Forensik : Rekod log WGET dan analisis ringkas

Assalamualaikum & salam sejahtera, tahukah anda bahawa penggunaan "WGET" juga menghasilkan cap jari / fingerprint apa bila digunakan? Ia akan mendedahkan maklumat pengguna. Walau bagaimana ianya bukanlah perkara besar untuk dibincangkan. Semua ini hanya perkara temeh-remeh, namun agak berguna untuk penganalisa ancaman siber (malware analyzer, data forensics, network intrusion dan sebagainya).

Sekiranya kita request fail tertentu (contoh : nama_fail.zip) pada pelayan, maka satu rekod akan dimasukkan ke dalam "access log".

59.21.236.91 - - [31/August/2013:12:10:15 -0400] "GET /nama_fail.zip HTTP 1.0" \ 200 12 "-" "WGET/1.12 (linux GNU)"

Dalam log ini telah mendedahkan bahawa pengguna daripada IP "59.21.236.91" telah memuat-turun "nama_fail.zip" dengan menggunakan "WGET" versi "1.12" pada 31 Ogos 2013 pada pukul 12:10 tengahari dan menggunakan sistem operasi linux.

Pengguna boleh memanipulasi "user agent" dengan menggunakan parameter -U untuk obfuscate cap jari / fingerprint. Contoh dan cara menggunakannya ialah :

WGET www.pelayan.net/nama_fail.zip \ -U "Mozilla/5.0 (Windows NT;en-US) Gecko/20100316 Firefox/3.62"

Melalui cara ini, rekod "access" pada pelayan akan tertulis bahawa pengguna menggunakan sistem operasi Windows 7 dan menggunakan peluncur Firefox.

Sampai disini sahaja dahulu. Wassalam ~

Sumber bacaan : Malware Analyst's Cookbook and DVD (ISBN:978-0-470-61303-0)