कमांड सूची¶

अलग-अलग parsers को उनके स्रोत type के अनुसार समूहित किया गया है। उन्हें explore करने के लिए juntei --help, juntei <SOURCE> --help, या juntei <SOURCE> <ARTIFACT> --help चलाएँ:

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

कई computers वाले Windows साक्ष्य संग्रह के लिए, juntei auto-parse -d <EVIDENCE> -o <OUTPUT> का उपयोग करें। यह वही समूहित commands चलाता है और परिणामों तथा logs को computer और जाँच की category के अनुसार व्यवस्थित करता है।

पार्स किए गए सभी आर्टिफ़ैक्ट को समेटने वाली टाइमलाइन के लिए juntei super-timeline -d <PARSED> -o SuperTimeline.csv का उपयोग करें। यह टाइमस्टैम्प का विस्तार करता है और उनके अर्थ लेबल करता है। आउटपुट डिफ़ॉल्ट रूप से सॉर्ट नहीं होता; कालानुक्रमिक क्रम और डुप्लिकेट समेकन के लिए --sort जोड़ें। auto-parse -j पहले की तरह नेटिव रिकॉर्ड बनाए रखता है।

डिस्क इमेज ¶

Command	Input	विस्तृत मार्गदर्शिका
`mount`	VHDX / E01 / Ex01 disk image	डिस्क इमेज माउंट करना

ESE कमांड ¶

Command	Input आर्टिफ़ैक्ट	विस्तृत मार्गदर्शिका
`parse-ese srum`	ESE `SRUDB.dat`	SRUM
`parse-ese ual`	ESE `Current.mdb`, `{GUID}.mdb`, `SystemIdentity.mdb`	उपयोगकर्ता एक्सेस लॉगिंग (UAL)
`parse-ese webcache`	ESE `WebCacheV01.dat`	Internet Explorer और लेगेसी Edge

फ़ाइल कमांड ¶

Command	Input आर्टिफ़ैक्ट	विस्तृत मार्गदर्शिका
`parse-file defender-quarantine`	Defender क्वारंटीन tree या entry	Defender क्वारंटीन
`parse-file jump-lists`	`.automaticDestinations-ms`, `.customDestinations-ms`	Jump Lists
`parse-file lnk`	`*.lnk`	LNK शॉर्टकट
`parse-file outlook`	`.pst`, `.ost`, `.msg`, `.oft`	Outlook
`parse-file prefetch`	`*.pf`	Prefetch

NTFS कमांड ¶

Command	Input आर्टिफ़ैक्ट	विस्तृत मार्गदर्शिका
`parse-ntfs boot`	`$Boot`, या NTFS volume image	बूट सेक्टर ($Boot)
`parse-ntfs i30`	`$I30` (`$INDEX_ALLOCATION`), या disk image	डायरेक्टरी इंडेक्स ($I30)
`parse-ntfs logfile`	NTFS `$LogFile`	NTFS ट्रांज़ैक्शन लॉग
`parse-ntfs mft`	NTFS `$MFT`	मास्टर फ़ाइल टेबल
`parse-ntfs secure-sds`	`$Secure:$SDS` (`$Secure_$SDS`)	सुरक्षा विवरणक ($Secure:$SDS)
`parse-ntfs usn-journal`	`$UsnJrnl:$J`	USN जर्नल

रेजिस्ट्री कमांड ¶

Command	Input आर्टिफ़ैक्ट	विस्तृत मार्गदर्शिका
`parse-registry amcache`	`Amcache.hve`	Amcache
`parse-registry networks`	`SOFTWARE`, `SYSTEM`	नेटवर्क
`parse-registry lsa-secrets`	`SECURITY`	LSA सीक्रेट
`parse-registry bcd`	`BCD` (और `BCD-Template`)	बूट कॉन्फ़िगरेशन डेटा (BCD)
`parse-registry app-compat`	`SOFTWARE`, `NTUSER.DAT`	ऐप्लिकेशन संगतता
`parse-registry auditpol`	`SECURITY`	ऑडिट नीति
`parse-registry office`	`NTUSER.DAT`	Microsoft Office
`parse-registry feature-usage`	`NTUSER.DAT`	FeatureUsage, RecentApps और Taskbar पिन
`parse-registry app-history`	`NTUSER.DAT`	ऐप्लिकेशन इतिहास
`parse-registry mru`	`NTUSER.DAT`	हाल में उपयोग की गई (MRU) सूचियाँ
`parse-registry bam`	`SYSTEM` (उपयोगकर्ता नामों के लिए `SAM`, `SOFTWARE` के साथ)	BAM / DAM
`parse-registry muicache`	`UsrClass.dat` (Windows XP पर `NTUSER.DAT`)	MuiCache
`parse-registry installed-programs`	`SOFTWARE`, `NTUSER.DAT`	इंस्टॉल किए गए प्रोग्राम
`parse-registry open-save-mru`	`NTUSER.DAT`	खोलें और इस रूप में सहेजें संवाद
`parse-registry persistence`	`SOFTWARE`, `SYSTEM`, `NTUSER.DAT`, `UsrClass.dat`	रेजिस्ट्री ऑटोस्टार्ट
`parse-registry read`	कोई भी primary registry hive	रेजिस्ट्री हाइव
`parse-registry recent-docs`	`NTUSER.DAT`	RecentDocs
`parse-registry remote-access`	`NTUSER.DAT` (उपयोगकर्ता SIDs के लिए `SOFTWARE` के साथ)	रिमोट एक्सेस (उपयोगकर्ता पक्ष)
`parse-registry sam`	`SAM`	SAM स्थानीय खाते
`parse-registry security-settings`	`SOFTWARE`, `SYSTEM`, `NTUSER.DAT`	सुरक्षा सेटिंग
`parse-registry services`	`SYSTEM`	Windows सेवाएँ
`parse-registry shimcache`	`SYSTEM` या export की गई AppCompatCache value	ShimCache
`parse-registry system-info`	एक सिस्टम के `SYSTEM`, `SOFTWARE`, `SAM`, `SECURITY`	सिस्टम जानकारी
`parse-registry taskcache`	`SOFTWARE`	टास्क शेड्यूलर कैश
`parse-registry usb`	`SYSTEM`, `SOFTWARE` और `NTUSER.DAT` के साथ	USB डिवाइस
`parse-registry user-assist`	`NTUSER.DAT`	UserAssist
`parse-registry shell-bags`	`UsrClass.dat`, `NTUSER.DAT`	ShellBags

SQLite कमांड ¶

Command	Input आर्टिफ़ैक्ट	विस्तृत मार्गदर्शिका
`parse-sqlite browser`	`History`, `Cookies`, `Web Data`, `places.sqlite`, `cookies.sqlite`, `formhistory.sqlite`	वेब ब्राउज़र

स्रोत types और format में बदलाव¶

समूह उन formats का वर्णन करते हैं जिनका Juntei वर्तमान में समर्थन करता है। parse-registry amcache Amcache.hve पढ़ता है; इसका अर्थ SQLite Amcache inventory databases का समर्थन नहीं है। आर्टिफ़ैक्ट parser crates अलग रहते हैं ताकि किसी अन्य storage format का समर्थन स्वतंत्र रूप से जोड़ा जा सके।

पुराने flat parser नामों को ऊपर दिए गए source-and-artifact paths से बदल दिया गया है। मौजूदा parser options को आर्टिफ़ैक्ट नाम के बाद रखें। auto-parse और मौजूदा registry subcommands अपने नाम बनाए रखते हैं।

Persistence Hunter ¶

juntei persistence-hunter कई स्रोत formats में hunting करता है, इसलिए यह एक top-level विश्लेषण command है। यह parse-registry persistence की पूर्ण configuration inventory को 131 checks, allow/block वर्गीकरण, payload metadata, coverage और timestamp correlation के साथ पूरक बनाता है।

Top-level उपयोग¶

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

स्रोत pages command का उपयोग दोहराते हैं और छोटे उदाहरण देते हैं। आर्टिफ़ैक्ट मार्गदर्शिकाएँ साक्ष्य, आउटपुट fields, सीमाएँ और जाँच की रणनीति समझाती हैं।

कमांड सूची¶

डिस्क इमेज¶

ESE कमांड¶

फ़ाइल कमांड¶

NTFS कमांड¶

रेजिस्ट्री कमांड¶

SQLite कमांड¶