tcpdump

TCPDUMP 4.x.y 由 The Tcpdump Group 提供 若要报告安全问题，请发送电子邮件至 [email protected]。 要报告错误和其他问题、贡献补丁、请求功能、提供一般反馈等，请参阅 tcpdump 源代码根目录中的贡献指南。 匿名 Git 可通过以下方式获取 https://github.com/the-tcpdump-group/tcpdump.git 此目录包含 tcpdump 的源代码，tcpdump 是一款用于网络监控和数据采集的工具。 在过去的几年中，tcpdump...

PKINITtools

PKINIT 工具 本仓库包含一些用于操作 PKINIT 和证书的实用工具。 这些工具基于 minikerberos 和 impacket 构建。相关的博客文章提供更多背景信息：https://dirkjanm.io/ntlm-relaying-to-ad-certificate-services/ 安装 这些工具仅兼容 Python 3.5+。从 GitHub 克隆仓库，安装依赖项即可使用： git clone https://github.com/dirkjanm/PKINITtools pip3 install impacket minikerberos...

LiME

LiME Linux 内存提取器 一个用于从 Linux 及基于 Linux 的设备（如 Android）获取易失性内存的可加载内核模块 LKM。LiME 在获取过程中会尽量减少与用户空间及内核空间进程之间的交互，从而生成比其他专为 Linux 内存获取而设计的工具更具取证可靠性的内存镜像。 目录 功能特性 使用方法 示例 可用摘要算法 压缩 演讲介绍 功能特性 从 Linux（及 Android）系统进行完整内存获取 通过网络接口或本地磁盘进行获取 多种输出格式（raw、lime、padded） 可选的哈希计算，并生成辅助摘要文件 可选的 zlib 压缩 极小的进程占用 使用方法 有关...

msticpy

MSTIC Jupyter and Python Security Tools Microsoft Threat Intelligence Python Security Tools. msticpy is a library for InfoSec investigation and hunting in Jupyter Notebooks. It includes functionality to: query log data from multiple sources enrich the data with Threat Intelligence, geolocations a...

UnderlayCopy

UnderlayCopy UnderlayCopy 是一个 PowerShell 实用工具，用于底层 NTFS 采集以及转储受保护、被锁定的系统文件（例如：SAM 、SYSTEM 、NTDS.dit 、注册表配置单元 ，以及其他在 Windows 运行时通常无法访问的文件）。它支持两种互补模式，无需使用 VSS 或标准文件 I/O 即可实现此目的： MFT 模式 ：解析 $MFT 记录，并通过读取原始卷扇区来重建/复制文件数据。 元数据模式 ：使用文件系统元数据（fsutil）将文件映射到簇并复制原始扇区。 用途 ：研究、红队演练和 DFIR 采集。 不适用于 ：未授权访问或恶意使用。...

WinPmem

WinPmem -- 物理内存采集工具 WinPmem 长期以来一直是 Windows 上默认的开源内存采集驱动程序。它原本属于 Rekall 项目，但最近已被分离到自己的仓库中。 这是 Windows 版本。 Linux 版本 Linpmem 位于：https://github.com/Velocidex/Linpmem 版权 此代码最初由 Google 内部开发，但已根据 Apache 许可证发布。 描述 WinPmem 是一款具有以下特性的物理内存采集工具： 开源 支持 Win7 - Win 10，x86 + x64。可使用 WDK7600 来包含对 WinXP 的支持。...

LSTAR-EN

LSTAR - 通过谷歌翻译和DeepL将Aggressor翻译成英文！ 为简化CS右键操作和方便自身集成，参考了大量后渗透插件 重构并丰富了主机相关凭据获取、多级内网穿透、隐藏计划任务、免杀Mimikatz及克隆添加用户等功能 特性： 通过与CobaltStrike的TCP、SMB、Proxy等方式配合，穿透复杂网络环境 为RDP相关、AddUser、LsassDump等功能提供多种免杀执行方式，应对不普及的环境 集成多种免杀功能，如以WinAPI或Assembly内存加载模式运行的影子用户、隐藏计划任务等 其中包括以下功能模块： 以下图片保持不变！...

mvt

Mobile Verification Toolkit !IMPORTANT We recently merged the "v3" branch. This introduced breaking changes. If you relied on mvt output in other scripts They might have broken. More details: https://github.com/mvt-project/mvt/issues/757 Mobile Verification Toolkit MVT is a collection of utilitie...

androidqf

androidqf NOTA: este proyecto actualmente no tiene mantenimiento. Se puede encontrar un fork independiente bajo elProyecto MVT. androidqf Android Quick Forensics es una herramienta portátil para simplificar la adquisición de datos forenses relevantes de dispositivos Android. Descargar androidqf...

avml

AVML 为 Linux 获取易失性内存 概述 一个用于 Linux 的便携式易失性内存获取工具。 AVML 是一款用 Rust 编写的 X8664 用户态易失性内存获取工具，旨在以静态二进制形式部署。AVML 无需预先了解目标操作系统的发行版或内核即可获取内存。无需在目标上进行编译或指纹识别。 功能特性 通过 Azure Blob Store 或 HTTP PUT 将捕获的镜像保存到外部位置 Azure Blob Storage 上传会通过 Azure SDK 的默认指数退避策略重试瞬时故障（8 次尝试，总耗时上限为一分钟）。 使用 Snappy 进行可选的分页级压缩。 使用 LiME...

pcileech

PCILeech 概述: PCILeech 使用 PCIe 硬件设备来读写目标系统内存。这是通过使用 PCIe 上的 DMA 实现的。目标系统上无需驱动程序。 PCILeech 在没有硬件的情况下也能与 LeechCore 库支持的多种软件内存获取方法配合使用——包括使用 DumpIt 或 WinPmem 捕获远程实时内存。PCILeech 还支持本地内存捕获以及多种内存转储文件格式。 PCILeech 支持多种内存获取设备，包括基于硬件和软件的。基于 USB3380 的硬件仅能原生读取 4GB 内存，但如果首先将内核模块（KMD）插入目标系统内核，则可以读取所有内存。基于 FPGA...

dfirtriage

dfirtriage 基于 Windows 的事件响应数字取证采集工具。 如何使用 运行方式：将 dfirtriage.exe 放入目标或连接的 USB 驱动器，并以管理员权限执行，使用 -h 查看帮助。 DFIRTriage v6.0 用户手册 描述 本文档概述 DFIRtriage 工具的功能和正确使用方法。同时包含帮助分析输出结果的详细信息。目标是让事件响应者能够快速收集和分析数据。 关于 DFIRtriage 是一款事件响应工具，旨在为事件响应者提供快速的主机数据。执行后，将收集选定主机数据和信息并放置到执行目录中。DFIRtriage 可以从 USB...

dfirtriage

dfirtriage Digital forensic acquisition tool for Windows-based incident response. How to Use To run, drop dfirtriage.exe on the target or connected USB drive and execute with admin rights, -h for help. DFIRTriage v6.0 User's Manual Description This document outlines the functionality and proper u...

Telegrip

你好 👋 Telegrip 是一款图形化数字取证工具，专门处理与Telegram相关的案件。 Telegrip 提供以下功能： 1. Telegrip 从Android设备中获取稀疏镜像，包含设备信息和所有Telegram相关数据。 2. 解析并分析所有类型的消息，无论是公开的（如频道和群组）还是私密的（如秘密消息和普通消息），然后将其转换为人类可读格式，以在调查过程中协助数字调查人员。 3. 该工具分析所有类型的媒体，包括不同类型的图片、视频、文档、链接和GIF，并明确发送者和接收者的身份。 4. Telegrip...

LSTAR

LSTAR - Aggressor 一个插件从上线到域控 实现内网漫游 本着简化 CS 右键和方便自己集成的目的，参考大量后渗透插件 重构和丰富了主机相关凭据获取、多级内网穿透、隐蔽计划任务、免杀的 Mimikatz 和克隆添加用户等功能 功能特性： 通过配合 CobaltStrike 的 TCP、SMB、Proxy 等不出网主机上线方式，穿透复杂网络环境 针对 RDP 相关、AddUser、LsassDump 等功能提供多种免杀执行方式，应对冷门环境 集成多个使用 WinAPI 或 Assembly 内存加载方式运行的影子用户、隐蔽计划任务等免杀功能 主要包含以下功能模块：...

Linpmem

Linpmem -- 一个用于 Linux 的物理内存获取工具 Linpmem 是一款仅适用于 Linux x64 的物理内存读取工具。 与其 Windows 版本 Winpmem 类似，这不是传统的内存转储工具。Linpmem 提供了一个从 任意 物理地址读取的 API，包括 保留内存 和 内存空洞 ，但它也可以用于常规内存转储。此外，该驱动提供了多种读取物理内存的访问模式，如字节、字、双字、四字和缓冲区访问模式，其中缓冲区访问模式适用于大多数标准情况。如果读取需要对齐的字节/字/双字/四字读取，Linpmem 将精确执行。 目前，Linpmem 的功能包括： 1...

LiMEaide

LiMEaide v2.0 作者：Daryl Bennett - kd8bnyatgmaildotcom 关于 LiMEaide 是一款 Python 应用程序，旨在远程或本地转储 Linux 客户端的 RAM，并创建 Volatility 配置文件，以便在本地主机上后续分析。希望这能简化远程环境下的 Linux 数字取证。使用 LiMEaide 只需提供远程 Linux 客户端的 IP 地址，然后就可以悠闲地享用你最喜欢的咖啡因饮料。 LiMEaide 有三种主要操作模式： 1. 远程模式 - 通过 SSH 建立连接，并通过 SFTP 传输数据。 2. Socket 模式 - 通过 S...

andriller

Andriller CE 社区版 Andriller 是一款包含多种智能手机取证工具集的软件工具。它能够对 Android 设备执行只读、符合取证规范、非破坏性的数据提取。其功能包括：强大的锁屏破解（图案、PIN码或密码）；为 Android（部分 Apple iOS 和 Windows）应用数据库提供自定义解码器，用于解码通信数据。提取和解码器可生成 HTML 和 Excel 格式的报告。 功能特性 自动化数据提取和解码 通过 Android 备份（Android 4.x 版本，支持程度各异/有限）从非 root 设备提取数据 使用 root 权限提取数据：root ADB...

gargamel

Gargamel 编译 已使用 Rust 1.50+ 完成编译和测试。 在项目目录中打开终端，输入以下命令编译 release 版本： cargo build --release 调试版本可使用以下命令编译： cargo build 编译后的可执行文件分别位于 target/release/gargamel.exe 或 target/debug/gargamel.exe。 设置日志级别 如果希望更改日志级别： 打开 src/main.rs 在第 42 和 43 行，将 LevelFilter::Info 改为（例如）LevelFilter::Trace 以获得更详细的日志。 注意...

MEAT

M.E.A.T. - 移动取证采集工具包 认识 M.E.A.T！ 来自 Jack Farley - BlackStone Discovery 此工具包旨在帮助取证人员对 iOS 设备（未来还将支持 Android）执行不同类型的采集工作。 从源码运行的要求 Windows 或 Linux Python 3.7.4 或 3.7.2 requirements.txt 中的 Pip 包 支持的采集类型 iOS 设备 逻辑采集 使用 MEAT 的逻辑采集标志将指示工具提取通过 AFC...