←

Forensics

00:00
0/450 pts

Forensics numérique

Le forensics (investigation numérique) consiste à extraire des preuves ou des données cachées à partir de fichiers, disques, images mémoire ou paquets réseau.

En CTF, le forensics couvre

Analyse de fichiers   → file, strings, xxd, binwalk
Stéganographie        → Données cachées dans images/audio
Analyse mémoire       → Volatility (dump RAM)
PCAP / réseau         → Wireshark, tcpdump, tshark
Forensics disque      → Autopsy, FTK, dd

Outils essentiels

OutilUsage
fileIdentifier le vrai type d'un fichier
stringsExtraire les chaînes ASCII/Unicode
xxdAfficher en hexadécimal
binwalkDétecter des fichiers imbriqués
exiftoolLire les métadonnées (images, PDF)
steghideStéganographie dans images JPG/BMP
zstegStéganographie PNG (LSB)

Identification de fichiers

Les fichiers ont des magic bytes (signature) dans leurs premiers octets :

Magic bytes (hex)Type
FF D8 FFJPEG
89 50 4E 47PNG
50 4B 03 04ZIP / DOCX
25 50 44 46PDF
7F 45 4C 46ELF (binaire Linux)

Astuce CTF : un fichier avec une mauvaise extension est souvent l'indice qu'il faut chercher ses vrais magic bytes avec xxd.

Quiz de validation

Q1 Quel outil permet d'identifier le vrai type d'un fichier (pas son extension) ?

Q2 Que sont les "magic bytes" d'un fichier ?

Q3 Quel outil lit les métadonnées EXIF d'une image (auteur, GPS, appareil) ?