Image Forensic case - .:: HVAOnline ::.

Rules

Main Forum

Portal

Member Listing

Statistics

Search

Reading Room
[Register]

Login [ | https ]

Forum Index

Thảo luận bảo mật

Image Forensic case

[Discussion] Image Forensic case	11/01/2011 09:47:32 (+0700) \| #1 \| 229191

WinDak
Researcher

Joined: 27/01/2002 11:15:00
Messages: 223
Offline

Mình có 2 cái pictures, đang muốn kiểm chứng nếu 2 cái pic này có từ một cái computer hoặc người tạo ra có liên hệ gì với nhau hay không. Sử dụng exiftool thì ra những thông tin ở dưới

Lệnh sử dụng là : exiftool -a -H

Dễ thấy cả 2 đều được edit bằng photoshop CS5 cùng build date và save với JPG max quality (không phải default)
Ngoài ra chỉ thấy 1 điểm đáng ngờ là Document Ancestor giống nhau, nhưng mình không chắc có thể kết luận được gì hay không ?

Theo Adobe:

Document Ancestors: If the source document for a copy-and-paste or place operation has a document ID, that ID is added to this list in the destination document's XMP.

Có ai đã có kinh nghiệm và hiểu biết về photoshop thì xin giúp 1 tay smilie

.

wd.

file 1 jpg
Code:

- ExifTool Version Number         : 7.89
     - File Name                       : 1.jpg
     - Directory                       : .
     - File Size                       : 865 kB
     - File Modification Date/Time     : 2011:01:11 09:56:09+08:00
     - File Type                       : JPEG
     - MIME Type                       : image/jpeg
     - Exif Byte Order                 : Big-endian (Motorola, MM)
0x0112 Orientation                     : Horizontal (normal)
0x011a X Resolution                    : 72
0x011b Y Resolution                    : 72
0x0128 Resolution Unit                 : inches
0x0131 Software                        : Adobe Photoshop CS5 Windows
0x0132 Modify Date                     : 2011:01:05 21:53:16
0xa001 Color Space                     : sRGB
0xa002 Exif Image Width                : 1920
0xa003 Exif Image Height               : 1080
0x0103 Compression                     : JPEG (old-style)
0x011a X Resolution                    : 72
0x011b Y Resolution                    : 72
0x0128 Resolution Unit                 : inches
0x0201 Thumbnail Offset                : 314
0x0202 Thumbnail Length                : 4045
     - Current IPTC Digest             : 48c0eccd3393aa062cb33dc6a0892a24
0x005a Coded Character Set             : UTF8
0x005a Coded Character Set             : UTF8
0x005a Coded Character Set             : UTF8
0x005a Coded Character Set             : UTF8
0x0000 Application Record Version      : 5248
0x0425 IPTC Digest                     : 48c0eccd3393aa062cb33dc6a0892a24
0x0000 X Resolution                    : 72
0x0002 Displayed Units X               : inches
0x0004 Y Resolution                    : 72
0x0006 Displayed Units Y               : inches
0x040d Global Angle                    : 120
0x0419 Global Altitude                 : 30
0x040c Photoshop Thumbnail             : (Binary data 4045 bytes, use -b option to extract)
0x0000 Photoshop Quality               : 12
0x0001 Photoshop Format                : Optimised
0x0002 Progressive Scans               : 3 Scans
     - XMP Toolkit                     : Adobe XMP Core 5.0-c060 61.134777, 2010/02/12-17:32:00
     - Creator Tool                    : Adobe Photoshop CS5 Windows
     - Create Date                     : 2010:12:15 05:23:07+08:00
     - Metadata Date                   : 2011:01:05 21:53:16+08:00
     - Modify Date                     : 2011:01:05 21:53:16+08:00
     - Format                          : image/jpeg
     - Instance ID                     : xmp.iid:3DE62A25D318E011B0978CE4AED2FD83
     - Document ID                     : xmp.did:A4E76358C807E011AAC8DDFA3BDC34DB
     - Original Document ID            : xmp.did:A4E76358C807E011AAC8DDFA3BDC34DB
     - Color Mode                      : 3
     - ICC Profile Name                : sRGB IEC61966-2.1
     - History Action                  : created, saved, saved, saved, saved, saved, saved, saved, saved, saved, saved, saved, saved, saved, saved, saved, saved, saved, saved, saved, converted, derived, saved
     - History Instance ID             : xmp.iid:A4E76358C807E011AAC8DDFA3BDC34DB, xmp.iid:E0395298C807E011BA5EEC7138773A3D, xmp.iid:E1395298C807E011BA5EEC7138773A3D, xmp.iid:E2395298C807E011BA5EEC7138773A3D, xmp.iid:E4395298C807E011BA5EEC7138773A3D, xmp.iid:E5395298C807E011BA5EEC7138773A3D, xmp.iid:E6395298C807E011BA5EEC7138773A3D, xmp.iid:E8395298C807E011BA5EEC7138773A3D, xmp.iid:E9395298C807E011BA5EEC7138773A3D, xmp.iid:99BC5CC1D007E011BA5EEC7138773A3D, xmp.iid:9ABC5CC1D007E011BA5EEC7138773A3D, xmp.iid:9BBC5CC1D007E011BA5EEC7138773A3D, xmp.iid:148EBDCF1118E011ADA3AE7E8AFCD8E1, xmp.iid:158EBDCF1118E011ADA3AE7E8AFCD8E1, xmp.iid:168EBDCF1118E011ADA3AE7E8AFCD8E1, xmp.iid:178EBDCF1118E011ADA3AE7E8AFCD8E1, xmp.iid:188EBDCF1118E011ADA3AE7E8AFCD8E1, xmp.iid:198EBDCF1118E011ADA3AE7E8AFCD8E1, xmp.iid:FE68A35E1B18E011ACD2BC25B9520213, xmp.iid:3CE62A25D318E011B0978CE4AED2FD83, xmp.iid:3DE62A25D318E011B0978CE4AED2FD83
     - History When                    : 2010:12:15 05:23:07+08:00, 2010:12:15 05:24:55+08:00, 2010:12:15 05:24:55+08:00, 2010:12:15 05:31:09+08:00, 2010:12:15 05:37:54+08:00, 2010:12:15 05:38:17+08:00, 2010:12:15 05:38:17+08:00, 2010:12:15 05:45:37+08:00, 2010:12:15 06:02:20+08:00, 2010:12:15 06:23:19+08:00, 2010:12:15 06:49:03+08:00, 2010:12:15 06:49:22+08:00, 2011:01:04 22:52:34+08:00, 2011:01:04 22:53:46+08:00, 2011:01:04 23:06:21+08:00, 2011:01:04 23:21:10+08:00, 2011:01:04 23:23:10+08:00, 2011:01:04 23:30:20+08:00, 2011:01:04 23:57:45+08:00, 2011:01:05 21:53:16+08:00, 2011:01:05 21:53:16+08:00
     - History Software Agent          : Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows
     - History Changed                 : /, /, /, /, /, /, /, /, /, /, /, /, /, /, /, /, /, /, /, /
     - History Parameters              : from application/vnd.adobe.photoshop to image/jpeg, converted from application/vnd.adobe.photoshop to image/jpeg
     - Derived From Instance ID        : xmp.iid:3CE62A25D318E011B0978CE4AED2FD83
     - Derived From Document ID        : xmp.did:A4E76358C807E011AAC8DDFA3BDC34DB
     - Derived From Original Document ID: xmp.did:A4E76358C807E011AAC8DDFA3BDC34DB
     - Document Ancestors              : xmp.did:A4E76358C807E011AAC8DDFA3BDC34DB, xmp.did:BA065711C201E0119AACC454F83627E4
0x0004 Profile CMM Type                : Lino
0x0008 Profile Version                 : 2.1.0
0x000c Profile Class                   : Display Device Profile
0x0010 Color Space Data                : RGB
0x0014 Profile Connection Space        : XYZ
0x0018 Profile Date Time               : 1998:02:09 06:49:00
0x0024 Profile File Signature          : acsp
0x0028 Primary Platform                : Microsoft Corporation
0x002c CMM Flags                       : Not Embedded, Independent
0x0030 Device Manufacturer             : IEC
0x0034 Device Model                    : sRGB
0x0038 Device Attributes               : Reflective, Glossy, Positive, Color
0x0040 Rendering Intent                : Media-Relative Colorimetric
0x0044 Connection Space Illuminant     : 0.9642 1 0.82491
0x0050 Profile Creator                 : HP
0x0054 Profile ID                      : 0
     - Profile Copyright               : Copyright (c) 1998 Hewlett-Packard Company
     - Profile Description             : sRGB IEC61966-2.1
     - Media White Point               : 0.95045 1 1.08905
     - Media Black Point               : 0 0 0
     - Red Matrix Column               : 0.43607 0.22249 0.01392
     - Green Matrix Column             : 0.38515 0.71687 0.09708
     - Blue Matrix Column              : 0.14307 0.06061 0.7141
     - Device Mfg Desc                 : IEC http://www.iec.ch
     - Device Model Desc               : IEC 61966-2.1 Default RGB colour space - sRGB
     - Viewing Cond Desc               : Reference Viewing Condition in IEC61966-2.1
0x0008 Viewing Cond Illuminant         : 19.6445 20.3718 16.8089
0x0014 Viewing Cond Surround           : 3.92889 4.07439 3.36179
0x0020 Viewing Cond Illuminant Type    : D50
     - Luminance                       : 76.03647 80 87.12462
0x0008 Measurement Observer            : CIE 1931
0x000c Measurement Backing             : 0 0 0
0x0018 Measurement Geometry            : Unknown (0)
0x001c Measurement Flare               : 0.999%
0x0020 Measurement Illuminant          : D65
     - Technology                      : Cathode Ray Tube Display
     - Red Tone Reproduction Curve     : (Binary data 2060 bytes, use -b option to extract)
     - Green Tone Reproduction Curve   : (Binary data 2060 bytes, use -b option to extract)
     - Blue Tone Reproduction Curve    : (Binary data 2060 bytes, use -b option to extract)
0x0000 DCT Encode Version              : 100
0x0001 APP14 Flags 0                   : [14]
0x0002 APP14 Flags 1                   : (none)
0x0003 Color Transform                 : YCbCr
     - Image Width                     : 1920
     - Image Height                    : 1080
     - Encoding Process                : Baseline DCT, Huffman coding
     - Bits Per Sample                 : 8
     - Color Components                : 3
     - Y Cb Cr Sub Sampling            : YCbCr4:4:4 (1 1)
     - Image Size                      : 1920x1080
     - Thumbnail Image                 : (Binary data 4045 bytes, use -b option to extract)

File 2 jpg
Code:

- ExifTool Version Number         : 7.89
     - File Name                       : 2.jpg
     - Directory                       : .
     - File Size                       : 554 kB
     - File Modification Date/Time     : 2011:01:11 09:56:17+08:00
     - File Type                       : JPEG
     - MIME Type                       : image/jpeg
     - Exif Byte Order                 : Big-endian (Motorola, MM)
0x0112 Orientation                     : Horizontal (normal)
0x011a X Resolution                    : 72
0x011b Y Resolution                    : 72
0x0128 Resolution Unit                 : inches
0x0131 Software                        : Adobe Photoshop CS5 Windows
0x0132 Modify Date                     : 2011:01:02 23:51:08
0xa001 Color Space                     : sRGB
0xa002 Exif Image Width                : 1920
0xa003 Exif Image Height               : 1080
0x0103 Compression                     : JPEG (old-style)
0x011a X Resolution                    : 72
0x011b Y Resolution                    : 72
0x0128 Resolution Unit                 : inches
0x0201 Thumbnail Offset                : 314
0x0202 Thumbnail Length                : 2997
0x0425 IPTC Digest                     : 00000000000000000000000000000000
0x0000 X Resolution                    : 72
0x0002 Displayed Units X               : inches
0x0004 Y Resolution                    : 72
0x0006 Displayed Units Y               : inches
0x040d Global Angle                    : 120
0x0419 Global Altitude                 : 30
0x040c Photoshop Thumbnail             : (Binary data 2997 bytes, use -b option to extract)
0x0000 Photoshop Quality               : 12
0x0001 Photoshop Format                : Optimised
0x0002 Progressive Scans               : 3 Scans
     - XMP Toolkit                     : Adobe XMP Core 5.0-c060 61.134777, 2010/02/12-17:32:00
     - Creator Tool                    : Adobe Photoshop CS5 Windows
     - Create Date                     : 2011:01:02 23:36:39+08:00
     - Metadata Date                   : 2011:01:02 23:51:08+08:00
     - Modify Date                     : 2011:01:02 23:51:08+08:00
     - Format                          : image/jpeg
     - Instance ID                     : xmp.iid:B8743F178616E0118484E704BB19A78B
     - Document ID                     : xmp.did:B5743F178616E0118484E704BB19A78B
     - Original Document ID            : xmp.did:B5743F178616E0118484E704BB19A78B
     - Color Mode                      : 3
     - ICC Profile Name                : sRGB IEC61966-2.1
     - History Action                  : created, saved, saved, converted, derived, saved
     - History Instance ID             : xmp.iid:B5743F178616E0118484E704BB19A78B, xmp.iid:B6743F178616E0118484E704BB19A78B, xmp.iid:B7743F178616E0118484E704BB19A78B, xmp.iid:B8743F178616E0118484E704BB19A78B
     - History When                    : 2011:01:02 23:36:39+08:00, 2011:01:02 23:44:38+08:00, 2011:01:02 23:51:08+08:00, 2011:01:02 23:51:08+08:00
     - History Software Agent          : Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows, Adobe Photoshop CS5 Windows
     - History Changed                 : /, /, /
     - History Parameters              : from application/vnd.adobe.photoshop to image/jpeg, converted from application/vnd.adobe.photoshop to image/jpeg
     - Derived From Instance ID        : xmp.iid:B7743F178616E0118484E704BB19A78B
     - Derived From Document ID        : xmp.did:B5743F178616E0118484E704BB19A78B
     - Derived From Original Document ID: xmp.did:B5743F178616E0118484E704BB19A78B
     - Document Ancestors              : xmp.did:A4E76358C807E011AAC8DDFA3BDC34DB, xmp.did:BA065711C201E0119AACC454F83627E4
0x0004 Profile CMM Type                : Lino
0x0008 Profile Version                 : 2.1.0
0x000c Profile Class                   : Display Device Profile
0x0010 Color Space Data                : RGB
0x0014 Profile Connection Space        : XYZ
0x0018 Profile Date Time               : 1998:02:09 06:49:00
0x0024 Profile File Signature          : acsp
0x0028 Primary Platform                : Microsoft Corporation
0x002c CMM Flags                       : Not Embedded, Independent
0x0030 Device Manufacturer             : IEC
0x0034 Device Model                    : sRGB
0x0038 Device Attributes               : Reflective, Glossy, Positive, Color
0x0040 Rendering Intent                : Media-Relative Colorimetric
0x0044 Connection Space Illuminant     : 0.9642 1 0.82491
0x0050 Profile Creator                 : HP
0x0054 Profile ID                      : 0
     - Profile Copyright               : Copyright (c) 1998 Hewlett-Packard Company
     - Profile Description             : sRGB IEC61966-2.1
     - Media White Point               : 0.95045 1 1.08905
     - Media Black Point               : 0 0 0
     - Red Matrix Column               : 0.43607 0.22249 0.01392
     - Green Matrix Column             : 0.38515 0.71687 0.09708
     - Blue Matrix Column              : 0.14307 0.06061 0.7141
     - Device Mfg Desc                 : IEC http://www.iec.ch
     - Device Model Desc               : IEC 61966-2.1 Default RGB colour space - sRGB
     - Viewing Cond Desc               : Reference Viewing Condition in IEC61966-2.1
0x0008 Viewing Cond Illuminant         : 19.6445 20.3718 16.8089
0x0014 Viewing Cond Surround           : 3.92889 4.07439 3.36179
0x0020 Viewing Cond Illuminant Type    : D50
     - Luminance                       : 76.03647 80 87.12462
0x0008 Measurement Observer            : CIE 1931
0x000c Measurement Backing             : 0 0 0
0x0018 Measurement Geometry            : Unknown (0)
0x001c Measurement Flare               : 0.999%
0x0020 Measurement Illuminant          : D65
     - Technology                      : Cathode Ray Tube Display
     - Red Tone Reproduction Curve     : (Binary data 2060 bytes, use -b option to extract)
     - Green Tone Reproduction Curve   : (Binary data 2060 bytes, use -b option to extract)
     - Blue Tone Reproduction Curve    : (Binary data 2060 bytes, use -b option to extract)
0x0000 DCT Encode Version              : 100
0x0001 APP14 Flags 0                   : [14]
0x0002 APP14 Flags 1                   : (none)
0x0003 Color Transform                 : YCbCr
     - Image Width                     : 1920
     - Image Height                    : 1080
     - Encoding Process                : Baseline DCT, Huffman coding
     - Bits Per Sample                 : 8
     - Color Components                : 3
     - Y Cb Cr Sub Sampling            : YCbCr4:4:4 (1 1)
     - Image Size                      : 1920x1080
     - Thumbnail Image                 : (Binary data 2997 bytes, use -b option to extract)

-- w~ --

[Discussion] Image Forensic case	11/01/2011 12:05:21 (+0700) \| #2 \| 229201

StarGhost
Elite Member

Joined: 29/03/2005 20:34:22
Messages: 662
Location: The Queen
Offline

Mấy cái trong document ancestors là lấy từ Document ID mà ra, thế nên nếu giống nhau thì tức là 2 ảnh này xuất phát từ cùng một bức ảnh. Tuy nhiên điều này không có nghĩa là 2 ảnh này được sửa trên cùng một máy. Dù vậy, 2 ảnh này cùng sử dụng sRGB, và không phải là mặc định Adobe RGB của CS5, thế nên nhiều khả năng là sửa bởi cùng một người.

Mind your thought.

[Discussion] Image Forensic case	11/01/2011 12:54:43 (+0700) \| #3 \| 229208

WinDak
Researcher

Joined: 27/01/2002 11:15:00
Messages: 223
Offline

StarGhost wrote:

Mấy cái trong document ancestors là lấy từ Document ID mà ra, thế nên nếu giống nhau thì tức là 2 ảnh này xuất phát từ cùng một bức ảnh. Tuy nhiên điều này không có nghĩa là 2 ảnh này được sửa trên cùng một máy. Dù vậy, 2 ảnh này cùng sử dụng sRGB, và không phải là mặc định Adobe RGB của CS5, thế nên nhiều khả năng là sửa bởi cùng một người.

Đồng ý với nhận xét của bác, có một số thông tin không mặc định có vẻ giống nhau.
Có điều có 1 field như thế này :

File 1:
Code:

IPTC Digest                     : 48c0eccd3393aa062cb33dc6a0892a24

Trong khi file thứ 2:
Code:

IPTC Digest                     : 00000000000000000000000000000000

Xem document của nó thì:

MD5 digest of existing IPTC data. All zeros if IPTC exists but Digest::MD5 is not installed. Only calculated for IPTC in the standard location as specified by the MWG

Như vậy có thể confirm là 2 bức ảnh này được sửa từ 2 máy khác nhau nhưng cùng 1 nguồn được không nhỉ ?

-- w~ --

[Discussion] Image Forensic case	11/01/2011 19:12:57 (+0700) \| #4 \| 229243

StarGhost
Elite Member

Joined: 29/03/2005 20:34:22
Messages: 662
Location: The Queen
Offline

@WinDak: IPTC digest không phải là thông tin ở trong file, mà nó được tính toán bởi exiftool và show ra cho bạn. Trong trường hợp này có nghĩa là bạn đã chạy exiftool để xem thông tin về 2 file ảnh đó trên 2 máy khác nhau, và một trong 2 máy đó không có Digest::MD5 module trong Perl, vì vậy nó cho ra toàn zeros. Còn nếu như IPTC không theo standard location thì nó sẽ thông báo "Ignored non-standard IPTC at $path". Chi tiết xem trong [ExtractPath]/Image-ExifTool-8.43/lib/Image/ExifTool/IPTC.pm:1007-1032

Code:

if ($tagTablePtr eq \%Image::ExifTool::IPTC::Main) {
        # calculate MD5 if Digest::MD5 is available (for standard IPTC only)
        my $path = $exifTool->MetadataPath();
        if (IsStandardIPTC($path)) {
            my $md5;
            if (eval 'require Digest::MD5') {
                if ($pos or $dirLen != length($$dataPt)) {
                    $md5 = Digest::MD5::md5(substr $$dataPt, $pos, $dirLen);
                } else {
                    $md5 = Digest::MD5::md5($$dataPt);
                }
            } else {
                # a zero digest indicates IPTC exists but we don't have Digest::MD5
                $md5 = "\0" x 16;
            }
            $exifTool->FoundTag('CurrentIPTCDigest', $md5);
        } elsif ($Image::ExifTool::MWG::strict and $$exifTool{FILE_TYPE} =~ /^(JPEG|TIFF|PSD)$/) {
            # ignore non-standard IPTC while in strict MWG compatibility mode
            $exifTool->Warn("Ignored non-standard IPTC at $path");
            return 1;
        }
        # set family 1 group name if multiple IPTC directories
        my $dirCount = ($exifTool->{DIR_COUNT}->{IPTC} || 0) + 1;
        $exifTool->{DIR_COUNT}->{IPTC} = $dirCount;
        $exifTool->{SET_GROUP1} = '+' . $dirCount if $dirCount > 1;
}

Mind your thought.

[Discussion] Image Forensic case	12/01/2011 08:34:16 (+0700) \| #5 \| 229280

WinDak
Researcher

Joined: 27/01/2002 11:15:00
Messages: 223
Offline

StarGhost wrote:

@WinDak: IPTC digest không phải là thông tin ở trong file, mà nó được tính toán bởi exiftool và show ra cho bạn. Trong trường hợp này có nghĩa là bạn đã chạy exiftool để xem thông tin về 2 file ảnh đó trên 2 máy khác nhau, và một trong 2 máy đó không có Digest::MD5 module trong Perl, vì vậy nó cho ra toàn zeros. Còn nếu như IPTC không theo standard location thì nó sẽ thông báo "Ignored non-standard IPTC at $path". Chi tiết xem trong [ExtractPath]/Image-ExifTool-8.43/lib/Image/ExifTool/IPTC.pm:1007-1032

Thế thì lạ thật đấy, mình chạy exiftool trên cùng 1 máy chứ không phải 2 máy khác nhau

-- w~ --

[Discussion] Image Forensic case	13/01/2011 00:46:14 (+0700) \| #6 \| 229345

StarGhost
Elite Member

Joined: 29/03/2005 20:34:22
Messages: 662
Location: The Queen
Offline

À ừ mình nhầm. Cái đó là Current IPTC Digest, còn IPTC Digest thì đi kèm trong file. Như vậy có khả năng là 2 file ảnh đó được sửa ở 2 máy khác nhau. Tuy nhiên mình không nghĩ ra tại sao Photoshop lại set giá trị đó thành 0x0.

Mind your thought.

Go to:

Users currently in here
1 Anonymous