evtkit

  • python-dissect.thumbcache：一个实现windows缩略图缓存解析器的Dissect模块。
  • haystack：用于从进程内存堆分析内存结构取证中查找C结构的python框架。
  • unhide：A forensic tool to find processes hidden by rootkits, LKMs or by other techniques.
  • bios_memimage：将RAM内容转储到磁盘的工具（也称为冷启动攻击）。
  • undbx：从Outlook Express DBX文件中提取电子邮件。
  • chntpw：脱机NT密码编辑器-重置Windows NT SAM用户数据库文件中的密码
  • rsakeyfind：在RAM中查找RSA密钥的工具。
  • thumbcacheviewer：提取Windows thumbcache数据库文件。