أساليب الإخراج الشائعة

أثر رقمي واحد أو مجموعة مجمّعة

juntei parse-file prefetch -f 'Prefetch/POWERSHELL.EXE-12345678.pf'
juntei parse-file prefetch -d evidence/

يبحث -d بشكل تكراري عن الملفات المناسبة لذلك الأمر. وتميّز أعمدة مسار المصدر بين المضيفين والآثار الرقمية في الإخراج المدمج.

حفظ CSV

juntei parse-file prefetch -d evidence/ -o prefetch.csv

تحتاج بعض المحللات إلى مجلد لأنها تُخرج عدة جداول CSV:

juntei parse-registry amcache -f Amcache.hve -o amcache-tables
juntei parse-ese srum -f SRUDB.dat -o srum-tables
juntei parse-file jump-lists -d evidence/ -o jump-list-tables

بث JSONL

juntei parse-registry services -d evidence/ -t jsonl \
  | jq -c 'select(.ImagePath? | test("temp|public"; "i"))'

تُرسل الرسائل ومؤشرات التقدم إلى الخطأ القياسي (standard error)؛ ويبقى الإخراج القياسي قابلًا للتحليل.

الكتابة فوق الملفات عن قصد

يرفض Juntei افتراضيًا الكتابة فوق إخراج موجود. تأكد من الهدف، واحتفظ بأي نتيجة سابقة مهمة، ثم أضف -C / --clobber:

juntei parse-file prefetch -d evidence/ -o prefetch.csv --clobber

الوضع الصامت ووضع إلغاء الألوان

استخدم -q للأتمتة و-K عندما تكون رموز ألوان الطرفية غير مناسبة:

juntei parse-ntfs mft -f '$MFT' -o mft.csv -q -K

حالة الأحرف والمسارات

ضع مسارات Windows التي تحتوي على مسافات، أو $، أو أحرف الصدفة الخاصة (shell metacharacters)، أو الشرطات المائلة العكسية بين علامات اقتباس حسب ما تتطلبه الصدفة لديك. وفي الصدفات المشابهة لـ Bash، تمنع علامات الاقتباس المفردة تحوّل $MFT و$J إلى متغيرات:

juntei parse-ntfs mft -f '/evidence/C/$MFT' -o mft.csv