Kapag iniimbestigahan ang nangyari sa isang computer, ang web browser ang kadalasang tahimik na saksi. Ang Firefox, kasama ang profile system nito at ang masinsinang paggamit ng mga SQLite database , ay lalong kawili-wili sa computer forensics: pinapayagan ka nitong muling buuin ang mga sesyon, subaybayan ang aktibidad sa web, mabawi ang tila nawawalang mga kasaysayan, at maging ang pagkuha ng mga profile na "nakalimutan" mismo ng browser pagkatapos ng pag-reset o pag-crash.
Malayo sa simpleng pagtingin sa kasaysayan, ang forensics ng Firefox ay nangangailangan ng pag-unawa kung paano nito iniimbak, binubura, at muling binubuo ang impormasyon , kung paano nito inaayos ang mga profile ng user, at kung anong mga artifact ang maaaring makuha pagkatapos ng isang insidente. Sa artikulong ito, susuriin natin, nang detalyado, ang mga pamamaraan at pinakamahusay na kasanayan para sa pagbawi ng mga sesyon at profile, kapwa mula sa isang forensic na pananaw at mula sa pananaw ng isang advanced na user na gustong mabawi ang kanilang data.
Bakit mahalaga ang browser (at partikular ang Firefox) sa forensics
Sa halos anumang kaso ng digital analytics, ang malaking bahagi ng aktibidad ng user ay nagaganap sa pamamagitan ng browser : mga paghahanap, social media, online banking, webmail, mga pagbili, mga download, access sa mga administration panel, atbp. Ang bawat isa sa mga aksyon na ito ay nag-iiwan ng bakas sa anyo ng mga artifact: history, cache, cookies, lokal na database, pansamantalang mga file, o mga download log.
Sa Firefox, ang mga artifact na ito ay tumutulong hindi lamang sa pagsagot sa "kung ano ang ginawa," kundi pati na rin sa "kailan," "mula sa aling profile," at "gamit ang aling aktibong account o session ." Dito pumapasok ang mga timestamp at ang ugnayan sa pagitan ng iba't ibang mapagkukunan ng ebidensya: mga profile file, SQLite database, download log, o kahit mga profile backup.
Isang puntong kadalasang ikinagugulat ng maraming gumagamit ay kahit na gumagamit ng pribadong pag-browse, patuloy pa ring nalilikha ang naka-cache na data, pansamantalang cookies, at mga disk file sa panahon ng sesyon . Bagama't lohikal na binubura ng pagsasara ng pribadong window ang impormasyong ito, maaaring manatili ang nilalaman sa mga hindi nakasulat na sektor ng disk o sa mga memory/page file, na maaaring mabawi gamit ang mga advanced na forensic technique.
Samakatuwid, sa propesyonal na pagsasagawa ng computer forensics, ang wastong pangangalaga ng folder ng profile ng Firefox ay isang prayoridad : dapat kang palaging gumamit ng mga kopya ng forensic (mga imahe o duplikado) at iwasang buksan ang browser nang normal sa orihinal na ebidensya, upang hindi mabago ang mga artifact.
Istrukturang forensik ng profile ng Firefox at mga pangunahing artifact
Inaayos ng Firefox ang lahat ng datos ng user sa loob ng isa o higit pang mga profile. Ang profile ay isang folder lamang ng system kung saan nakaimbak ang mga setting, history, password, session, at extension . Mula sa isang forensic na perspektibo, napakahalaga ng folder na ito dahil nagbibigay-daan ito para sa lubos na tumpak na muling pagbuo ng aktibidad ng user.
Sa mga sistemang Windows, ang karaniwang path ng profile ay %APPDATA%\Mozilla\Firefox\Profiles\ , habang sa Linux ay matatagpuan ito sa Home/<username>/.config/mozilla/firefox . Sa loob ng mga path na ito, makakakita ka ng ilang folder na may mga pangalan tulad ng abcd1234.default o xyz7890.default-release , na kumakatawan sa iba't ibang profile na nauugnay sa user na iyon.
Sa bawat folder ng profile, makikita natin, bukod sa iba pang mga bagay, ang isang serye ng mga file at database na partikular na interesante sa forensic analysis:
- mga lugar.sqliteKinokolekta nito ang kasaysayan ng pag-browse at mga bookmark. Isa ito sa mga pangunahing bahagi, dahil pinagsasama nito ang mga URL, pamagat, timestamp, at mga ugnayan sa pagitan ng mga pagbisita.
- cookies.sqlite: nag-iimbak ng cookies, mga key para subaybayan ang mga aktibong sesyon, mga web authentication at mga kagustuhan ng user.
- formhistory.sqlite: naglalaman ng mga awtomatikong pagkumpleto ng mga entry at form, na kapaki-pakinabang para sa pagkuha ng mga terminong ginamit sa paghahanap o datos na ipinasok sa mga web field.
- mga pahintulot.sqlite: itinatala ang mga pahintulot na ipinagkakaloob sa mga site (halimbawa, pag-access sa camera o mga notification), na nakakatulong upang maisakonteksto ang paggamit ng ilang partikular na serbisyo.
- webappsstore.sqlite: nag-iimbak ng datos sa imbakan ng lokal na web application (localStorage), na maaaring kabilang ang mga session identifier o mga setting ng online service.
Bukod sa mga database ng SQLite, kasama sa profile folder ang mga file tulad ng prefs.js (mga kagustuhan ng user at mga internal parameter) , mga naka-install na extension, mga tema, mga session file, at iba't ibang subdirectory ( storage , cache , bookmarkbackup , atbp.) na maaaring umakma sa timeline ng aktibidad.
Mula sa isang perspektibong forensik, ang pagiging dalubhasa sa paggamit ng mga tool upang magbasa at mag-query sa mga SQLite database nang hindi sinisira ang mga ito (halimbawa, SQLiteStudio o iba pang mga viewer) ay nagiging mahalaga: pinapayagan ka nitong magpatakbo ng mga advanced na query sa mga history, cookies, at form upang muling buuin ang nabigasyon nang detalyado.
Mga pamamaraan sa forensic recovery para sa mga sesyon at tab ng browser
Maraming browser ang nagpapatupad ng mga mekanismong "pagbawi ng tab" kapag biglang nagsasara ang mga tab, maaaring dahil sa pag-crash, pagkawala ng kuryente, o pag-restart ng system. Karaniwang pansamantalang nag-iimbak ang mga sistemang ito ng impormasyon tungkol sa mga bukas na tab, window, at mga aktibong session , na isang mahusay na mapagkukunan ng konteksto para sa mga forensic analyst.
Bagama't ang klasikong halimbawa sa kasaysayan ay ang Internet Explorer, kasama ang mga index.dat file at mga nakalaang direktoryo para sa pagbawi ng tab, pinapanatili rin ng Firefox ang mga istruktura ng sesyon sa folder ng profile nito. Maaaring ipakita ng mga file na ito kung aling mga tab ang bukas bago ang isang pag-crash , kung aling mga site ang ginagamit, at kung aling mga account ang maaaring na-authenticate.
Sa pamamagitan ng pagsusuri sa mga istrukturang ito ng sesyon kasama ang kasaysayan ng pag-browse at cache , posibleng maipakita ang mga katotohanan tulad ng aktwal na pagtingin sa isang pahina sa device, na mayroong aktibong sesyon sa isang partikular na serbisyo, o na sinubukan ng user na i-recover ang isang account o magsagawa ng isang partikular na operasyon bago ang insidente.
Sa usapin ng metodolohiya, ang mga recoverable session ay hindi dapat tingnan nang hiwalay: mahalagang iugnay ang mga ito sa mga download timestamp, system log, email, at anumang iba pang artifact . Sa ganitong paraan lamang mabubuo ang isang matibay at maipagtatanggol na naratibo para sa isang pagsubok o pag-audit.
Pamamahala, pag-backup, at pagpapanumbalik ng mga profile sa Firefox
Bukod sa purong forensic analysis, karaniwan din ang pangangailangang mag-backup at mag-restore ng mga Firefox profile upang maiwasan ang pagkawala ng data pagkatapos ng pag-crash, muling pag-install, o pag-reset ng browser. Ang pamamaraang ito, na maaaring gawin ng sinumang bihasang user, ay nagsisilbi ring pamamaraan sa pangangalaga ng ebidensya sa mga forensic setting.
Isang simpleng paraan para mahanap ang folder ng iyong profile mula sa loob ng interface ay ang buksan ang Firefox, pumunta sa main menu, i-click ang "Help," at pagkatapos ay ang "More Troubleshooting Information" (katumbas ng internal about:support page ). Sa pahinang iyon, makikita mo ang isang linyang tinatawag na "Profile Folder" na may button na "Open Folder" na magdadala sa iyo nang direkta sa direktoryo ng iyong profile.
Kapag nasa tamang folder ka na, ang paggawa ng manu-manong backup ay kasing simple ng pagpili ng lahat ng nilalaman at pagkopya nito sa ibang lokasyon : isang external hard drive, USB flash drive, o isang internal backup folder. Gayunpaman, ipinapayong isara nang lubusan ang Firefox bago kumopya upang maiwasan ang mga naka-lock na file o mga hindi pagkakapare-pareho.
Para maibalik ang backup na iyon sa parehong computer, isara lang ang Firefox, bumalik sa orihinal na folder ng profile, at i-paste ang mga na-backup na item, at patungan ang mga dati nang naka-backup . Magpapakita ang system ng babala para sa pagpapalit ng file na dapat mong tanggapin. Kapag binuksan mo ulit ang Firefox, ilo-load ng browser ang naibalik na profile, kasama ang history, mga session (kung posible), mga password, mga extension, at mga kagustuhan nang eksakto kung ano ang mga ito dati.
Kapag gusto mong ilipat ang isang profile sa ibang makina o sa isang bagong instalasyon ng Firefox, bahagyang magbabago ang mga bagay-bagay: kung hindi na tugma ang pangalan ng folder ng profile , pinakamahusay na gamitin ang profile manager. Mula sa isang bukas na window ng Firefox, maa-access mo ito sa pamamagitan ng pag-type ng about:profiles sa address bar; kung sarado ang Firefox, maaari mo rin itong ilunsad gamit ang command na firefox.exe -p sa Windows.
Sa profile manager na ito, isang bagong profile ang ginagawa, at kapag nabuo na, ang backup ay kokopyahin sa folder ng bagong profile na iyon . Kapag inilunsad ang Firefox gamit ang profile na ito, mababawi ng user ang lahat ng kanilang impormasyon na parang hindi sila nagpalit ng computer. Para sa mas tumpak na kontrol, maaaring i-edit ang profile upang direktang tumuro sa isang folder na may partikular na pangalan, na iaangkop ito sa isang istruktura ng ebidensya o isang panloob na patakaran ng organisasyon.
Forensic recovery ng mga "nawalang" profile pagkatapos ng pag-reset ng Firefox
Paminsan-minsan, pagkatapos ng pag-crash, problematikong update, o dahil sa isang browser hijacker , o pagkatapos lumipat sa pagitan ng mga bersyon (hal., stable at beta), maaaring magsimula ang Firefox sa isang bagong profile at magbigay ng impresyon na nawala na ang lahat : nawawala ang mga bookmark, walang laman ang history, nawawala ang mga extension… Sa katotohanan, sa karamihan ng mga kaso, ang mga lumang profile ay nasa disk pa rin, ngunit tumigil na ang browser sa pag-refer sa mga ito.
Ang pangunahing estratehiya para sa pagbawi ng mga ito ay pinagsasama ang dalawang aksyon: ang pagtukoy sa mga profile na kasalukuyang ginagamit ng Firefox at ang paghahanap sa mga lumang folder ng profile sa file system . Ang unang hakbang ay karaniwang ginagawa mula sa about:profiles , kung saan nakalista ang mga aktibong profile at ang kanilang mga path. Makakatulong na tandaan ang mga pangalan ng kasalukuyang mga profile, halimbawa, 4jwpkg44.default-release o bjk4rx6v.default.
Susunod, pumunta sa pangkalahatang path ng mga profile sa iyong operating system (tulad ng \AppData\Roaming\Mozilla\Firefox\Profiles sa Windows) at suriin ang lahat ng umiiral na folder. Maglalaman ang mga ito ng bago at lumang mga profile . Upang makilala ang pagkakaiba sa pagitan ng mga lumang profile at ng mga ginagamit mo bago ang pag-reset, maaari mong tingnan ang laki ng bawat folder (ang pinakamalaki ay karaniwang pinakamadalas gamitin) o siyasatin ang mga subfolder tulad ng storage\default upang makilala ang mga pamilyar na lokasyon sa iyong history.
Mahalaga ring bigyang-pansin ang "ikalawang bahagi" ng pangalan ng folder: ang mga dulo ay karaniwang ".default" o ".default-release" . Upang maiwasan ang kalituhan, dapat mong itugma ang isang lumang ".default" na profile sa isang kasalukuyang ".default" na profile, at ganoon din para sa ".default-release". Kapag natukoy mo na kung aling folder ang tumutugma sa nais na lumang profile, kopyahin ang lahat ng mga file nito at i-paste ang mga ito sa folder ng kasalukuyang profile na iyong nabanggit, na pinapalitan ang mga umiiral na nilalaman.
Kung ang tao ay may ilang lumang profile, maaaring ulitin ang proseso para sa bawat isa. Isa sa mga side effect ng pamamaraang ito ay ang profile selector sa interface (ang button sa tabi ng address bar) ay maaaring maging "misaligned ," na nagpapakita ng blangkong pangalan o nagiging hindi tumutugon, dahil sa loob ng Firefox ay patuloy na tumuturo sa mga nakaraang path.
Kahit sa ganitong hindi magandang sitwasyon, mababawi pa rin ang iyong data: Ire-reload ng Firefox ang iyong history, mga session, mga bookmark, at mga setting gaya ng dati bago ang pag-reset. Para manu-manong magpalit ng mga profile, maaari mong gamitin muli ang pahinang about:profiles anumang oras , na nagbibigay-daan sa iyong ilunsad ang anumang nakalistang profile kahit na hindi gumagana nang tama ang visual selector.
Advanced na pag-tune ng profile gamit ang SQLite at mga configuration file
Kapag kailangan ang mas "pinong" pagkukumpuni ng sistema ng profile, o kailangang ganap na gumana ang internal selector, maaaring kailanganing i-edit ang SQLite database na nag-iimbak ng ugnayan sa pagitan ng mga profile at path . Ang impormasyong ito ay naka-save sa mga .sqlite file sa loob ng folder na Profile Groups.
Sa Windows, ang karaniwang path ay \AppData\Roaming\Mozilla\Firefox\Profile Groups , habang sa Linux ay matatagpuan ito sa Home/<username>/.config/mozilla/firefox/Profile Groups . Ang direktoryong ito ay karaniwang naglalaman ng isa o higit pang .sqlite file, kadalasang may mga pangalan tulad ng ca96babb.sqlite o katulad. Ang mga file na ito ay naglalaman ng isang talahanayan na tinatawag na "profiles" na may column na "path" na nagpapahiwatig ng folder na nauugnay sa bawat profile.
Para matukoy ang kaugnay na file ng profile group, maaari mo itong i-upload sa isang online SQLite viewer o buksan ito gamit ang isang editor tulad ng SQLiteStudio at suriin ang mga nilalaman ng talahanayan ng "mga profile". Sa pamamagitan ng paghahanap ng mga path na tumutugma sa luma o kasalukuyang mga folder ng profile, matutukoy mo kung aling database ang kailangang baguhin.
Pagkatapos i-backup ang .sqlite file (mahalaga bago gumawa ng anumang pagbabago), i-edit ang column na "path" ng mga kinakailangang record, palitan ang mga reference tulad ng Profiles\ patungong Profiles\ . I-save ang file at pagkatapos ay palitan ang orihinal gamit ang binagong bersyong ito sa folder na Profile Groups . Sa ganitong paraan, maiuugnay muli ng Firefox nang tama ang mga profile sa kanilang mga bagong path , at mababawi ng profile selector ang normal nitong functionality.
May mga alternatibong pamamaraan na iminungkahi ng mga bihasang gumagamit upang maiwasan ang direktang pag-edit ng database. Isa na rito ang paggamit ng opsyon sa pag-synchronize ng Firefox pagkatapos magpalit ng mga profile file , upang ang mekanismo ng Pag-sync mismo ang "mag-reset" ng impormasyon at gumana muli ang selector, nang hindi manu-manong binabago ang SQLite.
Ang isa pang paraan ay ang pag-edit ng prefs.js file sa loob ng bawat profile folder. Sa pamamagitan ng pagbubukas nito gamit ang text editor at paghahanap sa entry na "toolkit.profiles.storeID" , maaari mong isaayos ang value upang tumugma sa pangalan ng .sqlite file ng profile group (halimbawa, pagpapalit nito sa katulad nito ("toolkit.profiles.storeID", "7d97d1ff") ). Inihahambing nito ang profile sa kaukulang store at tinutulungan ang Firefox na matukoy nang tama ang istruktura.
Panghuli, inilarawan din sa komunidad ang mga alternatibong pamamaraan para sa mga kaso kung saan hindi gumagana ang mga nabanggit na pamamaraan, pagsasama-sama ng pag-edit ng path, paglikha ng mga bagong profile mula sa about:profiles, at manu-manong muling pagtatalaga ng mga folder. Mula sa isang forensic na pananaw, ang mahalagang bagay ay palaging magtrabaho sa mga backup , idokumento ang bawat pagbabago, at panatilihing buo ang orihinal na ebidensya.
Awtomatikong pag-backup ng mga profile ng Firefox gamit ang mga panlabas na tool
Ayos lang ang manu-manong pag-backup ng iyong profile folder sa panahon ng emergency, ngunit sa maraming sitwasyon, maipapayo ang regular at awtomatikong pag-backup . Dito nagagamit ang mga third-party tool na partikular na idinisenyo upang pamahalaan ang mga browser profile o magsagawa ng mga naka-iskedyul na synchronization.
Isa sa mga klasikong utility ay ang MozBackup , isang standalone na application na orihinal na idinisenyo upang i-back up at i-restore ang mga profile ng mga produkto ng Mozilla, kabilang ang Firefox. Ang pangunahing bentahe nito ay ang simpleng wizard nito: pipiliin mo ang profile, pipiliin kung aling mga component ang iba-back up (mga bookmark, history, password, extension, atbp.), at bubuo ito ng backup file na maaaring i-restore sa parehong makina o sa iba pa.
Gayunpaman, mahalagang tandaan na ang MozBackup ay hindi na aktibong binubuo . May mga kilalang isyu, at sinabi ng teknikal na pangkat nito noong panahong iyon na kulang sila ng mga mapagkukunan upang patuloy na ayusin ang mga ito at magdagdag ng mga tampok. Samakatuwid, ang paggamit nito ay dapat nasa sariling peligro ng gumagamit o analyst, palaging bineberipika na ang backup ay nalikha at naibalik nang tama.
Isa pang sikat na opsyon ay ang Firefox Environment Backup Extension (FEBE) , isang browser add-on na idinisenyo upang lumikha ng kumpletong mga backup ng kapaligiran: mga naka-save na password, kagustuhan, cookies, history, tema, naka-install na extension, at maging ang mga file na walang kaugnayan sa Firefox kung nais ng gumagamit.
Pinapayagan ka ng FEBE na mag-iskedyul ng mga awtomatikong pag-backup (araw-araw, lingguhan, o buwanan) at, sa mas advanced na mga bersyon nito, mag-upload ng mga backup file sa mga serbisyo tulad ng Box.net. Tulad ng anumang extension, may panganib na hindi ito maging tugma sa mga susunod na bersyon ng Firefox o maaaring bumaba ang maintenance ng add-on, kaya palaging ipinapayong suriin kung aling bersyon ang iyong ginagamit at kung aktibo pa rin ito.
Bukod sa mga partikular na tool ng Mozilla, maaari ring gamitin ang mga generic na programa sa pag-synchronize tulad ng SyncBackFree . Ang solusyong ito ay nagbibigay-daan sa iyong magtakda ng backup at restore ng mga profile para sa mga partikular na direktoryo, kabilang ang folder ng profile ng Firefox, at i-automate ang proseso. Wala itong mga ad o malware, at ang libreng bersyon nito ay sapat na para sa maraming gumagamit ng bahay o maliliit na organisasyon.
Gayunpaman, ang SyncBackFree ay hindi tugma sa mga bersyon ng Windows Server; sa mga kapaligirang iyon, kakailanganin ang mga mas mataas na edisyon tulad ng SyncBackSE o SyncBackPro. Para sa forensic na paggamit, ang bentahe nito ay pinapadali nito ang paggawa ng mga madalas na backup nang hindi na kailangang tandaan ng user na gawin ito nang manu-mano , na nagpapaliit sa panganib ng pagkawala ng mahahalagang impormasyon sa pagitan ng isang insidente at ng susunod na backup.
Ang papel ng mga browser at email sa digital na pananaliksik
Bagama't ang pokus dito ay sa Firefox, makakatulong na maunawaan ito bilang bahagi ng mas malawak na ecosystem ng ebidensya. Ang iba pang mga browser, tulad ng Chrome at mga browser na nakabase sa Chromium, ay gumagamit din ng mga SQLite database at mga katulad na artifact para sa history at cookies, na nagbibigay-daan para sa aplikasyon ng mga katulad na metodolohiya sa kanilang pagsusuri.
Halimbawa, ang Chrome ay nag-iimbak ng history ng pag-browse at cookies sa mga database na tugma sa mga SQLite viewer, at mapapatunayan ng cache analysis nito na ang content ay talagang na-load sa device. Ang pagbibigay-kahulugan sa cookies at history nang magkasama ay nagbibigay-daan sa pag-uugnay ng mga aksyon sa isang partikular na user at oras , tulad ng sa Firefox, na nagpapalawak ng konteksto ng imbestigasyon nang higit pa sa iisang browser.
Kasabay nito, ang mga email ay kadalasang malapit na nauugnay sa mga insidente ng seguridad : phishing, pagnanakaw ng pagkakakilanlan, pandaraya, internal data leaks, atbp. Ang kanilang metadata (buong header, ruta ng transit, intermediate server, petsa, at time zone) ay nagbibigay-daan sa pag-verify ng tinatayang pinagmulan ng isang mensahe, ang pagiging tunay ng nagpadala, at ang teknolohiya ng email client.
Sa pamamagitan ng pag-uugnay ng datos na ito sa aktibidad ng browser (halimbawa, isang phishing link na na-click mula sa isang partikular na account, o isang online banking session na sinimulan pagkatapos makatanggap ng kahina-hinalang email), maaaring muling buuin ang mga lubos na tumpak na kadena ng kaganapan . Ang susi ay ang paglapit sa pagsusuri nang holistiko, pagsasama ng mga artifact sa pag-browse, mga email, mga log ng operating system, at anumang iba pang magagamit na mapagkukunan.
Sa madaling salita, ang forensic analysis ng mga browser tulad ng Firefox ay hindi lamang isang bagay ng pagsusuri sa isang listahan ng mga URL . Kabilang dito ang masusing pag-unawa sa kung paano iniimbak, binabago, at binubura ang data; kung paano pinamamahalaan ang mga profile, session, SQLite database, at backup; at kung paano isinasama ang mga elementong ito sa isang mahigpit na metodolohiya para sa pagpapanatili, pagkuha, pagsusuri, pag-uugnay, at paglalahad ng mga resulta.
Lahat ng ginagawa natin online ay nag-iiwan ng bakas, at ang Firefox ay nag-iimbak ng malaking bahagi ng impormasyong iyon. Ang pag-alam kung paano hanapin, protektahan, at, kung kinakailangan, forensic na mabawi ang mga sesyon at profile ng browser ay gumagawa ng malaking pagkakaiba sa pagitan ng isang depektibong imbestigasyon at isang matibay, maaaring kopyahin, at maipagtatanggol na pagsusuri—mahalaga para sa parehong mga propesyonal sa cybersecurity at mga advanced na user na gustong panatilihing ligtas ang kanilang data sa lahat ng oras.
