⬡ ForensiX — 数字取证情报框架

由 Ameer Rasim 创建 | 版本 2.0.0

███████╗ ██████╗ ██████╗ ███████╗███╗   ██╗███████╗██╗██╗  ██╗
██╔════╝██╔═══██╗██╔══██╗██╔════╝████╗  ██║██╔════╝██║╚██╗██╔╝
█████╗  ██║   ██║██████╔╝█████╗  ██╔██╗ ██║███████╗██║ ╚███╔╝ 
██╔══╝  ██║   ██║██╔══██╗██╔══╝  ██║╚██╗██║╚════██║██║ ██╔██╗ 
██║     ╚██████╔╝██║  ██║███████╗██║ ╚████║███████║██║██╔╝ ██╗
╚═╝      ╚═════╝ ╚═╝  ╚═╝╚══════╝╚═╝  ╚═══╝╚══════╝╚═╝╚═╝  ╚═╝

ForensiX 解决的问题： 现有的开源 CLI 工具中，没有一款能将多哈希计算、MACB 时间戳取证、深度字符串分类、YARA 风格模式扫描、隐写检测、实时系统采集、磁盘镜像解析以及法庭级报告生成统一整合——而这一切都包含在一个零外部依赖的便携式 Python 脚本中。

🔬 功能

功能	描述
`hash`	多算法哈希（MD5/SHA1/SHA256/SHA512/SHA3/BLAKE2）+ 篡改验证
`meta`	MACB 时间戳、熵分析、权限、inode、扩展名不匹配检测
`strings`	自动分类的字符串提取：URL、IP、电子邮件、凭据、JWT、AWS 密钥、洋葱地址、CVE
`scan`	YARA 风格模式匹配：勒索软件、shellcode、C2 框架、Webshell、加密货币矿工、凭据转储工具
`hex`	取证十六进制查看器，支持偏移/长度控制与 ASCII 侧栏
`steg`	隐写检测：熵分析、EOF 标记检查、polyglot（多格式文件）检测
`timeline`	从文件/目录重建 MACB 时间线，支持时间过滤
`live`	实时系统采集：进程、网络连接、环境
`disk`	原始磁盘镜像分析：MBR、分区表、文件系统检测
`report`	完整取证报告：TXT / JSON / HTML / CSV（监管链格式）

⚡ 快速开始

# 无需安装——纯 Python 标准库
python3 forensix.py --help

# 或将其设为可执行
chmod +x forensix.py
./forensix.py --help

📖 使用示例

1. 对可疑文件进行哈希计算并验证完整性

python3 forensix.py hash malware.exe
python3 forensix.py hash malware.exe --verify d41d8cd98f00b204e9800998ecf8427e

2. 提取所有取证元数据

python3 forensix.py meta evidence.jpg
python3 forensix.py meta suspicious.dll --output meta_report.html --format html

3. 深度字符串提取与自动分类

python3 forensix.py strings payload.bin --limit 100
python3 forensix.py strings memory_dump.raw --all --output strings.json --format json

4. 扫描恶意软件模式

python3 forensix.py scan dropper.exe
python3 forensix.py scan webshell.php --output threat_report.html --format html

5. 取证十六进制查看器

python3 forensix.py hex file.bin --offset 0x100 --length 1024

6. 检测隐藏数据（隐写术）

python3 forensix.py steg image.jpg logo.png photo.bmp

7. 重建文件系统时间线

python3 forensix.py timeline /var/log /home/user
python3 forensix.py timeline /incident --start 2024-06-01 --end 2024-06-15 --limit 200

8. 实时应急响应

python3 forensix.py live
python3 forensix.py live --output live_snapshot.json --format json

9. 分析磁盘镜像

python3 forensix.py disk drive.dd
python3 forensix.py disk evidence.img --output disk_analysis.html --format html

10. 完整取证报告（一体化）

python3 forensix.py report suspect.exe --format html --output case_001_report.html
python3 forensix.py report evidence.zip --format json --output case_001.json

🎯 ForensiX 的独特之处

零外部依赖

仅使用纯 Python 3.8+ 标准库。无需 pip 安装。无需编译。放到任何系统上即可直接运行。

自动分类字符串提取

其他工具（strings、binwalk）只会输出原始字符串。ForensiX 会自动将其分类到 15 个以上取证类别中，并带误报过滤功能。

可直接用于法庭的报告

可生成符合法律格式的监管链（chain-of-custody）报告，支持 TXT、JSON、HTML 和 CSV 格式。没有其他开源 CLI 工具能开箱即用地做到这一点。

无需 ImageMagick/Pillow 的隐写检测

通过统计熵分析和文件结构验证来检测隐藏数据——无需任何外部库。

香农熵分析

每次文件扫描都会进行字节级熵计算，并将其分类为具有取证意义的等级。

🛡️ 威胁检测规则

📋 输出格式

格式	最佳用途
`txt`	人工阅读、法庭文档
`json`	SIEM 集成、进一步处理
`html`	用于与利益相关方共享的报告
`csv`

🔧 环境要求

Python：3.8 或更高版本
依赖：无（100% 标准库）
操作系统：Linux、macOS、Windows
权限：在某些系统上，live 命令需要 Root/管理员权限

👤 作者

Ameer Rasim
数字取证与网络安全
许可证：MIT

⚠️ 法律声明

ForensiX 仅面向经授权的取证调查而设计。请仅在您拥有或已获得明确书面许可的系统与文件上使用。作者对任何滥用行为概不负责。

RANSOMWARE_STRINGS	严重	勒索信、加密字符串、赎金支付要求
SHELLCODE_INDICATORS	高	NOP 雪橇、INT3 断点、内存注入 API
CREDENTIAL_DUMP	严重	Mimikatz、LSASS 访问、NTLM/SAM 引用
PERSISTENCE_MECHANISMS	高	注册表 Run 键、cron 任务、计划任务
NETWORK_TOOLS	严重	Cobalt Strike、Metasploit、Sliver、Havoc C2
ANTI_FORENSICS	高	日志清除、时间戳篡改（timestomping）、安全删除
CRYPTO_MINERS	中	XMRig、stratum 协议、矿池字符串
WEBSHELL_INDICATORS	严重	PHP eval/exec、命令注入模式

ForensiX

最受欢迎