Zoguldak' ta Mobile Forensics Eğitimi

Zonguldak Mesleki ve Teknik Anadolu Lisesi, Karaelmas Mesleki ve Teknik Anadolu Lisesi ile Batı Karadeniz Kalkınma Ajansı 2017 Yılı Teknik Destek Programı’na yapmış olduğu TR81/17 referans numaralı “Mobil Güvenlik Eğitimi” konulu proje başvurusu kabul edilerek 24.11.2017 tarihinde sözleşme imzalanmıştır.
 

 
Başarılı değerlendirilen teknik destek projesi kapsamında 18-22 Aralık  2017 tarihleri arasında Batı Karadeniz Kalkınma Ajansı eğitim salonunda Zonguldak Mesleki ve Teknik Anadolu Lisesi Öğretmenleri, Karaelmas Mesleki ve Teknik Anadolu Lisesi Öğretmenleri ve Bülent Ecevit Üniversitesi’nin katılımıyla Mobil Güvenlik Eğitimi gerçekleştirilmiştir.
Eğitim, Mobile Forensics Uzmanı Ali Yavuz ÇUKUR tarafından verilmiştir.

http://www.tempogazetesi.com/mobil-guvenlik-egitimi/
http://www.elmas67.com/mobil-guvenlik-egitimi-verildi-19643-haber/
http://zonguldakeml.meb.k12.tr/icerikler/mobil-cihazlarda-guvenlik-egitimi_4121265.html
https://zonguldakbilisim.wordpress.com/2017/12/25/zoguldak-ta-mobile-forensics-egitimi/
http://karaelmasmtal.meb.k12.tr/icerikler/android-mobil-uygulama-guvenligi-denetimi-egitimi_4055442.html

web tasarım dersi için en çok karıştırılan tablo parametresi hep birbirine karışır. (öğrencimin orjinal fikri)

Android Studio ADB Komutları

Aşağıdaki komutlar için aşağıdaki cihaz ayarlarının çoğunun yapılmış olması gerekir.

1. Cihaz Root'lu olmalı. (root olmadan da sistem dosyalarını etkilemeyen komutlar çalışır.)
2. Cihazdaki USB hata ayıklama açık olmalı. (adb bağlantısı için bu gerekli.)

not: cihazlara root atmak cihazı garanti dışı bırakır.

• adb devices

Bağlı cihazları seri numaraları ile listeler. Bağlandığı cihaza eşleştirme mesajı gelir.

• adb root

Programı kök izinleriyle yeniden paylaşır.

• adb kill device

Bağlı cihazları kaldırır.

• adb shell

Cihaz konsolu ekrana gelir.

• adb -e shell

emulatore bağlan.

• adb -d shell

fiziksel bağlı cihaza bağlan.

• adb forward tcp:6100 tcp:7100

Keyfi port yönlendirme. Anamakinedeki 6100 nolu portu cihazı 7100 numaralı portuna yönlendirir. (adb forward tcp:6100 local:logd)

• adb backup -shared -all

Android 4.0 ve sonraki sürümleri olan cihazlar Android SDK'dan yedeklenebilir ve bilgisayarınızdaki bir dosyaya kaydedilebilir. Bu işlem, telefonunuzdaki tüm verilerin bilgisayarınızdaki platform-tools\backup.ab isminde bir dosyaya yerleştirilmesini sağlayacaktır.
diğer parametreleri;
-apk – Uygulamaları yedekler.
-noapk – uygulamalar hariç.
-shared –SD kartı yedekler.
-noshared – SDkartı yedeklemez.
Komut çalıştığında cihazda gelen arayüzde Back up my data seçimi yapılmalıdır. İstenirse parola konulabilir.

• adb backup -all -f C:\istedigimisim.ab

dosya ismini ve yerini kendiniz vermek için.

• adb restore D:\sdk\platform-tools\

Yedekleme dosyasını geri yükleme yapmak için. Komut çalıştığında cihazda gelen arayüzde Restore my data seçimi yapılmalıdır.

• adb shell dumpsys >butunsistem.txt

Dumpsys, genelde geliştirme amaçlı olarak cihazda çalışan hizmetlerin durumunu göstermek için kullanılan Android işletim sistemine entegre edilmiş bir araçtır. Bununla birlikte, aynı zamanda adli olarak ilginç bilgiler içerebilir. Dumpsys'e kök erişimi gerekmez; ancak tüm ADB komutları gibi USB Hata Ayıklamasının cihazda etkinleştirilmesini ve Güvenli USB Hata Ayıklama'nın atlanmasını gerektirir. Görüntülenebilecek kesin hizmetler, cihazlar ve Android sürümleri arasında farklılık göstermektedir.

• adb shell service list

Tüm servis hizmetlerinin listesi
(adb shell dumpsys |grep DUMP)

• adb shell dumpsys iphonesubinfo

cihaz id ve  tipi bilgileri gelir.
http://android-test-tw.blogspot.com.tr/2012/10/dumpsys-information-android-open-source.htm

• adb shell dumpsys wifi

http://android-test-tw.blogspot.com.tr/2012/10/dumpsys-information-android-open-source.htm

• adb shell dumpsys cpuinfo

http://android-test-tw.blogspot.com.tr/2012/10/dumpsys-information-android-open-source.htm

• adb shell dumpsys input

Dokunmatik ekranlar veya dahili klavyeler gibi giriş bileşenleri için sistem verileri sağlar.

• adb shell dumpstate

servis durumlarını gösterir.

• adb shell screencap -p /sdcard/screen.png

ekran görüntüsü alma.

• adb shell screenrecord /sdcard/demo.mp4

ekran videosu alma. Android 4.4 ve üzeri

• adb logcat

makinenin işlem kaydını (logları) gösterir.

•  adb logcat > tümloglar.txt
• adb logcat -f tümloglar.txt

logları belirtilen dosyaya kaydeder.

adb logcat

adb logcat *:V Sadece ayrıntılar.

adb logcat *:D Hata ayıklama düzeyi

adb logcat *:I Bilgi seviyesi düzeyi

adb logcat *:W Uyarı logları

adb logcat *:E hata logları

adb logcat *:F Kritik hata logları

adb logcat *:S Silent, highest priority, on which nothing is ever printed

adb logcat -b <Tampon>

adb logcat -b radio telefon logları.

adb logcat -b event olay logları.

adb logcat -b main ana loglar

adb logcat -c tüm logları siler

adb logcat -d Logları ekrana basar.

adb logcat -f test.logs test.logsdosyasına yazar .

adb logcat -g log boyutunu basar.

adb logcat -n <count> Log sayısını belirler. 

 

adb logcat -r <kbytes>

adb logcat -s

adb logcat -v <format>

adb logcat -v brief Display priority/tag and PID of the process issuing the message (default format).

adb logcat -v process Display PID only.)

adb logcat -v tag Display the priority/tag only.

adb logcat -v raw Display the raw log message, with no other metadata fields.

adb logcat -v time Display the date, invocation time, priority/tag, and PID of the process issuing the message.

adb logcat -v threadtime Display the date, invocation time, priority, tag, and the PID and TID of the thread issuing the message.

adb logcat -v long Display all metadata fields and separate messages with blank li

• adb install E:\ayarlama.apk

ilgili dizindeki apk dosyasını bağlı cihaza kurar.

• adb uninstall com.test.app
• adb uninstall -k com.test.app

-k parametresi önbellek ve veri dizinlerini korur.

• adb remount

sistem dosyalarını yazmaya açma

• adb push DosyaninBilgisayardakiYeri TelefondaKoyulmakİstenenYer

İstenen dosyayı cihaza gönderme
adb push D:\SystemUI.apk /system/app/
adb push D:\deneme.txt /sdcard/deneme/
adb push D:\filmler /sdcard/movies/

• adb pull TelefondakiÇikarilacakDosyaninYeri bilgisayardaAktarilacakYer

Cihazdan dosya alma
adb pull /system/app D:\ROM\system\app\
adb pull /system/build.prop C:\Users\User\Desktop\
adb pull /system/ system
adb push Slap.apk /system/app/

• adb mount -o rw,remount /dev/block/mtdblock3 /system

Sistem dosyalarını yazmaya açar.

• su: root yetkisine yükselme
• du: Dosya klasör ve boyut gösterir.
• date: bugünün tarihini gösterir
• ls: dizin listesi gösterir
• cd: çalışma dizini değiştirir
• rm: dosyayı kaldırır
• logcat: logları görüntüler
• mount: bölümü yazmaya açar
• busybox: Busybox Appletleri

Android Sistem Imajı Alma

Aşağıdaki komutlar için aşağıdaki cihaz ayarlarının çoğunun yapılmış olması gerekir.

1. Cihaz Root’lu olmalı.
2. Cihazdaki USB hata ayıklama açık olmalı. (adb bağlantısı için bu gerekli.)

not: cihazlara root atmak cihazı garanti dışı bırakır.

• Cihaz Bölümlerini öğrenme(1.yol)

adb shell
cat /proc/partitions

• Bölümlerin blok adlarını öğrenme(2.yol)

adb shell
ls -al /dev/block/platform/dw_mmc/by-name

• 3.yol

adb remount
adb shell "su" "" "mount -o remount,rw /system"
adb push parted /system/bin/parted
adb shell
chmod 0755 /system/bin/parted
parted /dev/block/mmcblk0
print

• imaj için bölüm tespitinden sonra

adb shell
su
dd if=/kayakbolumadi of=/hedefklsör/hedeftipi
örneğin:
adb shell
su
dd if=/dev/block/mmcblk0p9 of=/sdcard/system.img

• alınmış imajı mount etme

su -
mkdir -p /mnt/disk
mount -o loop yourImage.img /mnt/disk
cd /mnt/disk
ls -l

Android aapt.exe uygulaması (Android Asset Packaking Tool)

• sdk dizininde  build-tools\25.0.0 aapt.exe uygulaması
• 25.0.0 dizini kullanılan versiyona göre değişir.
• aapt.exe list hastatakip.apk

apk paketi bilgileri

• aapt.exe list -v hastatakip.apk

genişletilmiş paket bilgileri

• aapt.exe dump permissions hastatakip.apk

paket izinleri

• aapt.exe dump resources hastatakip.apk

peket kaynaklarını görüntüler.

• aapt.exe dump xmlstrings hastatakip.apk AndroidManifest.xml

adı verilen xml içeriğini inceleme

• aapt dump badging hastatakip.apk

izinler, ekran bilgileri

• aapt dump configurations hastatakip.apk

paket konfigurasyonu

• aapt dump xmltree hastatakip.apk res/layout/spare_parts.xml

xml yapısı

• unzip -l -v hastatakip.apk

paketi açma

• adb shell ps cihaz üzerinde çalışan uygulamaların listesi görüntüler.

powercfg komutu ile hiperfil.sys dosyasını kaldırma

Sistem disk alanınız azaldıysa Windows‘un Hibernation özelliğini devre dışı bırakarak bir miktar boş alan açabilirsiniz.

 

Bilgisayarın bekleme konumunda(uyku modu) olması anlamına gelen Hibernation ile bilgisayar en düşük güç tüketim moduna geçerek hazırda bekler. Disklerin dönmesi durdurulur, anakartınız destekliyorsa fanlar durur, ekran kartı kapatılır, vb...

 

Windows uyku modundan normal çalışma moduna geri dönebilmek için hafızanın o anki dökümünü ana sistem dizinindeki (C:\) hiberfil.sys dosyasına kaydetmesi gerekir. Bu dosyanın boyutu RAM (sistem ana belliği) ‘inizin boyutuna yakındır.

 

Örneğin; 4GB RAM’iniz varsa hiberfil.sys dosyası kullanılmadığı halde bile 4GB’a yakın disk alanını işgal eder.

 

Hibernation özelliğini kapatıp hiberfil.sys dosyasından kurtulmak için aşağıdaki adımları uygulayabilirsiniz:

 

• Başlat > Donatılar > Komut İstemi seçeneğine sağ tıklayarak “Yönetici olarak çalıştır” menü seçeneğini tıklatın.
• Komut istemine “powercfg -h off” komutunu yazarak hibernation modu özelliğini kapatın.
• Sistem bölümünüzdeki disk arttığını göreceksiniz.

 

Powercfg, sisteminizin ne kadar enerji harcadığını yönetmek ve gözlemlemek için kullanabileceğiniz bir komut. “powercfg/hibernate on” ve “powercfg/hibernate off” komutları ile askıya alma ayarlarını yönetebilir, “powercfg/a” komutu ile sisteminizdeki enerji tasarrufu durumlarını görebilirsiniz.

https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-vista/cc748940(v=ws.10)
https://www.asirin.com/asirin/blog.asp?id=199

pathping, driverquery, cipher, assoc cmd komutları

• pathping;

Bu komut, ping’in biraz daha gelişmiş hali. Hedef cihazla aranızda birden çok router varsa pathping’i kullanabilirsiniz. Tıpkı ping’de olduğu gibi, komutun ardından IP adresini girerek paket gönderebiliyorsunuz, ama ping’in aksine, pathping paketlerin yol üzerinde geçtiği yerler ve durumlar hakkında da bazı bilgiler veriyor.

• driverquery

Yanlış ayarlanmış ya da eksik sürücüler, sisteminizde çeşitli sorunlara sebep olabiliyor. “driverquery” komutu da sisteminizde yüklü olan sürücüleri istediğiniz zaman görebilmenizi sağlıyor. Komutu “driverquery –v” ile kullandığınızda da, sürücünün yüklü olduğu klasör dahil olmak üzere daha detaylı bilgilere ulaşabilirsiniz.

örnek;
driverquery
driverquery /fo csv
driverquery /nh
driverquery /s ipaddress
driverquery /s server1 /u hirpln /v driverquery /s server1 /u maindom\hirpln /p p@ssw3d /fo list

• cipher

Sabit diskteki dosyaları silmek, aslında onları gerçekten silmiyor. Bir dosyayı sildiğinizde, Windows bunları “erişilemez” olarak işaretliyor ve kapladıkları alanları boş olarak gösteriyor. Yani bu yüzden tamamen sildiğinizi düşündüğünüz dosyalar, geri getirilebiliyorlar.

Cipher komutu da bu durum için kullanılıyor. Komut, seçtiğiniz bölümdeki boş alana rastgele veriler yazıp siliyor ve daha önceden sildiğiniz dosyaların geri getirilme imkanı kalmıyor. Mesela C sürücüsünde bu komutu kullanmak isterseniz “cipher/w:c” yazarak bu sürücüdeki boş alanı tamamen temizleyebilirsiniz. Bu komut, mevcut verilerinize herhangi bir zarar vermiyor.

• assoc

Windows’taki dosyaların büyük bir kısmı, belirli bir programla açılacak şekilde ayarlanmıştır. Bazen hangi dosya türünü, hangi programın açtığını hatırlamayabilirsiniz. CMD’ye yazacağınız “assoc” komutuyla, tüm dosya uzantılarını ve bu dosyaların hangi programla açıldığını görebilirsiniz.

Assoc komutunu uygulamak için şu yolu izleyin

1. Windows ve Ru tuşlarına basın.
2. Çalıştır penceresine cmd yazın.
3. Enter tuşuna basın.
4. Komut istemine şu komutu yazın ve enter tuşuna basın:
   

   assoc

5. Bu işlemden sonra ekrana uzantılar ve ilişkili uygulamalar gelir. Pencere çok hızlı akacaktır. Sayfalama yapmak ve space tuşua bastığınızda sayfa sayfa geçiş olması için komutu şu şekilde kullanabilirsiniz:
   

   assoc |more

   assoc .zip

.zip= WinRAR.ZIP

Buradan .zip uzantılı dosyaların WinRAR programı ile eşleştiğini anlayabilirsiniz.
Assoc komutu DOS, yani komut istemi altından dosya ilişkilendirmelerini görmek için kullanabileceğiniz kullanışlı bir komuttur.