记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

Windows事件响应数字取证工具:DFIRtriage

2019-11-11 12:45

DFIRtriage 数字取证工具

用于基于Windows的事件响应的数字取证工具

DFIRtriage是旨在向事件响应者提供快速主机数据的数字取证工具。使用Python编写。该工具将在执行时自动运行各种命令。所获取的数据将驻留在执行目录的根目录中。DFIRTriage可以从USB驱动器运行,也可以在目标上的远程外壳中执行。仅支持Windows。

Windows事件响应数字取证工具:DFIRtriage
DFIRtriage 数字取证工具

使用:将dfirtriage.exe拖放到目标上并以管理员权限执行。

项目结构

  • DFIRtriage.exe
    • 编译的可执行文件
  • .\data\core.ir
    • 工具集存储库(仅适用于Python版本)
  • manifest.txt
    • 核心组件的文件哈希
  • unlicense.txt
    • 许可协议副本
  • source directory
    • DFIRtriage-v4-pub.py
  • dtfind.exe
    • 编译的搜索工具可执行文件

下载:https://github.com/travisfoley/dfirtriage

取证清单

以下是收集的信息和项目列表

  • Memory Raw --> 图像采集(可选)
  • Prefetch --> 收集所有预取文件并将其解析为报告
  • PowerShell command history --> 收集所有用户的PowerShell命令历史记录
  • User activity --> 最近用户活动的HTML报告
  • File hash --> System32根目录中所有文件的MD5哈希
  • Network information --> 网络配置,路由表,etc等
  • Network connections --> 建立的网络连接
  • DNS cache entries --> 完整的DNS缓存内容列表
  • ARP table information --> 完整的ARP缓存内容列表
  • NetBIOS information --> 活动的NetBIOS会话,传输的文件等
  • Windows Update Log --> 收集事件跟踪日志信息并构建Windows更新日志
  • Windows Defender Scanlog --> 收集事件跟踪日志信息并构建Windows更新日志
  • Windows Event Logs --> 收集并解析Windows事件日志
  • Process information --> 进程,PID和图像路径
  • List of remotely opened files --> 远程主机在目标系统上打开的文件
  • Local user account names --> 本地用户帐户列表
  • List of hidden directories --> 系统分区上所有隐藏目录的列表
  • Alternate Data Streams --> 包含备用数据流的文件列表
  • Complete file listing --> 系统分区上所有文件的完整列表
  • List of scheduled tasks --> 所有已配置的计划任务列表
  • Hash of all collected data --> DFIRtriage收集的所有数据的MD5哈希
  • Installed software --> 通过WMI安装的所有软件的列表
  • Autorun information --> 所有自动运行的位置和内容
  • Logged on users --> 当前所有登录到目标系统的用户
  • Registry hives --> 所有注册表配置单元的副本
  • USB artifacts --> 收集解析USB使用情况信息所需的数据
  • Browser History --> 来自多个浏览器的浏览器历史记录集合
知识来源: https://www.uedbox.com/post/59461/

阅读:27125 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“Windows事件响应数字取证工具:DFIRtriage”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

九层之台,起于累土;黑客之术,始于阅读

推广

工具

标签云