[Forensics] Recovery, 파일 복구 ( 스마트폰 )

* 하기 명령어로 하려고 했으나 물리적인 인식이 잘 안됨 ( 윈도우에서도 마찬가지 )

dd if=/dev/zero of=~/Destop/image.img

mkdir ~/Desktop/recovery

foremost -o ~/Desktop/recovery/ -t all -i ~/Desktop/image.img

* 아래 사이트에서 복구 프로그램 다운로드

  - recovering-deleted-files.net/android-data-recovery

* 안드로이드 폰에 설치해서 파일 복구하는 App : Diskdigger

  - http://androidcritics.com/how-to-recover-deleted-photos-videos-files-using-diskdigger/

* 이걸 한번 활용해 보면 어떨가.. ( 내일 해보는걸로.. )

  - https://santoku-linux.com/howto/mobile-forensics/how-to-brute-force-android-encryption

* dcfldd 활용하기

> dcfldd if=/dev/sda1 of=test.dd

> md5sum test.dd > test-dd.md5

> mkdir /mnt/test

> mount test.dd /mnt/test

> cd /mnt

* recovery jpeg

> recoverjpeg test.dd

* data carving - foremost

> foremost -a -T -i test.dd // 전부 다 뽑아낼 때

> foremost -T -t pdf.jpg -i test.dd // pdf, jpg만 뽑아낼때

* data carving - scalpel

> scalpel test.dd

* busybox 활용 하기 ( 루팅 필요 )

: download( busybox-armv4tl : android) => http://www.busybox.net/downloads/binaries/   

[ 준비 단계 ]

 오딘(Odin3) 다운로드

• http://atsgadgets.com/download-odin-latest-version-v3-09/

 Busybox 다운로드

• http://www.busybox.net/

 모델 별 루팅 이미지 준비

• http://www.clockworkmod.com/

• http://www.xda-developers.com/

• http://pspmaster.tistory.com/

• http://www.matcl.com/

1) 다운로드 모드 진입

• (전원 + 홈 + 볼륨 다운)  볼륨 업

• # adb reboot download

2) 오딘(Odin3) 실행 (recovery.img 교체)

• Files [Download]  AP 버튼 클릭  루트 이미지 선택  Start!!

3) 리커버리 모드 진입

• (전원 + 홈 + 볼륨 업)

4) 데이터 파티션 확인

• # adb shell

• # mount | df –h | cat /proc/partitions

5) Busybox 업로드

• # adb push busybox /tmp

• # adb shell chmod 755 /tmp/busybox

6) NC(Netcat)를 이용해 이미징하기

• [PC] # adb forward tcp:9999 tcp:9999

• [PHONE] # /tmp/busybox nc –l –p 9999 –e dd if=/dev/block/[data_block]

• [PC] # nc 127.0.0.1 9999 > android.dd