Menü
数字取证 — 磁盘/内存/网络取证、日志分析、时间线重建
Mit Codex oder Claude installieren Kopieren Sie diesen Prompt, fügen Sie ihn in Codex, Claude oder einen anderen Assistant ein und lassen Sie die Skill-Seite prüfen und installieren.
Basierend auf der SOC-Berufsklassifikation
Delegate coding to OpenAI Codex CLI (features, PRs).
Configure, extend, or contribute to Hermes Agent.
Manage multiple remote servers from Hermes via SSH — deploy services, configure firewalls, transfer files, run commands across servers
Clone/create/fork repos; manage remotes, releases.
Parallel data collection from web sources, APIs, and documentation sites
Deploy static sites to GitHub Pages via API — create repo, push, enable Pages, all from CLI
| name | digital-forensics |
| description | 数字取证 — 磁盘/内存/网络取证、日志分析、时间线重建 |
| version | 1.0.0 |
| author | Hermes Agent |
| license | MIT |
| metadata | {"hermes":{"tags":["forensics","disk","memory","network","log-analysis","timeline","autopsy","volatility"]}} |
| 工具 | 用途 |
|---|---|
| Autopsy | 磁盘取证框架(GUI) |
| The Sleuth Kit (TSK) | 命令行磁盘取证 |
| Volatility | 内存取证 |
| Wireshark/tshark | 网络取证 |
| plaso/log2timeline | 日志时间线分析 |
| bulk_extractor | 批量数据提取 |
| Binwalk | 固件/嵌入文件分析 |
| foremost | 文件恢复 |
| testdisk | 分区恢复 |
| exiftool | 元数据提取 |
| Guymager | 磁盘镜像 |
| dc3dd | 安全磁盘镜像 |
| AFF4 | 取证镜像格式 |
| ELK Stack | 日志分析平台 |
| Chainsaw | Windows事件日志分析 |
| Eric Zimmerman工具 | Windows取证 |
| KAPE | Windows取证采集 |
# dd
sudo dd if=/dev/sda of=disk.img bs=4M status=progress
# dc3dd(带哈希)
sudo dc3dd if=/dev/sda of=disk.img hash=sha256 log=hash.log
# Guymager(GUI)
guymager &
# 验证镜像
md5sum /dev/sda
md5sum disk.img
sudo apt install sleuthkit
# 查看分区
mmls disk.img
# 查看文件系统
fsstat -o 2048 disk.img
# 列出文件
fls -o 2048 disk.img # 已删除的标*
fls -r -o 2048 disk.img # 递归
# 提取文件
icat -o 2048 disk.img 1234 > extracted_file
# 恢复删除文件
fls -d -o 2048 disk.img # 列出已删除
icat -o 2048 disk.img inode > recovered.file
# 时间线
mactime -b disk.img -d > timeline.csv
# 搜索文件
tsk_loaddisk -i raw disk.img
sudo apt install autopsy
autopsy &
# 浏览器打开 http://localhost:9999/autopsy
# 1. 创建Case
# 2. 添加数据源(镜像文件)
# 3. 分析: 文件浏览、关键词搜索、时间线、哈希匹配
# 安装
pip install volatility3
# 识别系统
vol -f memory.dmp windows.info
# 进程列表
vol -f memory.dmp windows.pslist
vol -f memory.dmp windows.pstree
# 网络连接
vol -f memory.dmp windows.netscan
# 命令行历史
vol -f memory.dmp windows.cmdline
# 注册表
vol -f memory.dmp windows.registry.hivelist
vol -f memory.dmp windows.registry.userassist
# DLL列表
vol -f memory.dmp windows.dlllist
# 文件列表
vol -f memory.dmp windows.filescan
vol -f memory.dmp windows.dumpfiles -Q 0x12345 -D output/
# 提取进程
vol -f memory.dmp windows.memmap -p 1234 --dump
# 恶意软件检测
vol -f memory.dmp windows.malfind
# 驱动列表
vol -f memory.dmp windows.modules
vol -f memory.dmp windows.modscan
# SSDT钩子检测
vol -f memory.dmp windows.ssdt
# 服务列表
vol -f memory.dmp windows.svcscan
# 计划任务
vol -f memory.dmp windows.tasks
vol -f memory.dmp linux.pslist
vol -f memory.dmp linux.bash
vol -f memory.dmp linux.check_syscall
vol -f memory.dmp linux.proc_maps
sudo apt install wireshark tshark
# 读取pcap
tshark -r capture.pcap
# 过滤HTTP
tshark -r capture.pcap -Y "http.request"
tshark -r capture.pcap -Y "http.request.full_uri"
# 过滤DNS
tshark -r capture.pcap -Y "dns"
# 过滤特定IP
tshark -r capture.pcap -Y "ip.addr == 192.168.1.100"
# 提取文件
tshark -r capture.pcap --export-objects http,output_dir/
tshark -r capture.pcap --export-objects smb,output_dir/
tshark -r capture.pcap --export-objects imf,output_dir/
# TCP流重组
tshark -r capture.pcap -z "follow,tcp,ascii,0"
# 统计
tshark -r capture.pcap -z "conv,tcp"
tshark -r capture.pcap -z "io,stat,1"
# 导出
tshark -r capture.pcap -Y "http" -Tfields -e http.host -e http.request.uri
1. 统计概览: endpoints, protocols, conversations
2. DNS查询: 找恶意域名
3. HTTP请求: 找C2通信、数据外泄
4. 文件提取: 从流量中恢复传输的文件
5. 异常检测: 非常规端口、长连接、大量数据传输
sudo apt install plaso
# 创建时间线
log2timeline.py timeline.plaso disk.img
# 导出为CSV
psort.py -o l2tcsv timeline.plaso -w timeline.csv
# 过滤时间范围
psort.py timeline.plaso "date > '2024-01-01' AND date < '2024-01-31'"
# 输出格式
psort.py -o json timeline.plaso -w timeline.json
# 安装
git clone https://github.com/WithSecureLabs/chainsaw.git
# 分析EVTX日志
chainsaw hunt evtx_logs/ -s sigma_rules/ --csv --output results/
# 搜索关键词
chainsaw search "mimikatz" evtx_logs/
chainsaw search "powershell" evtx_logs/
# 系统日志
cat /var/log/syslog
cat /var/log/auth.log
cat /var/log/kern.log
# 登录记录
last -f /var/log/wtmp
lastb -f /var/log/btmp
who /var/log/wtmp
# SSH日志
grep "sshd" /var/log/auth.log
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -rn
# Web日志
cat /var/log/apache2/access.log
cat /var/log/nginx/access.log
# 命令历史
cat ~/.bash_history
cat /root/.bash_history
# 导出事件日志
wevtutil epl Security security.evtx
wevtutil epl System system.evtx
wevtutil epl Application application.evtx
# PowerShell查询
Get-WinEvent -LogName Security -FilterXPath "*[System[EventID=4624]]" | Select-Object -First 10
Get-WinEvent -LogName Security -FilterXPath "*[System[EventID=4625]]" # 登录失败
# 关键事件ID
4624 - 登录成功
4625 - 登录失败
4672 - 特权分配
4688 - 进程创建
4720 - 账户创建
4732 - 组成员变更
1102 - 日志清除
sudo apt install foremost
# 恢复所有文件类型
foremost -i disk.img -o output/
# 指定文件类型
foremost -t jpg,png,pdf -i disk.img -o output/
# 从原始设备
foremost -i /dev/sdb -o /tmp/recovered/
sudo apt install testdisk
# 恢复分区
testdisk disk.img
# 恢复文件
photorec disk.img
sudo apt install libimage-exiftool-perl
# 查看元数据
exiftool image.jpg
exiftool document.pdf
exiftool video.mp4
# 提取GPS坐标
exiftool -GPSLatitude -GPSLongitude image.jpg
# 提取所有文件的元数据
exiftool -r /path/to/directory/
# 移除元数据
exiftool -all= image.jpg
# 隐写分析
steghide extract -sf image.jpg
stegsolve image.png
# strings
strings image.jpg | grep -i "flag\|password\|key"
# binwalk
binwalk -e image.png
# 从磁盘镜像
log2timeline.py timeline.plaso disk.img
psort.py timeline.plaso -o l2tcsv -w timeline.csv
# 从内存
vol -f memory.dmp timeliner
# 合并多源
psort.py timeline1.plaso timeline2.plaso -o l2tcsv -w combined.csv
# 可视化
# 导入到Excel/Tableau/ELK
1. 事件发生的顺序
2. 恶意软件首次出现的时间
3. 横向移动路径
4. 数据外泄时间点
5. 日志是否有被清除的迹象
6. 文件创建/修改/访问时间
7. 注册表修改时间
8. 网络连接时间线
# 导出容器文件系统
docker export container_id > container.tar
# 查看容器日志
docker logs container_id
# 检查容器进程
docker top container_id
# 容器镜像检查
docker inspect image_name
docker history image_name
# 文件系统差异
docker diff container_id
# EBS快照
aws ec2 create-snapshot --volume-id vol-xxx
# CloudTrail日志
aws logs filter-log-events --log-group-name CloudTrail
# S3访问日志
aws s3api get-bucket-logging --bucket my-bucket