evtkit

  • reglookup：用于读取和查询Windows NT注册表的命令行实用程序
  • bmap-tools：使用块映射文件中的信息复制大量稀疏文件的工具。
  • syft：一个CLI工具和go库，用于从容器映像和文件系统生成软件物料清单（SBOM）。
  • lfle：通过试探性地查找记录结构，从映像中恢复事件日志条目。
  • guymager：用于媒体采集的法医成像仪。
  • DFIRtriage：Windows数字取证工具
  • volatility：高级内存取证框架
  • truehunter：使用快速和内存高效的方法检测TrueCrypt容器。