[Guía] Informática forense básica

[BeyondRU]

El cómputo forense, también llamado informática forense, computación forense, análisis forense digital o examinación forense digital es la aplicación de técnicas científicas y analíticas especializadas a infraestructura tecnológica que permiten identificar, preservar, analizar y presentar datos que sean válidos dentro de un proceso legal.

esto según:

Computo forense - Wikipedia, la enciclopedia libre

Bueno aclaro que lo que voy a enseñar es muy básico y aún no puedo obtener lo que quiero...

Bueno existe lo que se conoce como "Recycler Bin" la cual contiene carpetas y una en especifica que se llama

S-1-5-21-XXXXXXXXX-XXXXXXXXX-XXXXXXXX-XXXX

en mi caso:

S-1-5-21-1791783002-789140894-1379608088-1000

cabe destacar que no se puede acceder a la ruta manualmente, yo usé WinRAR por ejemplo.

Exploramos mas a fondo el directorio que termina en 4 digitos (en mi caso 1000)...

Ahora, yo en el momento que hice esto, me pregunté, ¿abrá mas directorios?...

y simplemente, es fácil saberlo, usas CMD (C:\windows\System32\cmd.exe), quedaría asi:

ahora, hacemos un CD a C:\, el comando quedaría asi:

ahora vemos los directorios de C:\ con el comando "dir", quedaría asi:

como supuse no me aparece la carpeta $Recycle.Bin, bueno entonces ahora hago un cd a $Recycle.Bin/S-1-5-21-1791783002-789140894-1379608088-1000 y luego un dir

ahora una comparativa entre lo que entrega CMD y WinRAR:

Ahora, creo un archivo .txt llamado chw-ozeros y lo borro...

Aquí una foto de mi papelera: (ss de chat con jordan (talla interna :uy))

Bueno, entonces vemos denuevo el WinRAR y el dir al recycle bien:

Entonces caché la tecnica que usa Windows 7, realmente es muy simple, guarda 2 archivos con el mismo nombre pero diferente contenido, el problema es que solo guarda la dirección.

Ahora en Windows XP, es otra cosa, esta el INFO2, donde se guarda el archivo entero, cuando pueda obtener el INFO2 de W7 actualizaré la guía, saludos y muchas gracias.

ACTUALIZACIÓN

bueno ahora sé como recuperar los archivos eliminados... pero aún no sé dónde quedan los archivos eliminados en semanas - meses pasados...

Ya estando en el directorio anterior (C:\$Recycle.Bin\S-1-5-21-1791783002-789140894-1379608088-1000\)

hacemos un mkdir, un mkdir es crear una carpeta ... a esta carpeta la llamaremos recuperar, quedaría asi:

ahora simplemente, todos los datos que tengamos (yo vacie la papelera, pero ahora la llené denuevo) hacemos un cd a recuperar, y luego un copy a la ruta anterior, quedaría asi:

cd recuperar

copy /y C:\$Recycle.Bin\S-1-5-21-1791783002-789140894-1379608088-1000\*.*

ahora solo queda ir a la carpeta y obtener los archivos...

C:\$Recycle.Bin\S-1-5-21-1791783002-789140894-1379608088-1000\recuperar

[Cayman]

interesante

wena guia