OmniTriage ⚡

零依赖、亚秒级 Windows 实时数字取证与事件响应（DFIR）分类引擎，专为快速 USB 响应器设计。

📌 现代数字取证中的问题

在实时事件响应中，时间和隐蔽性就是一切。传统的分类脚本存在严重缺陷：

工具臃肿与 EDR 告警： 像 DFIRtriage 这样的工具捆绑了 50 多个外部实用程序（Sysinternals、NirSoft、外部批处理脚本），会立即触发现代端点检测与响应（EDR）代理或 Windows Defender 警报。
数据库锁定： 运行中的 Chromium 浏览器（Chrome、Edge、Brave）通过 Windows 文件共享句柄（dwShareMode）锁定其 SQLite History 数据库，导致标准收集器崩溃或失败，除非强制终止浏览器（从而破坏易失性内存证据）。
基础设施负担： 像 Velociraptor 这样的基于服务器的代理需要证书、复杂的网络基础设施和后台守护进程安装——在临时现场分类中不可能实现。

OmniTriage 干净利落地解决了这些问题：完全基于 100% 纯 Python 标准库（winreg、sqlite3、ctypes、subprocess、hashlib、struct）从零构建。无需 pip install，无外部二进制文件，零磁盘噪音，执行时间 不到 1 秒，并生成交互式独立暗色模式 HTML 报告以及结构化 JSON。

🚀 核心功能

⚡ 亚秒级实时执行： 在约 0.25 至 1.5 秒内完成全面的全盘取证分类。
🛡️ 零第三方依赖： 在任何安装了 Python 的 Windows 机器上开箱即用。不会向磁盘写入临时实用程序或释放可执行文件。
🔓 SQLite 锁绕过（影子缓冲区查询）： 即使嫌疑人或用户正在主动打开浏览器，也能从 Chrome、Edge 和 Brave 中提取实时浏览历史和下载日志。
🧠 程序执行证据：
- PSReadLine PowerShell 命令历史（ConsoleHost_history.txt），带启发式关键词标记（IEX、DownloadString、mimikatz、bypass、vssadmin）。
- Windows 资源管理器 RunMRU（Win+R 对话框历史）。
- UserAssist ROT13 解码的 GUI 执行记录和时间戳。
- 后台活动审核器（BAM）取证记录。
💾 暂存与投放器追踪：
- 扫描 %TEMP%、%APPDATA% 和 %LOCALAPPDATA% 中的可疑二进制文件（.exe、.dll、、、、、）。

🗺️ MITRE ATT&CK 映射

📂 项目架构

OmniTriage/
├── collectors/
│   ├── __init__.py
│   ├── sysinfo.py         # OS build, InstallDate/Format date, Uptime (GetTickCount64), RAM
│   ├── execution.py       # PowerShell history, RunMRU, UserAssist (ROT13), BAM
│   ├── browser.py         # Chrome, Edge, Brave SQLite lock bypass & download records
│   ├── network.py         # Wi-Fi SSIDs, USBSTOR device history, active TCP sockets
│   ├── filesystem.py      # Executables/scripts in %TEMP%, SHA-256 hashing, Recent .lnk
│   └── persistence.py     # Registry Run/RunOnce keys & Startup folder audit
├── reporters/
│   ├── __init__.py
│   ├── json_reporter.py   # Normalized JSON serialization
│   └── html_reporter.py   # Standalone dark-mode HTML dashboard
├── omnitriage.py          # Main CLI orchestrator & banner
├── run_usb_triage.bat     # One-click USB rapid response launcher
├── LICENSE                # MIT License
└── README.md

⚡ 快速开始

1. 直接执行

git clone https://github.com/prox0959/OmniTriage.git
cd OmniTriage
python omnitriage.py

2. USB 事件响应器部署

将 OmniTriage 文件夹复制到事件响应 USB 驱动器上。插入目标机器后，执行：

run_usb_triage.bat

或直接通过命令行：

python omnitriage.py --out D:\Evidence\Case_101

3. 命令行参数

options:
  -h, --help            show this help message and exit
  --out OUT, -o OUT     Output directory for reports (default: triage_output)
  --quick, -q           Quick mode (skips deep file hashing)
  --json-only           Only produce JSON report
  --html-only           Only produce interactive HTML dashboard
  --no-browser          Skip browser history acquisition
  --no-fs               Skip staging directory filesystem scans
  --lang {en,tr}        Console output language (default: en)

🔬 实时输出示例

   ____                  _ _____     _                 
  / __ \____ ___  ____  (_)__   \_ __(_) __ _  __ _  ___ 
 / / / / __ `__ \/ __ \/ /  / /\/ '__/ / _` |/ _` |/ _ \
/ /_/ / / / / / / / / / /  / /  | | / / (_| | (_| |  __/
\____/_/ /_/ /_/_/ /_/_/   \/   |_|/_/ \__,_|\__, |\___|
                                             |___/      
 [::] OmniTriage v1.0.0 | Pure Python DFIR Live Triage Engine
 [::] Author: Çınar (prox0959) | Zero External Dependencies

[*] Starting live forensic acquisition on target system...
[*] Destination: C:\Forensics\Case_01
[*] Acquiring OS telemetry, InstallDate, and Uptime...
[+] Host: DESKTOP-IR01 | User: analyst
[+] OS: Windows 10 Home (Build: 26200.9457)
[+] Windows Format/Install Date: 2026-07-03 16:31:44
[+] System Uptime: 0d 6h 52m (Boot: 2026-09-24 17:29:51)
[*] Collecting program execution evidence (PowerShell, RunMRU, UserAssist)...
[+] PowerShell history: 89 commands (0 flagged)
[+] RunMRU (Win+R history): 2 items
[+] UserAssist GUI applications: 100 items decoded
[*] Bypassing SQLite locks & harvesting browser history...
[+] Browser activity: 300 URLs, 19 downloads acquired
[*] Harvesting Wi-Fi profiles, USB connection history, and active sockets...
[+] Wi-Fi & Network Profiles: 2 profiles discovered
[+] Historical USB storage devices: 3 drives logged
[+] Active TCP sockets: 139 connections
[*] Scanning staging directories (%TEMP%, %APPDATA%) for suspicious executables...
[+] Executables in %TEMP%: 40 found
[+] Recent shortcut items: 40 items
[*] Auditing autostart persistence mechanisms (Run/RunOnce, Startup)...
[+] Registry Run/RunOnce keys: 20 entries
[+] Startup folder items: 4 files
[*] Compiling forensic reports...
[+] JSON Report written: C:\Forensics\Case_01\Triage_DESKTOP-IR01_20260925_002236.json (193.21 KB)
[+] HTML Dashboard written: C:\Forensics\Case_01\Triage_DESKTOP-IR01_20260925_002236.html (88.56 KB)

=================================================================
[+] Forensic acquisition completed in 0.24 seconds.
=================================================================

⚖️ 法律与道德声明

本软件严格用于授权的数字取证、事件响应、系统审计和教育研究。在任何计算机系统上获取工件之前，请务必获得适当的授权和同意。

📄 许可证

本项目根据 MIT 许可证授权 - 作者为 Çınar (@prox0959)。

T1059.001	执行	PowerShell 命令历史与 ScriptBlocks	`execution.py`、`remote_exec.py`
T1021	横向移动	远程服务（RDP、WinRM）	`collectors/remote_exec.py`
T1071.004	命令与控制	DNS 域名解析	`collectors/dns_cache.py`
T1204	执行	用户执行（RunMRU / UserAssist / ShimCache）	`execution.py`、`shimcache.py`
T1053.005	持久化	计划任务持久化	`collectors/tasks.py`
T1070	反取证	主机上的指标移除（日志清除）	`collectors/event_logs.py`
T1543.003	持久化	Windows 服务创建（事件 7045）	`collectors/event_logs.py`
T1036	防御规避	在 `%TEMP%` / `%APPDATA%` 中伪装	`collectors/filesystem.py`
T1547.001	持久化	注册表 Run 键 / 启动文件夹	`collectors/persistence.py`
T1082	发现	系统信息与 InstallDate	`collectors/sysinfo.py`
T1049	发现	系统网络连接与 Wi-Fi	`collectors/network.py`
T1005	收集	浏览器数据与下载日志	`collectors/browser.py`
T1005	收集	浏览器数据与下载日志	`collectors/browser.py`

最受欢迎

OmniTriage