magicrescue

  • analyzemft：从NTFS文件系统分析MFT文件。
  • rekall：记忆取证框架。
  • indxcarver：从一块数据中雕刻INDX记录。
  • testdisk：检查和恢复分区+photorec，基于签名的恢复工具
  • chromefreak：谷歌Chrome的跨平台取证框架
  • rsakeyfind：在RAM中查找RSA密钥的工具。
  • reglookup：用于读取和查询Windows NT注册表的命令行实用程序
  • DFIRtriage：Windows数字取证工具