X-Ways Forensics 是一款計(jì)算機(jī)綜合取證分析工具，支持?jǐn)?shù)據(jù)分析軟件，數(shù)據(jù)恢復(fù)軟件，十六進(jìn)制編輯器，在計(jì)算機(jī)取證，數(shù)據(jù)恢復(fù)，低級(jí)數(shù)據(jù)處理和IT安全領(lǐng)域特別專(zhuān)業(yè)，同時(shí)日常和緊急使用的高級(jí)工具，取證搜集、數(shù)據(jù)恢復(fù)、文件分析和編輯、底層數(shù)據(jù)處理和安全領(lǐng)域收集文件報(bào)告，檢查和編輯各種文件，從文件系統(tǒng)損壞的硬盤(pán)驅(qū)動(dòng)器或數(shù)碼相機(jī)卡中恢復(fù)已刪除的文件或丟失的數(shù)據(jù)等等。

今天腳本之家小編給大家分享的是X-Ways Forensics的是特別綠色免費(fèi)版本，此版本無(wú)需安裝注冊(cè)，下載解壓即可使用。

網(wǎng)盤(pán)內(nèi)為X-Ways Forensics 綠色特別版的老版本

軟件簡(jiǎn)介

X-Ways Forensics 是為計(jì)算機(jī)取證分析人員提供的一個(gè)功能強(qiáng)大的、綜合的取證、分析軟件，可在 Windows XP/2003/Vista/2008/7/8/8.1/2012/10操作系統(tǒng)下運(yùn)行，支持32 /64 位, Standard/PE/FE等版本。(Windows FE is described here, here and here.) 與其他競(jìng)爭(zhēng)產(chǎn)品相比，由于它在運(yùn)行時(shí)占用的資源更少，因此它在工作時(shí)更高效，運(yùn)行更快速，并且能恢復(fù)已刪除的文件，還能搜索到其他軟件搜索不到的結(jié)果，還包含許多特有的功能，最重要的是成本更低廉。X-Ways Forensics 可隨身攜帶，能夠通過(guò)U盤(pán)在任意Windows操作系統(tǒng)下使用，無(wú)需安裝。不像其他一些取證分析工具那樣，X-ways Forensics不需要使用者設(shè)置數(shù)據(jù)庫(kù)等繁瑣的操作

版本說(shuō)明

此版特點(diǎn)

by DimitarSerg, Neviens

采用Dll劫持補(bǔ)丁，硬核解鎖BYOD加密狗保護(hù)，解鎖完整功能!

已改winhex.cfg配置，設(shè)置默認(rèn)簡(jiǎn)體中文，置空選項(xiàng)保存路徑。

X-Ways Forensics(法證授權(quán)版)包括 MPlayer + 查看器組件

把xwforensics.exe重命名為winhex.exe，軟件將也就是winhex

X-Ways Forensics v20.0 SR-3 Full

?包含插件：MPlayer 2018 x64

?包含插件：Outside In Viewer v8.5.4

?含WinHex Forensic Editon x86/x64

軟件特色

1.查看Windows事件日志文件(.EVT，.EVTX)，Windows快捷方式(.LNK)文件，Windows預(yù)讀取文件，$LogFile, $UsnJrnl,還原點(diǎn)change.log，Windows任務(wù)計(jì)劃程序(.job)，$EFS LUS， INFO2，還原點(diǎn)change.log.1，wtmp/utmp/btmp log-in records登錄記錄，MacOS X系統(tǒng)kcpassword，AOL-PFC，OutlookNK2自動(dòng)完成文件，Outlook的WAB地址簿，IE瀏覽器travellog(又名RecoveryStore)，IE瀏覽器index.dat歷史記錄和瀏覽器緩存數(shù)據(jù)庫(kù)，SQLite數(shù)據(jù)庫(kù)，如Firefox瀏覽歷史，F(xiàn)irefox下載，F(xiàn)irefox表單歷史，F(xiàn)irefox插件，Chrome的cookie，Chrome歷史歸檔，Chrome歷史記錄，Chrome登錄數(shù)據(jù)，Chrome網(wǎng)頁(yè)數(shù)據(jù)，Safari瀏覽器緩存，Safarifeeds，Skype聯(lián)系人和文件傳輸?shù)膍ain.db數(shù)據(jù)庫(kù)等等

2.提取元數(shù)據(jù)，并從各種文件類(lèi)型的內(nèi)部創(chuàng)建時(shí)間戳，并允許通過(guò)他們過(guò)濾，如MS Office，OpenOffice，StarOffice，HTML，MDI，PDF，RTF，WRI，AOL，PFC，ASF，WMV，WMA，MOV，AVI，WAV， MP4，3GP，M4V，M4A，JPEG，BMP，THM，TIFF，GIF，PNG，GZ，ZIP，PF，IEcookies，DMP內(nèi)存轉(zhuǎn)儲(chǔ)，hiberfil.sys，PNF，SHD和SPL打印機(jī)后臺(tái)的Tracking.log， MDB，MS Access數(shù)據(jù)庫(kù)，manifest.mbdx/.mbdb iPhone備份

3.可以從任何其他類(lèi)型的文件中提取幾乎任何一種嵌入式文件(包括圖片)，從JPEG和縮略圖緩存中提取縮略圖，從跳轉(zhuǎn)列表中提取.lnl快捷方式，從Windows.edb、瀏覽器緩存中提取各種數(shù)據(jù)，，從SQLite數(shù)據(jù)庫(kù)表中提取PLists，從OLE2和PDF文檔中的提取雜項(xiàng)元素等等

功能介紹

磁盤(pán)克隆和鏡像功能，進(jìn)行完整數(shù)據(jù)獲取

可分析 RAW/dd/ISO/VHD/VHDX/VDI/VMDK 格式原始數(shù)據(jù)鏡像文件中的完整目錄結(jié)構(gòu)，支持分段保存的鏡像文件

可讀取磁盤(pán)、RAIDs以及超過(guò)2TB大的鏡像文件(超過(guò) 232 個(gè)扇區(qū)) 扇區(qū)最大為8KB

內(nèi)置解析磁盤(pán)陣列JBOD、RAID 0、RAID 5、RAID 5EE, RAID 6, Linux 軟件磁盤(pán)陣列、windows動(dòng)態(tài)磁盤(pán)以及LVM2邏輯卷管理器。

自動(dòng)識(shí)別丟失的/已刪除的分區(qū)

支持 FAT12, FAT16, FAT32, exFAT, TFAT, NTFS, Ext2, Ext3, Ext4, Next3®, CDFS/ISO9660/Joliet, UDF 文件系統(tǒng)

支持扇區(qū)疊加分析, 例如，即使在數(shù)據(jù)損壞的情況下，也能通過(guò)更正的分區(qū)表或文件系統(tǒng)數(shù)據(jù)結(jié)構(gòu)對(duì)文件系統(tǒng)進(jìn)行完整解析，而不改變?cè)即疟P(pán)或鏡像

察看并完整獲取內(nèi)存轉(zhuǎn)儲(chǔ)，并能獲取虛擬內(nèi)存中的運(yùn)行進(jìn)程

使用多種數(shù)據(jù)恢復(fù)技術(shù)，能快速發(fā)現(xiàn)需要恢復(fù)的數(shù)據(jù)，并支持碎片級(jí)數(shù)據(jù)恢復(fù)

文件頭數(shù)據(jù)庫(kù)支持GRPE檢索

能分析20種不同類(lèi)型的數(shù)據(jù)

通過(guò)模板查看并編輯二進(jìn)制數(shù)據(jù)結(jié)構(gòu)

數(shù)據(jù)擦除功能，可徹底清除存儲(chǔ)介質(zhì)中殘留數(shù)據(jù)

可從磁盤(pán)或鏡像文件中收集殘留空間、空余空間、分區(qū)空隙以及通用文本中的信息

創(chuàng)建證據(jù)文件中的文件和目錄列表

能夠非常簡(jiǎn)單地發(fā)現(xiàn)并分析ADS數(shù)據(jù)(NTFS備用數(shù)據(jù)流)

支持多種哈希計(jì)算方法 (CRC32, MD4, ed2k, MD5, SHA-1, SHA-256, RipeMD, ...)

強(qiáng)大的物理搜索和邏輯搜索功能，可同時(shí)搜索多個(gè)關(guān)鍵詞

可以在子目錄中反復(fù)查看現(xiàn)有文件和已刪除的文件

自動(dòng)用彩色顯示NTFS文件結(jié)構(gòu)

書(shū)簽和注釋

能在符合法證要求的Windows FE環(huán)境中運(yùn)行，比如，有限制的分類(lèi)/查看

非常便攜， U盤(pán)即插即用，無(wú)需安裝，支持任何一個(gè)操作系統(tǒng)

能與F-Response 配合使用，分析遠(yuǎn)程計(jì)算機(jī)

...

...此外:

支持 HFS, HFS+/HFSJ/HFSX, ReiserFS, Reiser4, XFS, UFS, UFS2文件系統(tǒng), APFS

能快速獲取磁盤(pán)鏡像，還提供生成鏡像壓縮程度的選項(xiàng)

能夠讀寫(xiě).e01 格式的證據(jù)文件，可選擇對(duì)證據(jù)文件進(jìn)行 256位AES加密 (注：并非僅僅采用口令保護(hù)方式)

能創(chuàng)建Skeleton鏡像 和Cleansed鏡像 (更多信息)

能夠拷貝相關(guān)文件至證據(jù)文件管理器文件中，如：可將相關(guān)證據(jù)文件保存至管理器中，管理并選擇性的共享給不同的需求者

完整的案例管理功能

自動(dòng)創(chuàng)建軟件操作日志 (審計(jì)日志)

數(shù)據(jù)寫(xiě)保護(hù)功能，確保數(shù)據(jù)真實(shí)性

可以任意添加對(duì)網(wǎng)盤(pán)的遠(yuǎn)程分析功能(更多信息)

能分析、過(guò)濾所有卷影副本(但不包括重復(fù)數(shù)據(jù))，找到快照屬性等

點(diǎn)擊鼠標(biāo)即可查看文件列表。輕松瀏覽文件系統(tǒng)的數(shù)據(jù)結(jié)構(gòu)，例如，文件記錄，索引記錄， $LogFile,卷影副本, FAT 目錄項(xiàng), Ext* inode等。

支持分區(qū)類(lèi)型: 蘋(píng)果格式， MBR, GPT (GUID), Windows動(dòng)態(tài)卷 (MBR+GPT), LVM2 (MBR+GPT), 未分區(qū) (軟盤(pán)/大容量軟盤(pán))

能對(duì)Windows 2000 ， XP ， Vista，2003 server， 2008 server， Windows 7的本地內(nèi)存或內(nèi)存轉(zhuǎn)儲(chǔ)進(jìn)行主內(nèi)存分析，功能非常強(qiáng)大

顯示文件的所有者，NTFS文件權(quán)限，對(duì)象ID/GUID 以及特殊屬性

彌補(bǔ) NTFS壓縮時(shí)所造成的數(shù)據(jù)丟失和 文件雕復(fù)時(shí)的Ext2/Ext3區(qū)分配邏輯

前后目錄和多個(gè)步驟之間可以快速切換、并可快速導(dǎo)航回到排序選項(xiàng)、過(guò)濾器激活(停止)、選擇的界面

內(nèi)置縮略圖圖片瀏覽

內(nèi)置日歷瀏覽

自動(dòng)進(jìn)行文件簽名、特征比對(duì)

內(nèi)置文件預(yù)覽功能，支持270種以上文件類(lèi)型

能夠直接從程序中打印相同的文件類(lèi)型，該程序首頁(yè)包含所有元數(shù)據(jù)

能查看 Windows事件日志文件 (.evt, .evtx), Windows 快捷方式文件 (.lnk) , Windows 預(yù)讀文件, $LogFile, $UsnJrnl, 系統(tǒng)還原點(diǎn) change.log, Windows Task Scheduler (.job), $EFS LUS, INFO2, 系統(tǒng)還原點(diǎn)change.log.1, wtmp/utmp/btmp 登陸信息, MacOS X kcpassword, AOL-PFC, Outlook NK2 自動(dòng)完成， Outlook WAB 地址簿, Internet Explorer 瀏覽記錄 (a.k.a. RecoveryStore), Internet Explorer index.dat 歷史和瀏覽器緩存數(shù)據(jù)庫(kù) , SQLite數(shù)據(jù)庫(kù)例如Firefox 歷史記錄, Firefox 下載, Firefox 表單歷史, Firefox 簽名, Chrome cookies, Chrome歷史歸檔, Chrome 歷史, Chrome 登陸信息, Chrome 網(wǎng)絡(luò)數(shù)據(jù), Safari 緩存, Safari feeds, Skype 的main.db數(shù)據(jù)庫(kù)(包括聯(lián)系人和文件傳輸記錄, ...

在可用空間或虛擬文件中的閑置空間中收集Internet Explorer歷史記錄和瀏覽器緩存 index.dat

能從各種類(lèi)型的文件中提取元數(shù)據(jù)和內(nèi)部生成的時(shí)間戳，例如： MS Office, OpenOffice, StarOffice, HTML, MDI, PDF, RTF, WRI, AOL PFC, ASF, WMV, WMA, MOV, AVI, WAV, MP4, 3GP, M4V, M4A, JPEG, BMP, THM, TIFF, GIF, PNG, GZ, ZIP, PF, IE cookies, DMP memory dumps, hiberfil.sys, PNF, SHD & SPL printer spool, tracking.log, .mdb MS Access database, manifest.mbdx/.mbdb iPhone 備份, ...

記錄并追蹤已瀏覽的文件

把源文件鏈接到外部文件，例如，原文件的翻譯版、解密版或更改后的版本

能夠分析檢查抽取出的電子郵件數(shù)據(jù)，支持Outlook (PST/OST)注, Exchange EDB, Outlook Express (DBX), AOL PFC, Mozilla (包括 Thunderbird), generic mailbox (mbox, Unix), MSG, EML

生成一個(gè)功能強(qiáng)大的事件列表，生成該列表的時(shí)間戳來(lái)自：所有支持的文件系統(tǒng)，操作系統(tǒng)(包括事件日志，注冊(cè)表，回收站等)，文件內(nèi)容(例如，郵件頭，exif時(shí)間戳，GPS時(shí)間戳，最后打印時(shí)間;瀏覽器數(shù)據(jù)庫(kù)，skype 聊天記錄，通話(huà)記錄，文件傳輸記錄，創(chuàng)建的賬戶(hù)信息……)

在分析中引入時(shí)間的緯度，按照時(shí)間順序展示事件發(fā)展延伸的整個(gè)過(guò)程。在時(shí)間線(xiàn)中，事件以圖形顯示，可方便地查看某活動(dòng)在哪個(gè)時(shí)間段活躍，哪個(gè)時(shí)間段不活躍。只需點(diǎn)擊鼠標(biāo)即可快速過(guò)濾某個(gè)時(shí)間段的事件

擁有基于簽名和專(zhuān)門(mén)算法的文件類(lèi)型自動(dòng)驗(yàn)證功能

可標(biāo)記文件，并將所標(biāo)記的文件添加至自定義案件報(bào)告中

自動(dòng)生成HTML格式案件報(bào)告，可以用Word查看并編輯

案件報(bào)告中可關(guān)聯(lián)文件注釋或過(guò)濾信息

軟件窗口左側(cè)顯示目錄數(shù)結(jié)構(gòu)，能夠?yàn)g覽并標(biāo)記相關(guān)目錄及子目錄

在扇區(qū)視圖模式下，可同步顯示對(duì)應(yīng)扇區(qū)的文件和目錄

強(qiáng)大的動(dòng)態(tài)過(guò)濾功能，能以文件類(lèi)型、哈希庫(kù)、時(shí)間、文件大小、注釋、報(bào)告表等方式組合進(jìn)行文件過(guò)濾

通過(guò)遞歸瀏覽功能，同時(shí)顯示所有目錄下的文件和刪除數(shù)據(jù)

能從硬盤(pán)或者硬盤(pán)鏡像中復(fù)制文件，內(nèi)容可包含相應(yīng)文件的完整路徑，還可包含或排除文件閑置區(qū)域的數(shù)據(jù)，或?qū)⑽募e置區(qū)域的數(shù)據(jù)單獨(dú)導(dǎo)出或全部導(dǎo)出。

自動(dòng)識(shí)別加密的MS Office 和PDF文件

能從其他任何類(lèi)型的文件中提取幾乎任何一種嵌入式的文件(包括圖片)， 從 JPEGs和thumbcaches中提取縮略圖,從跳轉(zhuǎn)列表中提取 .lnk 快捷方式 , 從Windows.edb中提取各種數(shù)據(jù),從SQLite中提取瀏覽器緩存、 PLists和表單記錄, 從 OLE2 和 PDF 文檔中提取各種數(shù)據(jù), ...

膚色圖片檢測(cè)功能，(根據(jù)膚色比例，以圖片集方式排序，加速對(duì)兒童色情圖片、黑白圖片的搜索)

檢測(cè)黑白或灰度的圖片，這可能是掃描到的文件或數(shù)字化存儲(chǔ)的傳真

能檢測(cè)到可以用OCR識(shí)別的 PDF 文檔

能通過(guò)MPlayer或Forensic Framer，根據(jù)用戶(hù)自定義的時(shí)間間隔，從視頻文件中提取靜態(tài)圖像，這樣就能在必須查看不恰當(dāng)或非法內(nèi)容時(shí)大大減少要查看的數(shù)據(jù)

內(nèi)置 Windows 注冊(cè)表查看器(支持所有 Windows 版本)，并自動(dòng)生成注冊(cè)表報(bào)告

能夠以目錄方式逐級(jí)瀏覽壓縮文件中內(nèi)容

易用的邏輯搜索功能，可在所有文件、選中文件和壓縮文件、PDF, HTML, EML, ..., 等類(lèi)型文件中進(jìn)行搜索, 可選項(xiàng)有： GREP, 用戶(hù)自定義的“全字匹配”。

強(qiáng)大的搜索及搜索結(jié)果預(yù)覽功能，支持關(guān)鍵字臨近的上下文預(yù)覽。如：可搜索Documents and Settings目錄下，最后訪(fǎng)問(wèn)時(shí)間為2004年，包含關(guān)鍵詞A, B, D 的doc和ppt文件

在Unicode 和各種代碼頁(yè)中進(jìn)行搜索和索引

高度靈活的索引算法，并可在索引結(jié)果中搜索固定復(fù)合詞

AND ，fuzzy AND，NEAR +和 – 邏輯運(yùn)算符組合使用，搜索結(jié)果

能將搜索結(jié)果導(dǎo)出為HTML，并高亮顯示文件內(nèi)容以及文件元數(shù)據(jù)

可檢測(cè)并排除硬盤(pán)HPA區(qū)域和ATA加密硬盤(pán)保護(hù)區(qū)域，并連續(xù)標(biāo)注

依據(jù)內(nèi)部哈希庫(kù)，可以快速定位特定類(lèi)型文件

能夠?qū)?NSRL RDS 2.x, HashKeeper 和ILook格式的哈希庫(kù)

可創(chuàng)立用戶(hù)專(zhuān)用哈希集

能夠解壓縮整個(gè)hiberfil.sys文件和單獨(dú)的xpress 塊

X-Tensions API (編程接口) ，添加您自己的功能或者現(xiàn)有的功能

無(wú)需設(shè)置并鏈接復(fù)雜的數(shù)據(jù)庫(kù)，避免了競(jìng)爭(zhēng)產(chǎn)品無(wú)法再次打開(kāi)你的案件的風(fēng)險(xiǎn)

分析外部程序的界面,例如 PhotoDNA (for law enforcement only), 能識(shí)別已知的圖片(即使圖片以不同格式保存或已經(jīng)改動(dòng))并把圖片的類(lèi)別(“CP”, “relevant”, “irrelevant”)報(bào)告給 X-Ways Forensics

...please see the English version of this page for a more up-to-date feature listing...