sleuthkit

  • mftref2name：在NTFS上，将文件索引号解析为名称，反之亦然。一个简单的工具，只需将MFT参考号转换为文件名和路径，或者反过来。
  • casefile：小弟弟到马耳他没有转换，但结合了图表和链接分析，检查手动添加数据到思维地图的信息之间的链接
  • bios_memimage：将RAM内容转储到磁盘的工具（也称为冷启动攻击）。
  • python2-oletools：分析Microsoft OLE2文件的工具。
  • mftcarver：从数据块（例如内存转储）中雕刻$MFT记录。
  • python-dissect.hypervisor：一个Dissect模块，为各种管理程序磁盘、备份和配置文件实现解析器。
  • python-dissect.sql：一个Dissect模块，实现SQLite数据库文件格式的解析器，通常由应用程序用于存储配置数据。
  • secure2csv：在NTFS上以$Secure格式解码安全描述符。