鑒真數位

29/07/2026

有單位問及如何運用X-Ways Forensic(以下簡稱XWF)進行資安事件調查，XWF身為專業的鑑識分析軟體，其最大優勢在於資源耗用低、處理效率高，更難能可貴的是其強大的解析能力，可說是沒有它解析不了的跡證，以下便為各位說明。

先前曾強調過Persistence在資安事件中的重要性，舉凡任務排程、服務或機碼等皆不可輕忽，以下便以此思路展開。在以XWF完成證物映像檔的evidence processing後，我先檢視證物中的任務排程，在其中發現一個名為”Maintenance”的可疑排程，如下圖編號1的圖示所示。通常這類愈是貌似正常的排程命名，例如備份或維護更新等等，鑑識人員愈是不能掉以輕心。

果不其然，該排程中所執行的command指向了一個位於C:\Windows路徑之下的可疑批次檔maintenance.bat，如編號2的圖示所示，一看赫然發現裡頭存在著會從遠端C&C主機下載惡意程式的powershell指令，如編號3的圖示所示。

接著檢視證物中是否存在可疑服務，如編號4的圖示所示，XWF已為我們解析好服務所在的Windows System Registry Hive，鑑識人員只需要雙擊它，XWF便會自動調用內建的Registry Viewer加以展開，當中發現一個名為c3pool_miner的可疑服務，如編號5的圖示所示。

值得留意的是，該可疑服務的相關參數如編號6的圖示所示，各是代表何意呢？為各位說明重要參數如圖1。

至此，對於證物電腦中潛藏的惡意程式已初步掌握了明確的線索，我們來看一下該惡意程式的執行痕跡(Prefetch)，XWF也已順利解析.pf的跡證內容，如編號7的圖示所示，除了路徑及可執行檔檔名外，還能查看其相關時間戳記以掌握關鍵時間點。

既已鎖定惡意程式所在的路徑，鑑識人員於XWF中造訪該路徑，看看究竟還有哪些檔案存在其中，如編號8的圖示所示，有機會從中再查找出與案情相關線索。

29/07/2026

🎙️ 感謝《區塊勢》許明恩的專訪！
_
區塊科技技術長周頌鈞（Eric）本次榮幸受邀擔任《區塊勢》Podcast EP.320 的來賓，與主持人許明恩深入對談，聊聊一個正在發生的轉變——當 AI 開始自己付錢，企業如何收款，誰來主持公道？
從搜尋、比價到呼叫 API，AI Agent 已經準備好代替我們付款。
_
但穩定幣支付雖然快速，卻不像信用卡內建爭議款與退款機制；當付款交給 AI，背後其實需要更完善的身分驗證、私鑰保管、KYT／反洗錢與法規遵循等信任機制。
這正是區塊科技打造 M-Key「AI 收銀機」的原因——一套為 AI Agent 支付量身打造的企業級收付款基礎設施，讓企業在下一波商務變革中，安全又合規地承接來自 AI 的每一筆交易。💡
_
節目中還聊到：
🔹 x402、AP2、MPP 各家如何搶定 AI 支付標準
🔹 微型支付如何改變 API 與付費內容的商業模式
🔹 當客人變成 AI，「無頭商店（Headless Merchants）」會長什麼樣子？
完整專訪這裡聽 👉 https://www.blocktrend.today/p/ep320

#區塊科技 #區塊勢 #穩定幣 #微型支付

EP.320

22/07/2026

先前曾為各位說明過，將iPhone接入Mac並確認辨識裝置成功，即可用Mac上內建的[系統監視程式]來檢視該iPhone的系統日誌內容。但若在手邊沒有Mac的情況下，於Windows/Linux也能辦到嗎？答案自然是肯定的，以下便為各位說明。

首先，在Windows平台需要名為libimobiledevice suite的套件，於以下連結下載並解壓縮，當中便有套件所包含的執行檔可直接執行無需安裝。
https://github.com/L1ghtmann/libimobiledevice/releases

起手式便是切換至套件所在路徑，以idevice_id指令辨識iPhone的裝置唯一識別值UDID，指令及執行結果如下圖編號1的圖示所示。而有關系統日誌的指令為idevicesyslog，若直接執行會在DOS視窗中不斷跑出一大堆資訊不利於檢視，因此有必要如編號2的圖示所示，搭配pipline指令以達成一邊檢視日誌內容，同時也以tee指令把日誌內容導出至參數指定的檔名加以儲存。

至於圖2的指令中為何會有tee？它不是在Linux才有嗎？沒錯，但若想在Windows平台也享有它，可以去下載已編譯好的tee.exe，或像我一樣用C來寫並編譯成exe即可，系統日誌可順利導出至我指定的檔名syslog.txt，內容如編號3的圖示所示。

接著，我們來看一下Linux平台，安裝好libimobiledevice-utils套件後，以idevice_id指令查詢iPhone的UDID，如編號4的圖示所示。若想要於檢視iPhone系統日誌同時也將日誌內容儲存至檔案，完整指令如編號5的圖示所示。打開syslog.txt可順利檢視系統日誌內容，如編號6的圖示所示。

此外，也可以在Windows/Linux執行指令來對iPhone進行備份，完整指令如編號7的圖示所示，之所以能在家目錄直接執行AppleMobileBackup.exe，是因為我已設定了環境變數之故。指令中用到的參數說明如下：
-s : 指定目標裝置唯一識別值
-backup : 操作模式為備份
-q : 指定備份目的地路徑

值得留意的是，若圖7中的指令少掉”-q” ，即便末尾仍有指定路徑，iPhone的備份資料可是會出現在預設路徑而非指定路徑的。

那在Linux如何備份iPhone的資料呢？指令idevicebackup2及參數如編號8的圖示所示，千萬別忘了指令末尾所指定的備份目錄，可是要預先建立好才行，不然指令是無法順利執行的。

20/07/2026

有單位問及，為何Windows電腦的本機防火牆服務預設是啟用的，但防火牆日誌功能預設卻是關閉的呢？這便涉及資源耗用與維運管理之間的彈性考量，系統管理者或網管人員，可以視需要於重要的主機或用戶端電腦將防火牆日誌加以啟用，對於內網間的橫向移動(Lateral movement)相關調查至為有利，有機會察覺到一些蛛絲馬跡，以下便為各位說明如何啟用防火牆日誌。
除了於控制台進行防火牆相關設定外，亦可以採用netsh advfirewall指令調整防火牆進階設定，此處的adv即是”advanced”之意。首先，我們來看一下當前profile的日誌設定，指令及執行結果如下圖編號1的圖示所示，根據”停用”可得知，無論是允許或丟棄的連線皆是關閉記錄的。
此外，從圖1的執行結果中亦可得知防火牆日誌的預設路徑及檔名，以及預設大小為4MB。值得留意的是，不論是路徑、檔名或是檔案大小的上限，都是可以變更的。
若我們想要記錄丟棄的連線情況，可執行如編號2的圖示所示的指令加以設定，再執行如編號3的圖示所示的指令進行查看，可看到LogDroppedConnections已由”停用”改為”啟用”。
假設本機上有啟用Syslog服務，且我要利用這服務來收攏其它設備的Syslog，同時本機防火牆要記錄特定來源ip，協議為UDP且目的地端口為514的允許連入記錄，由於資料量可能會有點大，因此我先調整防火牆日誌檔案大小，把檔案上限改為32MB，指令如編號4的圖示所示。
接著便可以於防火牆新增一條輸入規則”IACS-Syslog”，為了利於檢視及編輯，我以批次檔的型式呈現，每行script末尾的”^”字元是接續字元之意，完整script如編號5的圖示所示。
批次檔的執行結果如編號6的圖示所示，已依要求成功建立一條輸入規則，但為了再次確認，可執行如編號7的圖示所示指令，執行結果證明名為”IACS-Syslog”的規則確已建立並啟用。
至此，只要再啟用允許連線的記錄即可，指令如編號8的圖示所示，如此一來，當來源ip為192.168.1.254的設備開始將Syslog上傳過來，本機的防火牆便會依規則放行，且於防火牆日誌加以記錄。
而面對內容龐雜的防火牆日誌檔要如何有效分析呢？此時便可將先前為各位說明過的Log parser派上用場，將關注的特定連線情況加以過濾篩選，如編號9的圖示所示。
至於圖9下方，黃色框住部份的表格又是什麼呢？它就是前述提及的本機Syslog服務的GUI介面，從中確可觀察到來源ip為192.168.1.254的設備，持續發送使用者登入失敗的告警訊息，此與本機防火牆輸入規則”IACS-Syslog”的日誌記錄相符。
此外，進一步可將防火牆日誌檔在異機留存一定周期的備份，或是啟用Windows的進階防火牆稽核，便可將記錄整合至事件檢視器日誌之中。

01/07/2026

在探討網路安全時，偵察(Reconnaissance)階段之中若是透過搜尋引擎、LinkedIn等OSINT(開放來源情報)相關途徑，由於不會直接與目標單位/個人的設備或網路進行互動，因此屬於被動偵察。

進一步可採用列舉(Enumeration,簡寫Enum)的手法進行主動偵察，以獲取最精準的目標資訊。而電子郵件在社交工程攻擊中往往最為常見，例如BEC(Business E-mail Compromise) ，即是一種精心策劃的社交工程詐騙，以下便以SMTP服務的列舉進行說明。

首先，鎖定目標單位的郵件伺服器，以nmap掃瞄其25及110端口，指令及參數如下圖編號1的圖示所示，可辨識服務及取得版本資訊外，並執行預設的NSE腳本。執行結果如編號2的圖示所示。

接著，以netcat與目標主機的SMTP服務建立TCP連線，指令如編號3的圖示所示，之後便可用SMTP協議所提供的指令與SMTP服務進行互動，在問答之間套出欲蒐集的資訊。指令EHLO的用途是向SMTP server打招呼，同時取得它支援的ESMTP擴充功能。執行結果如編號4的圖示所示，可得知有支援SMTP認證及TLS加密等資訊。

重頭戲便是SMTP列舉，smtp-user-enum指令及參數如編號5的圖示所示，採用RCPT模式，搭配事先準備好的帳號字典acct.txt，便可利用SMTP服務的回應，判斷收件者是否存在於目標郵件系統之中，指令所使用的參數說明如下：
-M [method]
-U [username wordlist]
-D [domain name]
-t [FQDN / IP]

列舉結果順利取得有效的電子郵件帳號，如編號6的圖示所示，進一步可在列舉同時把所查得的結果進行字串處理，以將有效電子郵件帳號加以存檔，如編號7的圖示所示。

檢視列舉結果，如編號8的圖示所示，根據所獲取的有效e-mail address之中，@前面的呈現方式，往往可觀察到該單位的命名pattern。此外，列舉所得到的清單不僅可於後續用來對目標郵件系統進行爆破，亦可將其納入帳號字典之中，對其它不同網域的郵件系統進行列舉。

26/06/2026

先前曾為各位說明過在不拆硬碟或是對象為虛擬機之情況下，如何採用Paladin Toolbox對證物主機產生證物映像檔，而像Paladin這類的工具，不僅具有PE(Pre-Installation Environment)的特性，且較一般PE更為專業嚴謹，因此即為所謂的FE(Forensic Environment)。

對鑑識人員來說，FE便是可用來對證物電腦進行開機的精簡Linux，當中包含可製作證物映像檔的專業工具。但前不久有學員反應，採用Paladin所產生出的證物映像檔，在掛載時竟莫名出現錯誤訊息，如下圖編號1的圖示所示，這會是何種問題所致呢？

正好藉此機會把採用FE製作證物映像檔的重點再次加以說明，當鑑識人員於Disk Manager介面確認可辨識到目的地磁碟分區後，如編號2的圖示所示，須點擊如編號3圖示所示的[Mount-RW] ，以確保掛載模式為可寫入，如編號4的圖示所示的”Read-Write”。而於證物映像檔產生過程中，鑑識人員可來到Linux上的檔案總管[File Manager] ，即時觀察證物映像檔的產生情況，如編號5的圖示所示。

再把焦點放回圖1的情況，經詳加了解，該學員當初確有看到證物映像檔陸續產生，但當他離開一陣子再回來時，螢幕畫面只有Linux的桌面，而Paladin已關閉結束。這部份確實有點反常，正常情況下當完成證物映像檔製作時，Paladin並不會莫名自動關閉。

所幸，Paladin的日誌給出了答案，證物映像檔在產生至97%後就中斷記錄了，這種情況往往是目的地分區空間不足所致，經確保目的地分區的空間足夠充裕後，可順利完成證物像檔製作無虞。

無論採用何種工具進行證物映像檔製作，鑑識人員務必於完成後詳加檢視日誌內容，包括來源及目的地之磁碟資訊、起迄時間等資訊，除了留意有無任何錯誤訊息外，尤其末尾的證物映像檔雜湊值(Hash)更是重中之重，如編號6的圖示所示，它可是驗證完整性的依據。即便當初在執行Paladin時沒有勾選Verify選項，也可執行FTK Imager等工具驗證證物映像檔的完整性。

22/06/2026

前不久曾為各位說明如何有效處理bitlocker加密映像檔以產生解密的raw image，詳如以下連結所示：
https://iforensicsblog.blogspot.com/2026/06/bitlockerraw-image.html

除了dislocker外，還有一個能有效解析bitlocker的工具bdeinfo，它的全名是(BitLocker Drive Encryption Information)，當直接執行bdeinfo指令不帶任參數時，會得到未指定的錯誤訊息，如下圖編號1的圖示所示。同時，bdeinfo還會貼心地提示相關參數及說明，如編號2的圖示所示。

接著便以bdeinfo指令加上參數-v，對名為bitlocker-clearkey.dd的加密映像檔進行解析，完整指令如編號3的圖示所示，解析結果可得知其key protector的型態為”Clear key”，如編號4的圖示所示。

此時，鑑識人員僅需執行bdemount指令即可將該映像檔直接解密，並產出解密結果於我所設定的掛載點之下，完整指令如編號5的圖示所示。那麼在該掛載點下會出現什麼東西呢?若你對上述連結中的那篇文章已有所了解，應該可以猜出來，答案就是已解密的虛擬磁碟檔案，其檔名為bde1，如編號6的圖示所示。

那麼要如何才能查看bde1的內容究竟包含哪些檔案及資料夾呢？只需執行如編號7的圖示所示的掛載指令，相關參數說明如下：
loop – 把檔案模擬成一個block device
ro – 唯讀

之所以可以用loop裝置將檔案視為block device加以掛載，那是由於bde1這虛擬磁碟檔案，本就是自bitlocker加密的磁碟/分區映像檔所解密得出所致。掛載後可順利掌握映像檔中的檔案及資料夾，當前路徑為使用者Wanda的家目錄，如編號8的圖示所示。

16/06/2026

面對新一代AI數位金融支付新浪潮，您的企業做好準備了嗎？🌊
_
區塊科技誠摯邀請您，一同了解「AI Agent 加密貨幣數位支付收銀系統」！如何在兼顧安全及合規的前提下，讓AI代理人可以幫企業完成任務並解決金流支付及收款問題。
這是一場不可錯過的實戰盛會，助您立即強化 Web3 支付產業應變能力並開展創新應用。
_
🔥 研討會重磅亮點，揭密未來數位金融：
＊執法權威親授！ 羅韋淵 主任檢察官將親自解析 Web3 犯罪金流的調查挑戰與實務案例。
＊合規核心！ 台灣虛擬資產反洗錢協會理事長 簡書永 深度探討 AI Agent 支付方式的反洗錢合規議題。
＊Web3交易加密安全-Thales展示新世代加密技術 Thales Luna HSM，實現可信賴的 Web3 交易安全。
＊硬體級防駭應用！Intel獨家揭密 Intel CPU TEE 安全硬核技術，落實硬體級 Web3 金融防駭應用。
＊區塊科技 2.0 重磅發表！ 領先業界的「M-key 加密貨幣支付收銀系統」將成為 [Google A2A + X402] 等 AI Agent 支付協議生態系的重要支柱。同時全面公開「AI Web3 金融 API 服務」，助您接軌虛擬資產加值應用新浪潮。
👉 歡迎金融機構、Web3 創新企業、支付應用產業、電商平台及資安技術專家參加，為您帶來最具前瞻性的產業洞察與實戰方案。
_
🗓 活動資訊
＊主題： 防護數位金融新賽局：AI Agent 加密貨幣數位支付收銀系統
＊日期： 2026年7月9日（星期四）
＊時間： 13:00~16:20（13:00~13:30報到）
＊地點： 台北士林萬麗酒店（台北市士林區中山北路五段470巷8號）(捷運士林站)
＊福利： 會議期間免費停車
＊主辦單位：區塊科技
＊協辦單位：Thales
_
🔒 名額有限，立即報名鎖定席次！
本研討會採邀請制。若貴賓未收到邀請，可線上填寫報名表單，我們會核對，並補寄邀請函，以確定您報名成功。
➡️點此報名： https://forms.gle/6L2Vp3TgJvdpiNe86
_
#加密貨幣 #反洗錢合規 #區塊科技

11/06/2026

先前曾為各位說明過Parity map與磁碟陣列重組的特性及作法，如以下連結所示：
https://iforensicsblog.blogspot.com/2026/05/parity-map.html

有人問及還有哪些工具也能用於RAID重組呢？以下排列順序不代表排名先後，僅是列出幾種供參考：
 RAID Reconstructor
 XWF
 R-Studio
 ReclaiMe
 UFS Explorer RAID Recovery
 DMDE

當中有些工具雖未能如R-Studio那般，提供視覺化的Parity map以便於辨識，但在RAID重組方面仍有不錯的表現，以下以UFS Explorer RAID Recovery進行說明，首先是開啟各個映像檔，如下圖編號1的圖示所示。

接著便是逐一將映像檔納入以成為RAID的component之一，如編號2~編號3的圖示所示。值得留意的是，在Parity distribution的下拉選單部份看到了Left-Symmetric，其後面又緊跟著(backward dynamic)的字眼，如編號4的圖示所示，這又是什麼意思呢？

這部份乃是由於不同工具的表示法有異，因此UFS Explorer RAID Recovery有再加註以利識別，意即Left便相當於Backward，Right相當於Forward，此亦能由先前分享的文中，我所繪製的Parity map示意圖而推敲出來，不論是Left / Backward或Right / Forward皆是在表達校驗碼於磁碟及Stripe間的走向。

根據分析結果中可得知這個RAID的檔案系統為Ext 2/3/4，為Linux預設採用的檔案系統，如編號5的圖示所示。至於重組結果則如編號6的圖示所示，可以看到檔案結構包括資料夾及檔案內容。

此外，若RAID是部署在Windows平台也能順利組回來，其所採用的檔案系統為NTFS，如編號7的圖示所示。

總的來說，有的工具自動辨識RAID組態的能力較佳，有的則是需要人工設定組態的成份居多，因此鑑識人員有必要掌握包括RAID種類、stripe size及disk order等重要資訊。至於究竟哪個工具的RAID重組表現最好，畢竟沒有任何一個工具敢說它重組RAID具有百分百的成功率，因此這部份也難有定論，建議可以在評估及試用過後再做決定。

04/06/2026

有單位問及某些鑑識軟體在分析證物映像檔時，除了判斷出特定分區是以bitlocker加密，及所採用的protector型態為clear key之外，還能順利加以process並得出其內的檔案，這是如何辦到的呢?以下便為各位說明。
首先，我們來看一份採用clear key的bitlocker加密映像檔，當中確有一個分區疑似有加密保護，致使其內的檔案結構無法辨識。根據其分區header存在著經典特徵值”-FVE-FS-“，可得知其便是bitlocker加密，當中的FVE就是Full Volume Encryption之意，如下圖編號1的圖示所示。
由於最終目標是要將該bitlocker分區解密，並產出一份已解密的raw image到外接式磁碟，因此我先確認好外接式磁碟已掛載成功且模式為rw可寫入，如編號2的圖示所示。
以工具如FTK Imager對該加密分區產生名為bitlocker-clearkey.dd的映像檔後，此時不論是以hexdump指令或是以dislocker工具加以查看，皆可觀察到特徵值”-FVE-FS-“無誤，分別如編號3及編號4的圖示所示。
也許有人會感到好奇，這個名為dislocker的工具是做什麼用的呢？它便是Linux上用來解密、掛載和存取bitlocker加密分區或映像檔的超級利器。接下來便是重頭戲上場，我使用dislocker對bitlocker映像檔加以解密，並將解密後的虛擬NTFS裝置輸出到指定路徑之下，完整指令如編號5的圖示所示，為了讓大家看明白指令在做些什麼，將指令及參數拆解如下：
-V : 指定volume之意,後方接bitlocker分區或映像檔
-- : 這是兩個連字號,以表達參數到此為止之意,後面若再接任何字串都不再視為參數
指令最後方的~/decrypted是我所指定的輸出路徑，執行完畢會在家目錄下的decrypted資料夾中產生名為dislocker-file的檔案，如編號6的圖示所示。但它並非普通檔案，而是透過FUSE(Filesystem in Userspace)提供的"虛擬解密磁碟介面"。
特別的是dislocker-file這檔案，看似跟bitlocker映像檔差不多大小，但實際上並未佔用儲存空間，這便是dislocker對於空間利用的貼心考量，避免了直接產出龐大解密映像檔的困擾，直至鑑識人員將其另行複製到目的地磁碟，方可得到已解密的raw image。
那麼要如何驗證名為dislocker-file的映像檔，確實是已解密成功的raw image呢？鑑識人員只需要將其掛載，便可得知該分區的檔案系統為NTFS，其檔案系統結構展開如編號7的圖示所示。此外，檢視檔案內容亦不在話下，其中一個名為passwords.txt的檔案內容如編號8的圖示所示。

值得留意的是，dislocker可不是僅能對付clear key的bitlocker，若得知密碼、修復金鑰或取得.bek檔，亦可採用dislocker進行處理。