Autopsy® is a digital forensics platform and graphical interface to The Sleuth Kit® and other digital forensics tools. It is used by law enforcement, military, and corporate examiners to investigate what happened on a computer. You can even use it to recover photos from your camera's memory card.

האבסורד של ה-Cache

מקרה מעניין כשהמחשב מסרב לסלוח.

זה התחיל כעוד Join שגרתי לדומיין. פעולה שאני עושה בעיניים עצומות. אבל אז, המערכת החלה להטיח בי שגיאות חסרות קשר למציאות.

השתלשלות האירועים:

• מקליד יוזר וסיסמה -> מקבל: "חשבון מושבת". (החשבון תקין לחלוטין ב-AD).
• מנסה יוזר אחר, ידוע ותקין -> מקבל: "סיסמה שגויה". (הסיסמה נכונה בוודאות).

הדיאגנוזה:

צלילה להגדרות התחנה חשפה שתי תקלות קלאסיות: השעה לא הייתה מסונכרנת, והייתה טעות הקלדה בכתובת ה-DNS.

התעלומה:

תיקנתי את הזמן, סידרתי את ה-DNS, ווידאתי הרשאות. ניסיתי שוב. התוצאה? אותן שגיאות הזויות. המחשב התעקש שהחשבון מושבת והסיסמה שגויה. אפילו Restart לא עזר. כצעד נואש, הגדרתי יוזר חדש לגמרי ב-AD וניסיתי איתו, זה הצליח! מה השתבש כאן?

המסקנה:

המחשב פשוט "ננעל" על המידע הפגום מהניסיון הראשון לגבי היוזרים הקודמים. הוא המשיך להיכשל כי הוא הסתמך על זיכרון המטמון, במקום לגשת ל-DC עם הנתונים המתוקנים. רק היוזר החדש "עקף" את הזיכרון הזה.

המחשב "ננעל" על המידע הפגום מהניסיון הראשון. ברגע שה-DNS או הזמן היו שגויים, נוצר Kerberos Ticket פגום או רישום שגוי ב-Cache המקומי. המערכת המשיכה להשתמש ב-Ticket הזה במקום לבקש אחד חדש, בעוד שהיוזר החדש הצליח רק כי הוא קיבל Ticket נקי מה-DC.

ולפני הפעם הבאה:

• ✅ DNS של התחנה מצביע רק ל‑DC
• ✅ השעה והאזור זמן תואמים ל‑DC
• ✅ לוודא חיבור רשת תקין.

הפקודות לפתרון:

klist purge

A command-line tool that clears your local Kerberos ticket cache, forcing your system to request new authentication tickets from the domain controller, which is useful for fixing login problems, refreshing group memberships, or resolving authentication errors

ipconfig /flushdns

A Windows command that clears your computer's DNS client resolver cache, forcing it to fetch fresh DNS data from servers, which helps fix connectivity issues, outdated records, or access problems by removing old, potentially corrupt IP address mappings

nltest /dsgetdc:yourdomain.local

A command-line tool in Windows used to find and display details (like name, IP, site) of a Domain Controller (DC) for yourdomain.local, shows the DC that the machine uses for authentication, essential for troubleshooting AD issues or verifying network reachability

"לפעמים הבעיה היא לא במה שאתה עושה, אלא במה שהמחשב זוכר."

מעבר מהדגמים הישנים לחדשים