Imago-Forensics:Python实现的图像数字取证工具
- 2020 年 1 月 20 日
- 筆記
Imago是一个由python编写的图像数字取证工具,它可以从图像中递归提取数字证据。在整个数字取证调查中,这款工具非常有用。如果你需要提取图像中的数字证据且数量较多,那么Imago将能够帮助你轻松地对比它们。此外,Imago还允许你将证据提取到CSV文件或sqlite数据库中。如果在JPEG exif中存在GPS坐标,Imago可以提取经度和纬度,并将它们转换为度数检索相关信息,如城市,国家,邮政编码等。
安装
通过pip
安装 imago:
$ pip install imago
安装完成后,应该有一个新的可用二进制文件:
$ imago
然后它应该输出imago banner。
依赖软件包
python 2.7 exifread 2.1.2 python-magic 0.4.15 argparse 1.4.0 pillow 5.2.0 nudepy 0.4 imagehash 4.0 geopy 1.16.0
使用
usage: imago.py [-h] -i INPUT [-x] [-g] [-e] [-n] [-d {md5,sha256,sha512,all}] [-p {ahash,phash,dhash,whash,all}] [-o OUTPUT] [-s] [-t {jpeg,tiff}] optional arguments: -h, --help show this help message and exit -i INPUT, --input INPUT Input directory path -x, --exif Extract exif metadata -g, --gps Extract, parse and convert to coordinates, GPS exif metadata from images (if any)It works only with JPEG. -e, --ela Extract, Error Level Analysis image,It works only with JPEG. *BETA* -n, --nude Detect Nudity, It works only with JPEG, *BETA* -d {md5,sha256,sha512,all}, --digest {md5,sha256,sha512,all} Calculate perceptual image hashing -p {ahash,phash,dhash,whash,all}, --percentualhash {ahash,phash,dhash,whash,all} Calculate hash digest -o OUTPUT, --output OUTPUT Output directory path -s, --sqli Keep SQLite file after the computation -t {jpeg,tiff}, --type {jpeg,tiff} Select the image, this flag can be JPEG or TIFF, if this argument it is not provided, imago will process all the image types(i.e. JPEG, TIFF)
唯一必需的参数是-i,它是imago将从中开始搜索图像文件的基目录。此外,你还应指定至少一种类型的提取(即exif,data,gps,digest)。
示例
例1:
$ imago -i /home/solvent/cases/c23/DCIM/ -o /home/solvent/cases/c23/ -x -s -t jpeg -d all
-i path:基目录,imago将从中搜索图像文件; -o path:imago将使用提取的元数据保存CSV文件的输出目录; -x:imago将提取EXIF元数据; -s:处理后不会删除临时SQLite数据库; -t jpeg:imago将仅搜索jpeg图像; -d all:imago将为jpeg图像计算md5,sha256,sha512。
例2:
$ imago -i /root/Deskop/ -o /root/Desktop -x -g

特性
递归目录导航 文件 mtime(UTC) 文件 ctime(UTC) 文件 atime(UTC) 文件大小(字节) MIME 类型 Exif 支持 CSV 导出 Sqlite 导出 md5,sha256,sha512 错误级别分析(测试) 完整的 GPS 支持 裸露检测(测试) 感知图像哈希 aHash pHash dHash wHash
*参考来源:GitHub