工具

theevidencehunter/forensix

数字取证情报框架

adamwhitehat/judge-jury-and-executable

一款文件系统取证分析扫描与威胁狩猎工具。可在MFT和操作系统层面扫描文件系统，并将数据存储于SQL、SQLite或CSV中。利用SQL的强大功能与语法，可对威胁与数据进行探查。

google/hashr

从磁盘镜像、软件包和归档文件中构建取证文件哈希集，支持跨 GCP、AWS 和本地来源，具备去重功能，并可导出至 PostgreSQL/Spanner，适用于 DFIR 工作流。

fishermavis/bsod_bitlocker_recover

用于提取Bitlocker VMK密钥的Python脚本

neo23x0/loki

基于IOC和YARA的扫描器，通过文件名正则表达式、YARA签名、哈希匹配以及端点上的C2回连检测，来识别入侵指标。

dwmetz/cyberpipe

一个易于使用的PowerShell脚本，用于收集内存和磁盘取证以进行DFIR调查。

kfallahi/underlaycopy

PowerShell 工具包，通过 MFT 解析和原始磁盘读取来提取被锁定的 Windows 文件（SAM、SYSTEM、NTDS、...）

aburgh/disk-arbitrator

一款 Mac OS X 取证实用工具，用于管理文件系统挂载以支持取证程序。

rowingdude/analyzemft

analyzeMFT.py 旨在完整解析 NTFS 文件系统中的 MFT 文件，并尽可能准确地将结果以多种格式呈现。

dfir-dd/dfir-toolkit

用于 Windows 工件取证调查的 CLI 工具

gregwar/fatcat

FAT文件系统的探索、提取、修复和取证工具

securityjoes/forensicminer

为网络安全专业人士量身打造的一款出色的DFIR自动化工具，用于证据收集与分析。

alex-cart/leaf

Linux 证据获取框架

ra3edaj/lab-dfir-cve-2023-38831

d

ccob/volumiser

CLI 和交互式控制台，用于列出、浏览和提取虚拟机磁盘映像（VHDX、VMDK、EBS 快照、原始磁盘）中的文件，用于红队数据外渗。

synacktiv/veeam-velociraptor

概念验证 Velociraptor 取证工件包，用于展示远程 Veeam 取证流水线。

teamdfir/sift

SIFT