Menu
数字取证 — 磁盘/内存/网络取证、日志分析、时间线重建
Installer avec Codex ou Claude Copiez ce prompt, collez-le dans Codex, Claude ou un autre assistant, puis laissez-le vérifier la page du skill et l'installer pour vous.
Basé sur la classification professionnelle SOC
Delegate coding to OpenAI Codex CLI (features, PRs).
Configure, extend, or contribute to Hermes Agent.
Manage multiple remote servers from Hermes via SSH — deploy services, configure firewalls, transfer files, run commands across servers
Clone/create/fork repos; manage remotes, releases.
Parallel data collection from web sources, APIs, and documentation sites
Deploy static sites to GitHub Pages via API — create repo, push, enable Pages, all from CLI
| name | digital-forensics |
| description | 数字取证 — 磁盘/内存/网络取证、日志分析、时间线重建 |
| version | 1.0.0 |
| author | Hermes Agent |
| license | MIT |
| metadata | {"hermes":{"tags":["forensics","disk","memory","network","log-analysis","timeline","autopsy","volatility"]}} |
| 工具 | 用途 |
|---|---|
| Autopsy | 磁盘取证框架(GUI) |
| The Sleuth Kit (TSK) | 命令行磁盘取证 |
| Volatility | 内存取证 |
| Wireshark/tshark | 网络取证 |
| plaso/log2timeline | 日志时间线分析 |
| bulk_extractor | 批量数据提取 |
| Binwalk | 固件/嵌入文件分析 |
| foremost | 文件恢复 |
| testdisk | 分区恢复 |
| exiftool | 元数据提取 |
| Guymager | 磁盘镜像 |
| dc3dd | 安全磁盘镜像 |
| AFF4 | 取证镜像格式 |
| ELK Stack | 日志分析平台 |
| Chainsaw | Windows事件日志分析 |
| Eric Zimmerman工具 | Windows取证 |
| KAPE | Windows取证采集 |
# dd
sudo dd if=/dev/sda of=disk.img bs=4M status=progress
# dc3dd(带哈希)
sudo dc3dd if=/dev/sda of=disk.img hash=sha256 log=hash.log
# Guymager(GUI)
guymager &
# 验证镜像
md5sum /dev/sda
md5sum disk.img
sudo apt install sleuthkit
# 查看分区
mmls disk.img
# 查看文件系统
fsstat -o 2048 disk.img
# 列出文件
fls -o 2048 disk.img # 已删除的标*
fls -r -o 2048 disk.img # 递归
# 提取文件
icat -o 2048 disk.img 1234 > extracted_file
# 恢复删除文件
fls -d -o 2048 disk.img # 列出已删除
icat -o 2048 disk.img inode > recovered.file
# 时间线
mactime -b disk.img -d > timeline.csv
# 搜索文件
tsk_loaddisk -i raw disk.img
sudo apt install autopsy
autopsy &
# 浏览器打开 http://localhost:9999/autopsy
# 1. 创建Case
# 2. 添加数据源(镜像文件)
# 3. 分析: 文件浏览、关键词搜索、时间线、哈希匹配
# 安装
pip install volatility3
# 识别系统
vol -f memory.dmp windows.info
# 进程列表
vol -f memory.dmp windows.pslist
vol -f memory.dmp windows.pstree
# 网络连接
vol -f memory.dmp windows.netscan
# 命令行历史
vol -f memory.dmp windows.cmdline
# 注册表
vol -f memory.dmp windows.registry.hivelist
vol -f memory.dmp windows.registry.userassist
# DLL列表
vol -f memory.dmp windows.dlllist
# 文件列表
vol -f memory.dmp windows.filescan
vol -f memory.dmp windows.dumpfiles -Q 0x12345 -D output/
# 提取进程
vol -f memory.dmp windows.memmap -p 1234 --dump
# 恶意软件检测
vol -f memory.dmp windows.malfind
# 驱动列表
vol -f memory.dmp windows.modules
vol -f memory.dmp windows.modscan
# SSDT钩子检测
vol -f memory.dmp windows.ssdt
# 服务列表
vol -f memory.dmp windows.svcscan
# 计划任务
vol -f memory.dmp windows.tasks
vol -f memory.dmp linux.pslist
vol -f memory.dmp linux.bash
vol -f memory.dmp linux.check_syscall
vol -f memory.dmp linux.proc_maps
sudo apt install wireshark tshark
# 读取pcap
tshark -r capture.pcap
# 过滤HTTP
tshark -r capture.pcap -Y "http.request"
tshark -r capture.pcap -Y "http.request.full_uri"
# 过滤DNS
tshark -r capture.pcap -Y "dns"
# 过滤特定IP
tshark -r capture.pcap -Y "ip.addr == 192.168.1.100"
# 提取文件
tshark -r capture.pcap --export-objects http,output_dir/
tshark -r capture.pcap --export-objects smb,output_dir/
tshark -r capture.pcap --export-objects imf,output_dir/
# TCP流重组
tshark -r capture.pcap -z "follow,tcp,ascii,0"
# 统计
tshark -r capture.pcap -z "conv,tcp"
tshark -r capture.pcap -z "io,stat,1"
# 导出
tshark -r capture.pcap -Y "http" -Tfields -e http.host -e http.request.uri
1. 统计概览: endpoints, protocols, conversations
2. DNS查询: 找恶意域名
3. HTTP请求: 找C2通信、数据外泄
4. 文件提取: 从流量中恢复传输的文件
5. 异常检测: 非常规端口、长连接、大量数据传输
sudo apt install plaso
# 创建时间线
log2timeline.py timeline.plaso disk.img
# 导出为CSV
psort.py -o l2tcsv timeline.plaso -w timeline.csv
# 过滤时间范围
psort.py timeline.plaso "date > '2024-01-01' AND date < '2024-01-31'"
# 输出格式
psort.py -o json timeline.plaso -w timeline.json
# 安装
git clone https://github.com/WithSecureLabs/chainsaw.git
# 分析EVTX日志
chainsaw hunt evtx_logs/ -s sigma_rules/ --csv --output results/
# 搜索关键词
chainsaw search "mimikatz" evtx_logs/
chainsaw search "powershell" evtx_logs/
# 系统日志
cat /var/log/syslog
cat /var/log/auth.log
cat /var/log/kern.log
# 登录记录
last -f /var/log/wtmp
lastb -f /var/log/btmp
who /var/log/wtmp
# SSH日志
grep "sshd" /var/log/auth.log
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -rn
# Web日志
cat /var/log/apache2/access.log
cat /var/log/nginx/access.log
# 命令历史
cat ~/.bash_history
cat /root/.bash_history
# 导出事件日志
wevtutil epl Security security.evtx
wevtutil epl System system.evtx
wevtutil epl Application application.evtx
# PowerShell查询
Get-WinEvent -LogName Security -FilterXPath "*[System[EventID=4624]]" | Select-Object -First 10
Get-WinEvent -LogName Security -FilterXPath "*[System[EventID=4625]]" # 登录失败
# 关键事件ID
4624 - 登录成功
4625 - 登录失败
4672 - 特权分配
4688 - 进程创建
4720 - 账户创建
4732 - 组成员变更
1102 - 日志清除
sudo apt install foremost
# 恢复所有文件类型
foremost -i disk.img -o output/
# 指定文件类型
foremost -t jpg,png,pdf -i disk.img -o output/
# 从原始设备
foremost -i /dev/sdb -o /tmp/recovered/
sudo apt install testdisk
# 恢复分区
testdisk disk.img
# 恢复文件
photorec disk.img
sudo apt install libimage-exiftool-perl
# 查看元数据
exiftool image.jpg
exiftool document.pdf
exiftool video.mp4
# 提取GPS坐标
exiftool -GPSLatitude -GPSLongitude image.jpg
# 提取所有文件的元数据
exiftool -r /path/to/directory/
# 移除元数据
exiftool -all= image.jpg
# 隐写分析
steghide extract -sf image.jpg
stegsolve image.png
# strings
strings image.jpg | grep -i "flag\|password\|key"
# binwalk
binwalk -e image.png
# 从磁盘镜像
log2timeline.py timeline.plaso disk.img
psort.py timeline.plaso -o l2tcsv -w timeline.csv
# 从内存
vol -f memory.dmp timeliner
# 合并多源
psort.py timeline1.plaso timeline2.plaso -o l2tcsv -w combined.csv
# 可视化
# 导入到Excel/Tableau/ELK
1. 事件发生的顺序
2. 恶意软件首次出现的时间
3. 横向移动路径
4. 数据外泄时间点
5. 日志是否有被清除的迹象
6. 文件创建/修改/访问时间
7. 注册表修改时间
8. 网络连接时间线
# 导出容器文件系统
docker export container_id > container.tar
# 查看容器日志
docker logs container_id
# 检查容器进程
docker top container_id
# 容器镜像检查
docker inspect image_name
docker history image_name
# 文件系统差异
docker diff container_id
# EBS快照
aws ec2 create-snapshot --volume-id vol-xxx
# CloudTrail日志
aws logs filter-log-events --log-group-name CloudTrail
# S3访问日志
aws s3api get-bucket-logging --bucket my-bucket