hashdeep

  • memimager：使用ntsystemdebugcontrol执行内存转储。
  • chipsec：用于分析PC平台安全性的框架，包括硬件、系统固件（bios/uefi）和平台组件。
  • regipy：用于分析脱机注册表配置单元的库。
  • powermft：强大的命令行$MFT记录编辑器。
  • python-acquire：快速将磁盘映像或实时系统中的取证工件收集到轻量级容器中。
  • parse-evtx：分析Windows XML事件日志（EVTX）格式的工具。
  • naft：网络设备取证工具包。
  • bios_memimage：将RAM内容转储到磁盘的工具（也称为冷启动攻击）。