{"id":362,"date":"2019-11-02T01:35:34","date_gmt":"2019-11-02T00:35:34","guid":{"rendered":"http:\/\/www.forlex.it\/blog\/?p=362"},"modified":"2019-11-02T01:35:36","modified_gmt":"2019-11-02T00:35:36","slug":"computer-forensic-vs-emule","status":"publish","type":"post","link":"http:\/\/www.forlex.it\/index.php\/2019\/11\/02\/computer-forensic-vs-emule\/","title":{"rendered":"Computer Forensic vs eMule"},"content":{"rendered":"\n

Con questo promemoria voglio condurre i lettori di questo stupendo spazio nel mondo del “peer to peer”.<\/p>\n\n\n\n

Non ho sicuramente la presunzione di illuminarvi nel P2P ma almeno di condividere con voi (visto che siamo in tema) quelle poche informazioni che ho acquisito, dalla mia attivit\u00e0 lavorativa.<\/p>\n\n\n\n

Non vi voglio spiegare configurazione e utilizzo dei vari programmi di “file sharing” ma, quel poco che so in materia di analisi di files di configurazione del cosiddetto Mulo<\/em> e successivamente, se piace quanto scrivo, l\u2019analisi di una sessione di traffico emule ed i sistemi di identificazione di un utente in eMule.<\/p>\n\n\n\n

Cercher\u00f2 quindi di dare delle informazioni sul programma di P2P eMule e quindi del protocollo eDonkey<\/em>.<\/p>\n\n\n\n

\u00c8 banale dirlo ma il P2P serve per condividere risorse all\u2019interno di una precisa rete.<\/p>\n\n\n\n

In una rete P2P ciascun nodo ha funzionalit\u00e0 sia di client che di server e pu\u00f2 essere parzialmente o completamente autonomo nel senso che non dipende da alcuna autorit\u00e0 centrale. Una buona rete P2P si misura su come tutto il sistema riesce a contribuire a rendere efficiente l\u2019algoritmo di routing. Questo algoritmo deve instradare, in fase di ricerca, i messaggi dei vari users nella direzione pi\u00f9 opportuna, coprendo il percorso pi\u00f9 breve possibile, ed evitando la duplicazione dei messaggi.<\/p>\n\n\n\n

Esistono vari tipi di reti P2P: Classica, Peer to Peer e Ibrida.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

La figura centrale mostra una rete Ibrida, ovvero un sistema che si compone sia di una rete Classica che di una Peer to Peer.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Il cerchio rosso rappresenta una rete Classica come quella sulla sinistra della rete Ibrida, mentre il cerchio blu \u00e8 la porzione di rete Peer to Peer presente nel sistema Ibrido.<\/p>\n\n\n\n

Perch\u00e9 mi sono soffermato maggiormente sulla rete Ibrida?<\/p>\n\n\n\n

Perch\u00e9 la rete del protocollo eDonkey di eMule \u00e8 una rete Ibrida.<\/p>\n\n\n\n

I sistemi Ibridi sono le architetture pi\u00f9 diffuse. In queste reti esistono decine di server centrali ai quali si collegano anche migliaia di client. I server si occupano dell\u2019aggiornamento delle fonti (cio\u00e8 dei client che detengono effettivamente la risorsa che deve essere condivisa), delle liste del materiale digitale, di mettere in comunicazione i client tra loro ecc\u2026<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

I vantaggi di un sistema di questo tipo sono la distribuzione del carico di lavoro tra client e server, l\u2019utilizzo di protocolli pi\u00f9 efficienti per l\u2019aggiornamento e lo scambio del materiale digitale, maggiore scalabilit\u00e0 e la migliore resistenza del network anche se il supporto di alcuni server viene a mancare.<\/p>\n\n\n\n

Gli svantaggi di un sistema di questo tipo sono rappresentati dalla parte della rete classica che avvicina troppo la rete Ibrida ad un sistema centralizzato.<\/p>\n\n\n\n

La rete eDonkey pu\u00f2 essere definita come un network IBRIDO, di SECONDA GENERAZIONE ovvero una rete ove i files viaggiano spesso compressi, ma \u00e8 quasi sempre possibile individuare con certezza il client che detiene, condivide, cede, o pubblicizza il proprio materiale.<\/p>\n\n\n\n

In rete esistono molti programmi che utilizzano il protocollo eDonkey. Il pi\u00f9 famoso \u00e8 eMule. Il sorgente di eMule \u00e8 libero, e quindi esistono molti \u201cmodificazioni\u201d di eMule che sono detti Mods.<\/p>\n\n\n\n

Questa primo articolo vuole parlare solo dell\u2019aspetto cosiddetto forense e quindi vorrei descrivere quelle che sono le informazioni che si posso ricavare dalla lettura dei files presenti nel programma eMule.<\/p>\n\n\n\n

Una volta installato qualsiasi programma di eMule vengono creati vari files e cartelle all\u2019interno di c:\\programmi\\[nome del programma eMule].<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Nella cartella \u201cConfig\u201d sono presenti tutti i files di interesse investigativo. L\u2019analisi di questi files \u00e8 possibile con il semplice WordPad o addirittura con WinHex, ed i files di interesse dai quali \u00e8 possibile trarre informazioni utili sono:<\/p>\n\n\n\n

AC_SearchStrings.dat che memorizza la cronologia delle ricerche, ed \u00e8 molto utile per la funzione di completamento automatico.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Addresses.dat che contiene una lista di siti dai quali \u00e8 possibile scaricare la lista aggiornata dei server<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Shareddir che memorizza la lista delle cartelle condivise;<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Fileinfo.ini, memorizza i commenti dell\u2019utente per ogni file;<\/p>\n\n\n\n

Preferences.ini memorizza la configurazione principale del client. Da questo file si pu\u00f2 anche ricavare il Nick che usa l\u2019utente e la cartella di condivisione creata, aggiuntiva a quella di default del programma che \u00e8 sempre \u201cIncoming\u201d<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Emfriends.met contiene la lista degli amici attuali.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Known.met memorizza gli hash e il nome dei files attualmente in condivisione.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

In questa prima parte ho descritto, molto velocemente, quali files posso andare ad analizzare per trarre immediatamente informazioni utili da un\u2019attivit\u00e0 di computer forensic su un PC ove \u00e8 installato un programma eMule.<\/p>\n\n\n\n

Se me ne sar\u00e0 data la possibilit\u00e0 \u00e8 mia intenzione proseguire con la descrizione di quali sono le informazioni utili per riconoscere l\u2019identit\u00e0 di un utente che utilizza il cliente eMule e successivamente riuscire a parlare dell\u2019analisi del protocollo eDonkey.<\/p>\n\n\n\n

Grazie a tutti ed al prossimo appuntameto.<\/p>\n\n\n\n

Giuseppe Di Ieva<\/p>\n","protected":false},"excerpt":{"rendered":"

Con questo promemoria voglio condurre i lettori di questo stupendo spazio nel mondo del “peer to peer”. Non ho sicuramente la presunzione di illuminarvi nel P2P ma almeno di condividere con voi (visto che siamo in tema) quelle poche informazioni …<\/p>\n

Computer Forensic vs eMule<\/span> Read More »<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[5],"tags":[],"_links":{"self":[{"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/posts\/362"}],"collection":[{"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/comments?post=362"}],"version-history":[{"count":3,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/posts\/362\/revisions"}],"predecessor-version":[{"id":375,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/posts\/362\/revisions\/375"}],"wp:attachment":[{"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/media?parent=362"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/categories?post=362"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/tags?post=362"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}