Liste des commandes

Les parseurs individuels sont regroupés par type de source. Exécutez juntei --help, juntei <SOURCE> --help ou juntei <SOURCE> <ARTIFACT> --help pour les explorer :

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

Pour une collecte de preuves Windows portant sur plusieurs ordinateurs, utilisez juntei auto-parse -d <EVIDENCE> -o <OUTPUT>. Elle invoque les mêmes commandes regroupées et organise les résultats et les journaux par ordinateur et par catégorie d'investigation.

Pour une chronologie des artefacts analysés, utilisez juntei super-timeline -d <PARSED> -o SuperTimeline.csv. La commande développe les dates et en étiquette la signification. La sortie n'est pas triée par défaut ; ajoutez --sort pour l'ordre chronologique et la consolidation des doublons. auto-parse -j conserve toujours les données natives.

Images disque

Commande	Entrée	Guide détaillé
mount	Image disque VHDX / E01 / Ex01	Monter des images disque

Commandes ESE

Commande	Artefact d'entrée	Guide détaillé
parse-ese srum	ESE SRUDB.dat	SRUM
parse-ese ual	ESE Current.mdb, {GUID}.mdb, SystemIdentity.mdb	Journalisation des accès utilisateur (UAL)
parse-ese webcache	ESE WebCacheV01.dat	Internet Explorer et l'ancien Edge

Commandes de fichiers

Commande	Artefact d'entrée	Guide détaillé
parse-file defender-quarantine	Arborescence ou entrée de quarantaine Defender	Quarantaine Defender
parse-file jump-lists	*.automaticDestinations-ms, *.customDestinations-ms	Jump Lists
parse-file lnk	*.lnk	Raccourcis LNK
parse-file outlook	*.pst, *.ost, *.msg, *.oft	Outlook
parse-file prefetch	*.pf	Prefetch

Commandes NTFS

Commande	Artefact d'entrée	Guide détaillé
parse-ntfs boot	$Boot, ou une image de volume NTFS	Secteur de démarrage ($Boot)
parse-ntfs i30	$I30 ($INDEX_ALLOCATION), ou une image de disque	Index de répertoires ($I30)
parse-ntfs logfile	$LogFile NTFS	Journal des transactions NTFS
parse-ntfs mft	$MFT NTFS	Table de fichiers principale
parse-ntfs secure-sds	$Secure:$SDS ($Secure_$SDS)	Descripteurs de sécurité ($Secure:$SDS)
parse-ntfs usn-journal	$UsnJrnl:$J	Journal USN

Commandes du Registre

Commande	Artefact d'entrée	Guide détaillé
parse-registry amcache	Amcache.hve	Amcache
parse-registry networks	SOFTWARE, SYSTEM	Réseaux
parse-registry lsa-secrets	SECURITY	Secrets LSA
parse-registry bcd	BCD (et BCD-Template)	Configuration de démarrage (BCD)
parse-registry app-compat	SOFTWARE, NTUSER.DAT	Compatibilité des applications
parse-registry auditpol	SECURITY	Stratégie d’audit
parse-registry office	NTUSER.DAT	Microsoft Office
parse-registry feature-usage	NTUSER.DAT	FeatureUsage, RecentApps et éléments épinglés de la barre des tâches
parse-registry app-history	NTUSER.DAT	Historique des applications
parse-registry mru	NTUSER.DAT	Listes MRU (éléments récemment utilisés)
parse-registry bam	SYSTEM (avec SAM, SOFTWARE pour les noms d'utilisateur)	BAM / DAM
parse-registry muicache	UsrClass.dat (NTUSER.DAT sous Windows XP)	MuiCache
parse-registry installed-programs	SOFTWARE, NTUSER.DAT	Programmes installés
parse-registry open-save-mru	NTUSER.DAT	Boîtes de dialogue Ouvrir et Enregistrer sous
parse-registry persistence	SOFTWARE, SYSTEM, NTUSER.DAT, UsrClass.dat	Démarrages automatiques du Registre
parse-registry read	Toute ruche principale du Registre	Ruches du Registre
parse-registry recent-docs	NTUSER.DAT	RecentDocs
parse-registry remote-access	NTUSER.DAT (avec SOFTWARE pour les SID des utilisateurs)	Accès à distance (côté utilisateur)
parse-registry sam	SAM	Comptes locaux SAM
parse-registry security-settings	SOFTWARE, SYSTEM, NTUSER.DAT	Paramètres de sécurité
parse-registry services	SYSTEM	Services Windows
parse-registry shimcache	SYSTEM ou une valeur AppCompatCache exportée	ShimCache
parse-registry system-info	SYSTEM, SOFTWARE, SAM, SECURITY d'un même système	Informations système
parse-registry taskcache	SOFTWARE	Cache du Planificateur de tâches
parse-registry usb	SYSTEM, avec SOFTWARE et NTUSER.DAT	Périphériques USB
parse-registry user-assist	NTUSER.DAT	UserAssist
parse-registry shell-bags	UsrClass.dat, NTUSER.DAT	ShellBags

Commandes SQLite

Commande	Artefact d'entrée	Guide détaillé
parse-sqlite browser	History, Cookies, Web Data, places.sqlite, cookies.sqlite, formhistory.sqlite	Navigateurs web

Types de sources et changements de format

Les groupes décrivent les formats que Juntei prend actuellement en charge. parse-registry amcache lit Amcache.hve ; cela n'implique pas la prise en charge des bases de données d'inventaire Amcache SQLite. Les crates des parseurs d'artefacts restent séparées afin que la prise en charge d'un autre format de stockage puisse être ajoutée indépendamment.

Les anciens noms de parseurs à plat ont été remplacés par les chemins source-et-artefact ci-dessus. Conservez les options existantes des parseurs après le nom de l'artefact. auto-parse et les sous-commandes de Registre existantes conservent leurs noms.

Persistence Hunter

juntei persistence-hunter effectue sa chasse à travers plusieurs formats de source ; c'est donc une commande d'analyse de premier niveau. Elle complète l'inventaire complet de la configuration produit par parse-registry persistence avec 131 vérifications, une classification autorisé/bloqué, les métadonnées des charges utiles, la couverture et la corrélation des horodatages.

Utilisation de premier niveau

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

Les pages des sources reproduisent l'utilisation des commandes et donnent de courts exemples. Les guides des artefacts expliquent les preuves, les champs de sortie, les limites et la stratégie d'investigation.