قائمة الأوامر¶

تُجمَّع المحللات الفردية حسب نوع مصدرها. شغّل juntei --help أو juntei <SOURCE> --help أو juntei <SOURCE> <ARTIFACT> --help لاستكشافها:

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

لمجموعة أدلة Windows مجمعة من عدة حواسيب، استخدم juntei auto-parse -d <EVIDENCE> -o <OUTPUT>. فهو يستدعي الأوامر المجمعة نفسها، وينظّم النتائج والسجلات حسب الحاسوب وفئة التحقيق.

للحصول على جدول زمني يشمل الآثار الرقمية المحللة، استخدم juntei super-timeline -d <PARSED> -o SuperTimeline.csv. فهو يوسّع الطوابع الزمنية ويَسِم معنى كلٍّ منها. والإخراج غير مرتب افتراضيًا؛ أضف --sort للحصول على ترتيب زمني ودمج للتكرارات. ويواصل auto-parse -j الاحتفاظ بالسجلات الأصلية.

صور الأقراص ¶

الأمر	المُدخل	الدليل التفصيلي
`mount`	صورة قرص VHDX / E01 / Ex01 ‏	تحميل صور الأقراص

أوامر ESE ¶

الأمر	الأثر الرقمي المُدخل	الدليل التفصيلي
`parse-ese srum`	ملف ESE `SRUDB.dat`	SRUM
`parse-ese ual`	ملفات ESE `Current.mdb` و`{GUID}.mdb` و`SystemIdentity.mdb`	تسجيل وصول المستخدمين (UAL)
`parse-ese webcache`	ملف ESE `WebCacheV01.dat`	Internet Explorer وEdge القديم

أوامر الملفات ¶

الأمر	الأثر الرقمي المُدخل	الدليل التفصيلي
`parse-file defender-quarantine`	شجرة حجر Defender أو أحد إدخالاتها	حجر Defender
`parse-file jump-lists`	`.automaticDestinations-ms`، `.customDestinations-ms`	Jump Lists
`parse-file lnk`	`*.lnk`	اختصارات LNK
`parse-file outlook`	`.pst`، `.ost`، `.msg`، `.oft`	Outlook
`parse-file prefetch`	`*.pf`	Prefetch

أوامر NTFS ¶

الأمر	الأثر الرقمي المُدخل	الدليل التفصيلي
`parse-ntfs boot`	`$Boot`، أو صورة وحدة تخزين NTFS	قطاع الإقلاع ($Boot)
`parse-ntfs i30`	`$I30` (`$INDEX_ALLOCATION`)، أو صورة قرص	فهارس المجلدات ($I30)
`parse-ntfs logfile`	الملف `$LogFile` في NTFS	سجل معاملات NTFS
`parse-ntfs mft`	الملف `$MFT` في NTFS	جدول الملفات الرئيسي
`parse-ntfs secure-sds`	`$Secure:$SDS` (`$Secure_$SDS`)	واصفات الأمان ($Secure:$SDS)
`parse-ntfs usn-journal`	`$UsnJrnl:$J`	دفتر يومية USN

أوامر سجل Windows ¶

الأمر	الأثر الرقمي المُدخل	الدليل التفصيلي
`parse-registry amcache`	`Amcache.hve`	Amcache
`parse-registry networks`	`SOFTWARE`، `SYSTEM`	الشبكات
`parse-registry lsa-secrets`	`SECURITY`	أسرار LSA
`parse-registry bcd`	`BCD` (و`BCD-Template`)	بيانات تكوين الإقلاع (BCD)
`parse-registry app-compat`	`SOFTWARE`، `NTUSER.DAT`	توافق التطبيقات
`parse-registry auditpol`	`SECURITY`	نهج التدقيق
`parse-registry office`	`NTUSER.DAT`	Microsoft Office
`parse-registry feature-usage`	`NTUSER.DAT`	FeatureUsage وRecentApps والعناصر المثبتة على شريط المهام
`parse-registry app-history`	`NTUSER.DAT`	سجل التطبيقات
`parse-registry mru`	`NTUSER.DAT`	قوائم العناصر المستخدمة مؤخرًا (MRU)
`parse-registry bam`	`SYSTEM` (مع `SAM` و`SOFTWARE` لأسماء المستخدمين)	BAM / DAM
`parse-registry muicache`	`UsrClass.dat` (`NTUSER.DAT` في Windows XP)	MuiCache
`parse-registry installed-programs`	`SOFTWARE`، `NTUSER.DAT`	البرامج المثبتة
`parse-registry open-save-mru`	`NTUSER.DAT`	مربعات حوار الفتح والحفظ باسم
`parse-registry persistence`	`SOFTWARE`، `SYSTEM`، `NTUSER.DAT`، `UsrClass.dat`	التشغيل التلقائي عبر سجل Windows
`parse-registry read`	أي خلية أساسية من خلايا سجل Windows	خلايا سجل Windows
`parse-registry recent-docs`	`NTUSER.DAT`	RecentDocs
`parse-registry remote-access`	`NTUSER.DAT` (مع `SOFTWARE` لمعرّفات SID الخاصة بالمستخدمين)	الوصول عن بُعد (جهة المستخدم)
`parse-registry sam`	`SAM`	حسابات SAM المحلية
`parse-registry security-settings`	`SOFTWARE`، `SYSTEM`، `NTUSER.DAT`	إعدادات الأمان
`parse-registry services`	`SYSTEM`	خدمات Windows
`parse-registry shimcache`	`SYSTEM` أو قيمة AppCompatCache مُصدَّرة	ShimCache
`parse-registry system-info`	`SYSTEM` و`SOFTWARE` و`SAM` و`SECURITY` لنظام واحد	معلومات النظام
`parse-registry taskcache`	`SOFTWARE`	ذاكرة التخزين المؤقت لجدولة المهام
`parse-registry usb`	`SYSTEM`، مع `SOFTWARE` و`NTUSER.DAT`	أجهزة USB
`parse-registry user-assist`	`NTUSER.DAT`	UserAssist
`parse-registry shell-bags`	`UsrClass.dat`، `NTUSER.DAT`	ShellBags

أوامر SQLite ¶

الأمر	الأثر الرقمي المُدخل	الدليل التفصيلي
`parse-sqlite browser`	`History`، `Cookies`، `Web Data`، `places.sqlite`، `cookies.sqlite`، `formhistory.sqlite`	متصفحات الويب

أنواع المصادر وتغييرات التنسيق¶

تصف المجموعات التنسيقات التي يدعمها Juntei حاليًا. يقرأ parse-registry amcache الملف Amcache.hve؛ ولا يعني ذلك دعم قواعد بيانات جرد Amcache بتنسيق SQLite. وتظل حزم (crates) محللات الآثار الرقمية منفصلة، بحيث يمكن إضافة دعم تنسيق تخزين آخر بشكل مستقل.

استُبدلت أسماء المحللات السابقة ذات المستوى الواحد بمسارات المصدر والأثر الرقمي الموضحة أعلاه. ضع خيارات المحلل الحالية بعد اسم الأثر الرقمي كما هي. ويحتفظ auto-parse والأوامر الفرعية الحالية لسجل Windows بأسمائها.

Persistence Hunter ¶

يبحث juntei persistence-hunter عبر عدة تنسيقات مصدرية، ولذلك فهو أمر تحليل من المستوى الأعلى. وهو يكمّل الجرد الكامل للتكوين الذي يوفره parse-registry persistence بما يلي: 131 فحصًا، وتصنيف السماح/الحظر، والبيانات الوصفية للحمولة، والتغطية، والربط بين الطوابع الزمنية.

الاستخدام على المستوى الأعلى¶

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

تعرض صفحات المصادر طريقة استخدام الأوامر وتقدم أمثلة قصيرة. أما الأدلة الإرشادية للآثار الرقمية فتشرح الأدلة، وحقول الإخراج، والقيود، واستراتيجية التحقيق.

قائمة الأوامر¶

صور الأقراص¶

أوامر ESE¶

أوامر الملفات¶

أوامر NTFS¶

أوامر سجل Windows¶

أوامر SQLite¶