download pdf file from database in asp.net c# : Search pdf metadata software SDK project winforms windows azure UWP forensic-explorer-user-guide.en24-part1483

Ch a p t e r   2 0   –   D a t e   a n d   T i m e  
241 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
20.6
ADJUSTING DATE IN FORENSIC EXPLORER 
The default date and time settings applied by Forensic Explorer are those of the 
examiners computer.  
When examining NTFS or HFS+ file system, in order to view date and times zones 
according to the location of the subject computer, it is necessary to set date and time 
settings to that location (given that time settings were confirmed to be accurate at the 
time of acquisition).  
For example, your forensics lab and computer is located in Texas USA: 
Evidence1.E01 is from New York. Adjust the Time Zone to USA EST to show 
New York time; 
Evidence2.E01 comes from Los Angeles. Adjust the Time Zone to USA PST to 
show Los Angeles time. 
20.6.1
ADJUSTING THE DATE AND TIME WHEN ADDING EVIDENCE 
File date and times can be adjusted for each piece of evidence as it is added to a case. 
For information on adding evidence to a case, see section 10.4 - Adding evidence. 
The default Forensic Explorer setting is to process the image according to local time, 
that is, the time zone setting on the forensic analysis computer. If the device or 
forensic image originates from the same time zone as the forensic analysis computer, 
then usually no adjustment is required. 
If the device or forensic image is collected from a different time zone, change the time 
zone setting to the source location in order to display file date and times according to 
that location using the TimeZone drop down menu shown in Figure 187 below: 
Figure 187, Adjust time zone information when adding evidence 
Search pdf metadata - add, remove, update PDF metadata in C#.net, ASP.NET, MVC, Ajax, WinForms, WPF
Allow C# Developers to Read, Add, Edit, Update and Delete PDF Metadata
batch update pdf metadata; pdf metadata editor
Search pdf metadata - VB.NET PDF metadata library: add, remove, update PDF metadata in vb.net, ASP.NET, MVC, Ajax, WinForms, WPF
Enable VB.NET Users to Read, Write, Edit, Delete and Update PDF Document Metadata
batch pdf metadata editor; pdf metadata
242 | Page 
Ch a p t e r   2 0   –   D a t e   a n d   T i m e    
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
20.6.2
ADJUSTING EVIDENCE DATE AND TIME DURING A CASE 
Time zone settings in a case are displayed in the File System module, Folders view, 
next to the device or image. In Figure 188 below, the ͞NIST – 4Dell Latitude  Pi.E01͟ is 
currently set at ͞[Local Time]͟. 
Date and time settings can be adjusted whilst a case is in progress. Settings can be 
applied to a device as well as volumes on a device (for example if a drive has an NTFS 
and FAT partition, date and time adjustments can be made for each).  
To adjust date and time settings on a device; 
1.
In File System, Folders view, right click on the device or a partition and select 
͞Modify Time Setting…͟ from the drop down menu, which opens the Times 
Settings window, as shown below: 
Figure 188, Adjust time zone settings 
C# PDF Text Search Library: search text inside PDF file in C#.net
|. Home ›› XDoc.PDF ›› C# PDF: Search PDF Text. Support search PDF file with various search options, like whole word, ignore case, match string, etc.
pdf metadata editor online; endnote pdf metadata
VB.NET PDF Text Search Library: search text inside PDF file in vb.
XDoc.PDF ›› VB.NET PDF: Search PDF Text. VB.NET PDF - Search and Find PDF Text in VB.NET. Allow to search defined PDF file page or the whole document.
pdf metadata extract; read pdf metadata
Ch a p t e r   2 0   –   D a t e   a n d   T i m e  
243 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Figure 189, Time settings 
2.
Select the TimeZone relevant to the evidence. The Additional Bias field is 
used to make minor adjustments in seconds (for example when the system 
bios clock is not correctly synced with a known time source). 
3.
Click OK to save these settings. New time zone information will displayed 
next to the device, as shown in Figure 190 below: 
Figure 190, adjusted time zone information 
4.
Date and time information in the File System > File List will now be adjusted 
(Note: It may be necessary to refresh the File List display to show this 
adjustment). 
20.6.3
SYNCHRONIZING TIME ZONES 
In a case involving multiple computers from different geographic locations, it may be 
advantageous for the investigator to synchronize time zones.  
To synchronize time zones; 
1.
In the File System module, right click on the case icon; 
2.
Select modify time setting from the drop down menu, and apply the 
time to the case. 
A case time setting has precedence over evidence time settings. 
EXAMPLE 
A new case is created with two evidence files: 
VB.NET PDF- View PDF Online with VB.NET HTML5 PDF Viewer
edit, C#.NET PDF pages extract, copy, paste, C#.NET rotate PDF pages, C#.NET search text in PDF, C#.NET edit PDF bookmark, C#.NET edit PDF metadata, C#.NET
pdf metadata online; c# read pdf metadata
VB.NET PDF File Compress Library: Compress reduce PDF size in vb.
Embedded print settings. Embedded search index. Document and metadata. All object data. VB.NET Demo Code to Optimize An Exist PDF File in Visual C#.NET Project.
change pdf metadata; remove metadata from pdf
244 | Page 
Ch a p t e r   2 0   –   D a t e   a n d   T i m e    
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
Evidence1.E01 is from New York. The evidence time zone setting has been 
adjusted to USA EST to show New York time; 
Evidence2.E01 is from Los Angeles. The evidence Time Zone setting has been 
adjusted to USA PST to show Los Angeles time. 
The suspect in New York created a file at 11 AM and immediately sent it to the suspect 
in Los Angeles.  
With evidence time adjusted: 
The New York computer has a file creation time of 11AM. 
The Los Angeles computer has a file creation time of 8AM (three hours 
earlier). 
A Case time setting of New York is then applied to the entire case: 
The New York computer has a file creation time of 11AM. 
The Los Angeles computer has a file creation time of 11AM.  
VB.NET PDF - View PDF with WPF PDF Viewer for VB.NET
edit, C#.NET PDF pages extract, copy, paste, C#.NET rotate PDF pages, C#.NET search text in PDF, C#.NET edit PDF bookmark, C#.NET edit PDF metadata, C#.NET
pdf keywords metadata; pdf xmp metadata
C# WPF PDF Viewer SDK to view PDF document in C#.NET
edit, C#.NET PDF pages extract, copy, paste, C#.NET rotate PDF pages, C#.NET search text in PDF, C#.NET edit PDF bookmark, C#.NET edit PDF metadata, C#.NET
edit pdf metadata online; pdf remove metadata
Ch a p t e r   2 1   -   H a s h   S e t s 
245 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Chapter 21 - Hash Sets 
In This Chapter 
CHAPTER 21
- HASHING 
21.1
Hash Values ..................................................................................................................................... 246
21.2
Hash Algorithms .............................................................................................................................. 246
21.3
Acquisition Hash .............................................................................................................................. 246
21.4
Verification Hash ............................................................................................................................. 247
21.5
Hashing files in a case ...................................................................................................................... 248
C# PDF delete text Library: delete, remove text from PDF file in
Description: Delete specified string text that match the search option from PDF file. Parameters: Name, Description, Valid Value. matchString,
preview edit pdf metadata; edit pdf metadata acrobat
C# PDF File Compress Library: Compress reduce PDF size in C#.net
Embedded print settings. Embedded search index. Bookmarks. Document and metadata. All object data. Flatten visible layers. C#.NET DLLs: Compress PDF Document.
pdf metadata reader; bulk edit pdf metadata
246 | Page 
Ch a p t e r   2 1   -   H a s h   S e t s    
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
21.1
HASH VALUES 
A hash value is the numeric result of a mathematical calculation to uniquely identify a 
file or stream of data. A hash is often referred to as a ͞digital fingerprint͟, as a strong 
hash algorithm essentially rules out different data from having the same hash value. 
21.2
HASH ALGORITHMS 
MD5 (Message-Digest algorithm 5) is a publicly available and widely used 
cryptographic algorithm designed in 1991 by RSA (Ron Rivest, Adi Shamir and Len 
Alderman). MD5 is the most well-known hash algorithm in computer forensics largely 
through its implementation by Guidance Software in its EnCase® .E01 forensic 
acquisition file format: 
͞The MD5 algorithm uses a 128-bit value. This raises the possibility of two 
files having the same value to one in 3.40282 × 1038͟. (EnCase Forensic 
Version 6.10 User Manual. s.l. : Guidance Software, 2008 (15 p. 12)).  
In 1996 cryptanalytic research identified a weakness in the MD5 algorithm. In 2008 the 
United States Computer Emergency Readiness Team (USCERT) released vulnerability 
Note VU#836068 stating that the MD5 hash: 
͞…should be considered cryptographically broken and unsuitable for further 
use͟.  (5) 
SHA-2 is expected to become the new hash verification standard in computer 
forensics. SHA-2 is a set of cryptographic hash functions (SHA-224, SHA-256, SHA-384, 
and SHA-512) designed by the National Security Agency (NSA), and published by the 
USA National Institute of Standards and Technology. 
21.3
ACQUISITION HASH 
In computer forensics, an ͞acquisition hash͟ is calculated by forensic imaging software 
during the acquisition of a physical or logical device. It represents the digital 
fingerprint at the time the image was taken. It is recommended, in line with accepted 
best forensic practice, that an acquisition hash is always included when acquiring data 
of potential evidentiary value. 
In EnCase® .E01 and Ex01 image file formats, the acquisition hash is written into the 
image header. In other formats, such as with a DD image, a hash value is usually 
written into an associated text file. 
To display an acquisition hash in Forensic Explorer: 
1.
In the Evidence module, create or open a case; 
2.
In the Evidence module, in the Evidence tab, click on the image file to display 
the file properties, including the Acquisition hash value, as shown in Figure 
193, Acquisition and Verification hashes. 
Ch a p t e r   2 1   -   H a s h   S e t s  
247 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
21.4
VERIFICATION HASH 
A ͞verification hash͟ is a recalculation of the hash for a forensic image file. It enables 
the investigator to compare the acquisition hash with the verification hash to confirm 
the validity of the image file, i.e. if the hashes are identical; the image has not changed 
since acquisition. 
There are two methods to calculate verification hash in Forensic Explorer: 
1.
Calculate the verification hash when adding evidence to the case: 
a.
In the Evidence Module, start a case or preview or open an existing case.  
b.
Click the Add Device, Add Image or Add File button to add evidence to 
the case. 
c.
In the Evidence Processor window, place a check in the ͞Verify Device 
Hashes͟ box.  lick Start to proceed with the evidence processing.  
Figure 191, Evidence Processor 
2.
Calculate the verification hash during a case: 
a.
In the File System module, run the ͞Verify Device Hash͟ script accessed 
from the Analysis Scripts drop down menu: 
248 | Page 
Ch a p t e r   2 1   -   H a s h   S e t s    
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
Figure 192, Running the Verify Device Hash from the File System module toolbar 
b.
Or alternately run this script from the Scripts module. 
The verification hash is written to the evidence module with the acquisition hash, as 
shown below: 
Figure 193, Acquisition and Verification hashes 
21.5
HASHING FILES IN A CASE 
To calculate hash values for individual files in a case: 
1.
In the File System module, click the required Hash button: 
Ch a p t e r   2 1   -   H a s h   S e t s  
249 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Figure 194, File System module Hash Files button 
2.
This opens the Hash Files Options window: 
Figure 195, Hash Files Options window 
Source 
A has of files will take place in the module that the hash is 
run. For example, if the button in pressed in the Email 
module, a hash is calculated for the messages and 
attachments in that module.  
The hash can be calculated or all searchable items, or 
checked items. Include raw Devices and Partitions will 
250 | Page 
Ch a p t e r   2 1   -   H a s h   S e t s    
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
additionally search those items as stand-alone files 
(Warning: This will increase the time required); 
Hash Methods: 
Select the type/s of hash to be used; 
Force Recalculation: 
When check, all hashes will be recalculated. (When 
unchecked a hash will be calculated for only those items 
that do not have a hash. 
Duplicates: 
See below. 
File Size Range: 
Ignore files that do not fall within the range (0,0 = hash all 
files); 
Logging & Priority: 
See 7.5 – Logging and Priority. 
The results of a file has are written to the Hash column of the File System module.  
If the Hash column is not visible, learn how to add columns to the File System module 
in chapter 9.8 - Columns. 
21.5.1
DUPLICATES 
The ͞Find duplicate files͟ checkbox (shown in Figure 195 above) is used to identify files 
that have identical hash values. In addition to this benefit, a principal reason for 
identifying duplicates is that it enables the investigator the opportunity to ͞de-
duplicate͟ a case. This potentially improves case processing time in that it allows the 
forensic investigator to work with unique files only. 
When the ͞Find duplicate files͟ option is checked, a new column titled ͞Duplicate͟ is 
created in the File System > File List view (to learn how to add this column to the File 
System > File List, see 9.8). If the column contains the text ͞Yes͟, it means that during 
the hash process a file with an identical hash value has already been located (the entry 
in the Duplicate column for the first file found with a unique hash remains blank). 
Figure 196, Identifying duplicate files 
A ͞Hash Method͟ must be selected before ͞Find duplicate files͟ can be used. If 
multiple hash methods are selected during the hash process, for example MD5, SHA1 
and SHA256, the duplicate hash comparison is made using the strongest hash, in this 
example, SHA256. 
Documents you may be interested
Documents you may be interested