NetworkMiner でパケットキャプチャデータからファイルを復元する
@IT の 第3回 「鍵は“J”の中にあるよ」CTF by ダークナイト解答編 という記事中で NetworkMiner というネットワークフォレンジックツールが紹介されていたので試してみました。NetworkMiner はインストール不要で、NetworkMiner.exe をダブルクリックすれば実行出来ます。
上部のドロップダウンリストからキャプチャしたいインターフェイスを選び、右側の「Start」ボタンを押せばキャプチャ開始です。キャプチャを終了するには、更に右側の「Stop」ボタンを押します。キャプチャ終了後は NetworkMiner.exe と同じディレクトリに AssembledFiles ディレクトリ（私の環境では「C:\Program Files\NetworkMiner-0.91\AssembledFiles」）が作成され、そのディレクトリ以下にホスト名ディレクトリ、プロトコル名ディレクトリが作成され（私の環境では「C:\Program Files\NetworkMiner-0.91\AssembledFiles\10.0.1.168\FTP - TCP 20」）、その中にキャプチャしたデータから復元されたファイルが保存されます。
