sleuthkit

  • testdisk：检查和恢复分区+photorec，基于签名的恢复工具
  • mac-robber：一种数字调查工具，从已装入的文件系统中分配的文件中收集数据。
  • dff：带有命令行和图形界面的取证框架。
  • python-acquire：快速将磁盘映像或实时系统中的取证工件收集到轻量级容器中。
  • interrogate：一个概念验证工具，用于识别二进制材料中的加密密钥（不考虑目标操作系统），首先用于内存转储分析和法医使用。
  • canari：马耳他的转型框架
  • usnparser：用于分析NTFS USN日志的Python脚本。
  • volatility-extra：波动性插件由社区开发和维护。