grokevt

  • rekall：记忆取证框架。
  • memfetch：转储任何用户空间进程内存而不影响其执行。
  • python-dissect.fve：Dissect模块实现了用于全卷加密实现的解析器，目前是微软的Bitlocker磁盘加密（BDE）和Linux统一密钥设置（LUKS1和LUKS2）。
  • galleta：为了法医的目的检查IE的cookie文件的内容
  • pdfid：扫描文件以查找特定的PDF关键字。
  • trid：一种实用程序，用于从二进制签名中识别文件类型。
  • lfle：通过试探性地查找记录结构，从映像中恢复事件日志条目。
  • xplico：互联网流量解码器。网络法医分析工具（NFAT）。