Befehlsliste

Die einzelnen Parser sind nach ihrem Quelltyp gruppiert. Führen Sie juntei --help, juntei <SOURCE> --help oder juntei <SOURCE> <ARTIFACT> --help aus, um sie zu erkunden:

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

Für eine Windows-Beweissammlung von mehreren Computern verwenden Sie juntei auto-parse -d <EVIDENCE> -o <OUTPUT>. Der Befehl ruft dieselben gruppierten Befehle auf und organisiert Ergebnisse und Protokolle nach Computer und Untersuchungskategorie.

juntei super-timeline -d <PARSED> -o SuperTimeline.csv erzeugt eine Timeline aus geparsten Artefakten und kennzeichnet die Bedeutung der Zeiten. Die Ausgabe ist standardmäßig unsortiert; --sort sortiert chronologisch und führt Duplikate zusammen. auto-parse -j behält weiterhin die nativen Datensätze bei.

Disk-Images

Befehl	Eingabe	Ausführlicher Leitfaden
mount	VHDX / E01 / Ex01-Disk-Image	Disk-Images einbinden

ESE-Befehle

Befehl	Eingabeartefakt	Ausführlicher Leitfaden
parse-ese srum	ESE SRUDB.dat	SRUM
parse-ese ual	ESE Current.mdb, {GUID}.mdb, SystemIdentity.mdb	Benutzerzugriffsprotokollierung (UAL)
parse-ese webcache	ESE WebCacheV01.dat	Internet Explorer und Edge Legacy

Dateibefehle

Befehl	Eingabeartefakt	Ausführlicher Leitfaden
parse-file defender-quarantine	Defender-Quarantäneverzeichnis oder -eintrag	Defender-Quarantäne
parse-file jump-lists	*.automaticDestinations-ms, *.customDestinations-ms	Jump Lists
parse-file lnk	*.lnk	LNK-Verknüpfungen
parse-file outlook	*.pst, *.ost, *.msg, *.oft	Outlook
parse-file prefetch	*.pf	Prefetch

NTFS-Befehle

Befehl	Eingabeartefakt	Ausführlicher Leitfaden
parse-ntfs boot	$Boot oder ein NTFS-Volume-Image	Bootsektor ($Boot)
parse-ntfs i30	$I30 ($INDEX_ALLOCATION) oder ein Datenträger-Image	Verzeichnisindizes ($I30)
parse-ntfs logfile	NTFS $LogFile	NTFS-Transaktionsprotokoll
parse-ntfs mft	NTFS $MFT	Master File Table
parse-ntfs secure-sds	$Secure:$SDS ($Secure_$SDS)	Sicherheitsbeschreibungen ($Secure:$SDS)
parse-ntfs usn-journal	$UsnJrnl:$J	USN-Journal

Registry-Befehle

Befehl	Eingabeartefakt	Ausführlicher Leitfaden
parse-registry amcache	Amcache.hve	Amcache
parse-registry networks	SOFTWARE, SYSTEM	Netzwerke
parse-registry lsa-secrets	SECURITY	LSA-Secrets
parse-registry bcd	BCD (und BCD-Template)	Startkonfigurationsdaten (BCD)
parse-registry app-compat	SOFTWARE, NTUSER.DAT	Anwendungskompatibilität
parse-registry auditpol	SECURITY	Überwachungsrichtlinie
parse-registry office	NTUSER.DAT	Microsoft Office
parse-registry feature-usage	NTUSER.DAT	FeatureUsage, RecentApps und an die Taskleiste angeheftete Elemente
parse-registry app-history	NTUSER.DAT	Anwendungsverlauf
parse-registry mru	NTUSER.DAT	Listen zuletzt verwendeter Elemente (MRU)
parse-registry bam	SYSTEM (mit SAM, SOFTWARE für Benutzernamen)	BAM / DAM
parse-registry muicache	UsrClass.dat (NTUSER.DAT unter Windows XP)	MuiCache
parse-registry installed-programs	SOFTWARE, NTUSER.DAT	Installierte Programme
parse-registry open-save-mru	NTUSER.DAT	Dialoge zum Öffnen und Speichern unter
parse-registry persistence	SOFTWARE, SYSTEM, NTUSER.DAT, UsrClass.dat	Registry-Autostarts
parse-registry read	Beliebiger primärer Registry-Hive	Registry-Hives
parse-registry recent-docs	NTUSER.DAT	RecentDocs
parse-registry remote-access	NTUSER.DAT (mit SOFTWARE für Benutzer-SIDs)	Fernzugriff (Benutzerseite)
parse-registry sam	SAM	Lokale SAM-Konten
parse-registry security-settings	SOFTWARE, SYSTEM, NTUSER.DAT	Sicherheitseinstellungen
parse-registry services	SYSTEM	Windows-Dienste
parse-registry shimcache	SYSTEM oder ein exportierter AppCompatCache-Wert	ShimCache
parse-registry system-info	SYSTEM, SOFTWARE, SAM, SECURITY eines Systems	Systeminformationen
parse-registry taskcache	SOFTWARE	Aufgabenplaner-Cache
parse-registry usb	SYSTEM, mit SOFTWARE und NTUSER.DAT	USB-Geräte
parse-registry user-assist	NTUSER.DAT	UserAssist
parse-registry shell-bags	UsrClass.dat, NTUSER.DAT	ShellBags

SQLite-Befehle

Befehl	Eingabeartefakt	Ausführlicher Leitfaden
parse-sqlite browser	History, Cookies, Web Data, places.sqlite, cookies.sqlite, formhistory.sqlite	Webbrowser

Quelltypen und Formatänderungen

Die Gruppen beschreiben die Formate, die Juntei derzeit unterstützt. parse-registry amcache liest Amcache.hve; dies impliziert keine Unterstützung für SQLite-basierte Amcache-Inventardatenbanken. Die Parser-Crates für Artefakte bleiben getrennt, sodass die Unterstützung für ein weiteres Speicherformat unabhängig hinzugefügt werden kann.

Die früheren flachen Parser-Namen wurden durch die oben genannten Pfade aus Quelle und Artefakt ersetzt. Behalten Sie bestehende Parser-Optionen nach dem Artefaktnamen bei. auto-parse und die bestehenden Registry-Unterbefehle behalten ihre Namen.

Persistence Hunter

juntei persistence-hunter sucht über mehrere Quellformate hinweg und ist daher ein Analysebefehl der obersten Ebene. Er ergänzt das vollständige Konfigurationsinventar aus parse-registry persistence um 131 Prüfungen, Allow-/Block-Klassifizierung, Payload-Metadaten, Abdeckung und Zeitstempelkorrelation.

Verwendung auf oberster Ebene

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

Die Quellseiten geben die Befehlsverwendung wieder und enthalten kurze Beispiele. Die Artefaktleitfäden erläutern die Beweise, Ausgabefelder, Einschränkungen und die Untersuchungsstrategie.