网络取证

simsong/tcpflow

TCP/IP 数据包多路分解器。下载地址：

cisco/joy

一个用于捕获和分析网络流数据及流内数据的包，适用于网络研究、取证和安全监控。

azr43lkn1ght/dfir-labs

动手实践的DFIR挑战，涵盖数字取证、事件响应、恶意软件分析与威胁狩猎，包含CTF风格的标志和真实世界场景。

netsniff-ng/netsniff-ng

用于日常 Linux 网络管理的瑞士军刀。

omriher/captipper

恶意HTTP流量探测器

tomchop/malcom

Malcom - 恶意软件通信分析器

idaholab/malcolm

Malcolm 是一套功能强大且易于部署的网络流量分析工具套件，用于处理完整的数据包捕获产物（PCAP 文件）、Zeek 日志和 Suricata 告警。

0x4d31/fatt

FATT /fingerprintAllTheThings - 一个基于pyshark的脚本，用于从pcap文件和实时网络流量中提取网络元数据和指纹。

cristianzsh/forensictools

取证工具合集

dougburks/so-crates

SO-CRATES: Security Onion 容器化快速分析，用于处理威胁、恶意与可疑行为！

bert-janp/incident-response-powershell

基于PowerShell的事件响应工具包，收集25+个取证工件（进程、网络连接、注册表、浏览器历史），并导出CSV用于SIEM集成。支持Defender for Endpoint的实时响应。

diogo-fernan/ir-rescue

一个Windows Batch脚本和一个Unix Bash脚本，用于在事件响应期间全面收集主机取证数据。

microsoft/etl2pcapng

将包含 Windows 网络数据包捕获的 .etl 文件转换为 .pcapng 格式的工具。

medbenali/cyberscan

开源网络取证工具包，用于数据包分析、端口扫描、主机发现和IP地理位置定位。支持ARP、ICMP、TCP、UDP ping和pcap解码。

proxymanapp/tcpviewer

The best-in-class macOS app to See every packet clearly on your Mac. Alternative to Wireshark

nour833/stegoforge

终极隐写术与数字取证工具包。可在图像、音频、视频、文档及网络数据包中隐藏和提取数据，或运行11种高级检测引擎以发现隐藏载荷。