, hogy a felhasználónak emlékeznie kellene a manuális elvégzésére , minimalizálva a kritikus információk elvesztésének kockázatát egy incidens és a következő biztonsági mentés között.
A böngészők és az e-mail szerepe a digitális kutatásban
Bár itt a Firefoxra összpontosítunk, hasznos azt egy tágabb bizonyíték-ökoszisztéma részeként megérteni. Más böngészők, mint például a Chrome és a Chromium alapú böngészők, szintén SQLite adatbázisokat és hasonló elemeket használnak az előzményekhez és a sütikhez, lehetővé téve analóg módszerek alkalmazását az elemzésükben.
A Chrome például az SQLite-megjelenítőkkel kompatibilis adatbázisokban tárolja a böngészési előzményeket és a sütiket, és a gyorsítótár-elemzése bizonyítani tudja, hogy a tartalom valóban betöltődött az eszközre. A sütik és az előzmények együttes értelmezése lehetővé teszi a műveletek adott felhasználóhoz és időponthoz való kapcsolását , akárcsak a Firefoxban, kiterjesztve a vizsgálat kontextusát egyetlen böngészőn túlra.
Ezzel párhuzamosan az e-mailek gyakran szorosan kapcsolódnak biztonsági incidensekhez : adathalászathoz, személyazonosság-lopáshoz, csaláshoz, belső adatszivárgásokhoz stb. Metaadataik (teljes fejlécek, átviteli útvonalak, köztes szerverek, dátumok és időzónák) lehetővé teszik az üzenet hozzávetőleges eredetének, a feladó hitelességének és az e-mail kliens technológiájának ellenőrzését.
Ha ezeket az adatokat összefüggésbe hozzuk a böngészési tevékenységgel (például egy adott fiókból kattintott adathalász linkkel, vagy egy gyanús e-mail fogadása után indított online banki munkamenettel), nagy pontosságú eseményláncok rekonstruálhatók . A kulcs az elemzés holisztikus megközelítése, a böngészési elemek, e-mailek, operációs rendszer naplói és minden más elérhető forrás integrálása.
Röviden, a Firefoxhoz hasonló böngészők forenzikus elemzése nem egyszerűen URL-címek listájának áttekintéséből áll . Magában foglalja az adatok tárolásának, módosításának és törlésének alapos megértését; a profilok, munkamenetek, SQLite adatbázisok és biztonsági mentések kezelésének módját; valamint azt, hogy ezek az elemek hogyan integrálódnak egy szigorú módszertanba az eredmények megőrzésére, kinyerésére, elemzésére, korrelálására és bemutatására.
Minden, amit online csinálunk, nyomot hagy, és a Firefox ezen információk jelentős részét tárolja. A böngésző-munkamenetek és -profilok megtalálásának, védelmének és szükség esetén a böngészési munkamenetek és profilok forenzikus helyreállításának ismerete jelenti a különbséget egy hibás vizsgálat és egy robusztus, megismételhető és védhető elemzés között – ez fontos mind a kiberbiztonsági szakemberek, mind a haladó felhasználók számára, akik adataikat mindenkor biztonságban szeretnék tartani.
