یک نمونه فارنزیک در ویندوز

[IR4N0nY]

فرمان های net use و net view دو ابزاری هستند که احتمال استفاده از آنها در یک سیستم هک شده یا آلوده به بدافزار زیاد است. این دو فرمان که در خط فرمان ویندوز (cmd) قابل اجرا هستند، به ترتیب برای وصل شدن به یا قطع شدن از یک سیستم راه دور و نیز برای مشاهده سیستم های متصل به کار می روند. برای اطلاع از اینکه آیا این دو فرمان در سیستم اجرا شده اند یا خیر، دو موضوع را باید بررسی کرد:
1- آیا در دایرکتوری Prefetch ویندوز، فایلی که نشان دهنده اجرای آنها باشد ایجاد شده است؟
2- آیا در مجموعه event log های ویندوز، رخدادی مبتنی بر اجرای این فرمان ها ثبت شده است؟برای این کار دو ابزار وجود دارد:
Microsoft Log Parser 2.2
Nirsoft WinPrefetchView v1.25
نحوه استفاده از این دو ابزار برای حل مسأله فوق در اینجا ذکر شده است.