Lista de comandos

Los analizadores individuales se agrupan según su tipo de origen. Ejecute juntei --help, juntei <SOURCE> --help o juntei <SOURCE> <ARTIFACT> --help para explorarlos:

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

Para una recopilación de evidencias de Windows de varios equipos, utilice juntei auto-parse -d <EVIDENCE> -o <OUTPUT>. Invoca los mismos comandos agrupados y organiza los resultados y los registros por equipo y por categoría de investigación.

Para obtener una línea de tiempo que abarque los artefactos analizados, utilice juntei super-timeline -d <PARSED> -o SuperTimeline.csv. Expande las marcas de tiempo y etiqueta su significado. La salida no se ordena de forma predeterminada; añada --sort para obtener un orden cronológico y consolidar los duplicados. auto-parse -j sigue conservando los registros nativos.

Imágenes de disco

Comando	Entrada	Guía detallada
mount	Imagen de disco VHDX / E01 / Ex01	Montar imágenes de disco

Comandos ESE

Comando	Artefacto de entrada	Guía detallada
parse-ese srum	ESE SRUDB.dat	SRUM
parse-ese ual	ESE Current.mdb, {GUID}.mdb, SystemIdentity.mdb	Registro de acceso de usuarios (UAL)
parse-ese webcache	ESE WebCacheV01.dat	Internet Explorer y Edge heredado

Comandos de archivos

Comando	Artefacto de entrada	Guía detallada
parse-file defender-quarantine	Árbol o entrada de la cuarentena de Defender	Cuarentena de Defender
parse-file jump-lists	*.automaticDestinations-ms, *.customDestinations-ms	Jump Lists
parse-file lnk	*.lnk	Accesos directos LNK
parse-file outlook	*.pst, *.ost, *.msg, *.oft	Outlook
parse-file prefetch	*.pf	Prefetch

Comandos NTFS

Comando	Artefacto de entrada	Guía detallada
parse-ntfs boot	$Boot o una imagen de volumen NTFS	Sector de arranque ($Boot)
parse-ntfs i30	$I30 ($INDEX_ALLOCATION) o una imagen de disco	Índices de directorios ($I30)
parse-ntfs logfile	$LogFile de NTFS	Registro de transacciones NTFS
parse-ntfs mft	$MFT de NTFS	Tabla maestra de archivos
parse-ntfs secure-sds	$Secure:$SDS ($Secure_$SDS)	Descriptores de seguridad ($Secure:$SDS)
parse-ntfs usn-journal	$UsnJrnl:$J	Diario USN

Comandos del Registro

Comando	Artefacto de entrada	Guía detallada
parse-registry amcache	Amcache.hve	Amcache
parse-registry networks	SOFTWARE, SYSTEM	Redes
parse-registry lsa-secrets	SECURITY	Secretos LSA
parse-registry bcd	BCD (y BCD-Template)	Configuración de arranque (BCD)
parse-registry app-compat	SOFTWARE, NTUSER.DAT	Compatibilidad de aplicaciones
parse-registry auditpol	SECURITY	Directiva de auditoría
parse-registry office	NTUSER.DAT	Microsoft Office
parse-registry feature-usage	NTUSER.DAT	FeatureUsage, RecentApps y elementos anclados a la barra de tareas
parse-registry app-history	NTUSER.DAT	Historial de aplicaciones
parse-registry mru	NTUSER.DAT	Listas de elementos usados recientemente
parse-registry bam	SYSTEM (con SAM y SOFTWARE para los nombres de usuario)	BAM / DAM
parse-registry muicache	UsrClass.dat (NTUSER.DAT en Windows XP)	MuiCache
parse-registry installed-programs	SOFTWARE, NTUSER.DAT	Programas instalados
parse-registry open-save-mru	NTUSER.DAT	Cuadros de diálogo Abrir y Guardar como
parse-registry persistence	SOFTWARE, SYSTEM, NTUSER.DAT, UsrClass.dat	Inicio automático en el Registro
parse-registry read	Cualquier hive principal del Registro	Hives del Registro
parse-registry recent-docs	NTUSER.DAT	RecentDocs
parse-registry remote-access	NTUSER.DAT (con SOFTWARE para los SID de usuario)	Acceso remoto (lado del usuario)
parse-registry sam	SAM	Cuentas locales SAM
parse-registry security-settings	SOFTWARE, SYSTEM, NTUSER.DAT	Configuración de seguridad
parse-registry services	SYSTEM	Servicios de Windows
parse-registry shimcache	SYSTEM o un valor AppCompatCache exportado	ShimCache
parse-registry system-info	SYSTEM, SOFTWARE, SAM, SECURITY de un mismo sistema	Información del sistema
parse-registry taskcache	SOFTWARE	Caché del Programador de tareas
parse-registry usb	SYSTEM, con SOFTWARE y NTUSER.DAT	Dispositivos USB
parse-registry user-assist	NTUSER.DAT	UserAssist
parse-registry shell-bags	UsrClass.dat, NTUSER.DAT	ShellBags

Comandos SQLite

Comando	Artefacto de entrada	Guía detallada
parse-sqlite browser	History, Cookies, Web Data, places.sqlite, cookies.sqlite, formhistory.sqlite	Navegadores web

Tipos de origen y cambios de formato

Los grupos describen los formatos que Juntei admite actualmente. parse-registry amcache lee Amcache.hve; no implica compatibilidad con las bases de datos de inventario de Amcache en SQLite. Los crates de los analizadores de artefactos se mantienen separados para que la compatibilidad con otro formato de almacenamiento pueda añadirse de forma independiente.

Los antiguos nombres planos de los analizadores se han sustituido por las rutas de origen y artefacto indicadas arriba. Mantenga las opciones existentes del analizador después del nombre del artefacto. auto-parse y los subcomandos del Registro existentes conservan sus nombres.

Persistence Hunter

juntei persistence-hunter busca en varios formatos de origen, por lo que es un comando de análisis de nivel superior. Complementa el inventario completo de la configuración de parse-registry persistence con 131 comprobaciones, clasificación de permitidos y bloqueados, metadatos de las cargas útiles, cobertura y correlación de marcas de tiempo.

Uso de nivel superior

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

Las páginas de cada origen reproducen el uso de los comandos y ofrecen ejemplos breves. Las guías de artefactos explican la evidencia, los campos de salida, las limitaciones y la estrategia de investigación.