Daftar Perintah¶

Parser-parser individual dikelompokkan berdasarkan tipe sumbernya. Jalankan juntei --help, juntei <SOURCE> --help, atau juntei <SOURCE> <ARTIFACT> --help untuk menjelajahinya:

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

Untuk hasil pengumpulan bukti Windows dari banyak komputer, gunakan juntei auto-parse -d <EVIDENCE> -o <OUTPUT>. Perintah ini memanggil perintah-perintah berkelompok yang sama dan mengatur hasil serta log berdasarkan komputer dan kategori investigasi.

Gunakan juntei super-timeline -d <PARSED> -o SuperTimeline.csv untuk linimasa lintas artefak hasil parsing dengan arti waktu berlabel. Keluaran tidak diurutkan secara default; tambahkan --sort untuk urutan kronologis dan konsolidasi duplikat. auto-parse -j tetap menyimpan rekaman asli.

Image disk ¶

Perintah	Input	Panduan terperinci
`mount`	Image disk VHDX / E01 / Ex01	Memasang Image Disk

Perintah ESE ¶

Perintah	Artefak input	Panduan terperinci
`parse-ese srum`	ESE `SRUDB.dat`	SRUM
`parse-ese ual`	ESE `Current.mdb`, `{GUID}.mdb`, `SystemIdentity.mdb`	Pencatatan Akses Pengguna (UAL)
`parse-ese webcache`	ESE `WebCacheV01.dat`	Internet Explorer dan Edge lama

Perintah berkas ¶

Perintah	Artefak input	Panduan terperinci
`parse-file defender-quarantine`	Pohon atau entri karantina Defender	Karantina Defender
`parse-file jump-lists`	`.automaticDestinations-ms`, `.customDestinations-ms`	Jump Lists
`parse-file lnk`	`*.lnk`	Pintasan LNK
`parse-file outlook`	`.pst`, `.ost`, `.msg`, `.oft`	Outlook
`parse-file prefetch`	`*.pf`	Prefetch

Perintah NTFS ¶

Perintah	Artefak input	Panduan terperinci
`parse-ntfs boot`	`$Boot`, atau image volume NTFS	Sektor boot ($Boot)
`parse-ntfs i30`	`$I30` (`$INDEX_ALLOCATION`), atau image disk	Indeks direktori ($I30)
`parse-ntfs logfile`	`$LogFile` NTFS	Log transaksi NTFS
`parse-ntfs mft`	`$MFT` NTFS	Master File Table
`parse-ntfs secure-sds`	`$Secure:$SDS` (`$Secure_$SDS`)	Deskriptor keamanan ($Secure:$SDS)
`parse-ntfs usn-journal`	`$UsnJrnl:$J`	Jurnal USN

Perintah registry ¶

Perintah	Artefak input	Panduan terperinci
`parse-registry amcache`	`Amcache.hve`	Amcache
`parse-registry networks`	`SOFTWARE`, `SYSTEM`	Jaringan
`parse-registry lsa-secrets`	`SECURITY`	Rahasia LSA
`parse-registry bcd`	`BCD` (dan `BCD-Template`)	Boot Configuration Data (BCD)
`parse-registry app-compat`	`SOFTWARE`, `NTUSER.DAT`	Kompatibilitas aplikasi
`parse-registry auditpol`	`SECURITY`	Kebijakan audit
`parse-registry office`	`NTUSER.DAT`	Microsoft Office
`parse-registry feature-usage`	`NTUSER.DAT`	FeatureUsage, RecentApps, dan item yang disematkan di taskbar
`parse-registry app-history`	`NTUSER.DAT`	Riwayat aplikasi
`parse-registry mru`	`NTUSER.DAT`	Daftar MRU (Most-Recently-Used)
`parse-registry bam`	`SYSTEM` (dengan `SAM`, `SOFTWARE` untuk nama pengguna)	BAM / DAM
`parse-registry muicache`	`UsrClass.dat` (`NTUSER.DAT` pada Windows XP)	MuiCache
`parse-registry installed-programs`	`SOFTWARE`, `NTUSER.DAT`	Program terinstal
`parse-registry open-save-mru`	`NTUSER.DAT`	Dialog Buka dan Simpan Sebagai
`parse-registry persistence`	`SOFTWARE`, `SYSTEM`, `NTUSER.DAT`, `UsrClass.dat`	Autostart Registry
`parse-registry read`	Hive registry utama apa pun	Hive Registry
`parse-registry recent-docs`	`NTUSER.DAT`	RecentDocs
`parse-registry remote-access`	`NTUSER.DAT` (dengan `SOFTWARE` untuk SID pengguna)	Akses jarak jauh (sisi pengguna)
`parse-registry sam`	`SAM`	Akun lokal SAM
`parse-registry security-settings`	`SOFTWARE`, `SYSTEM`, `NTUSER.DAT`	Pengaturan keamanan
`parse-registry services`	`SYSTEM`	Layanan Windows
`parse-registry shimcache`	`SYSTEM` atau nilai AppCompatCache yang diekspor	ShimCache
`parse-registry system-info`	`SYSTEM`, `SOFTWARE`, `SAM`, `SECURITY` dari satu sistem	Informasi sistem
`parse-registry taskcache`	`SOFTWARE`	Cache Penjadwal Tugas
`parse-registry usb`	`SYSTEM`, dengan `SOFTWARE` dan `NTUSER.DAT`	Perangkat USB
`parse-registry user-assist`	`NTUSER.DAT`	UserAssist
`parse-registry shell-bags`	`UsrClass.dat`, `NTUSER.DAT`	ShellBags

Perintah SQLite ¶

Perintah	Artefak input	Panduan terperinci
`parse-sqlite browser`	`History`, `Cookies`, `Web Data`, `places.sqlite`, `cookies.sqlite`, `formhistory.sqlite`	Browser web

Tipe sumber dan perubahan format¶

Kelompok-kelompok tersebut mendeskripsikan format yang saat ini didukung Juntei. parse-registry amcache membaca Amcache.hve; hal ini tidak menyiratkan dukungan untuk database inventaris Amcache berbasis SQLite. Crate parser artefak tetap terpisah sehingga dukungan untuk format penyimpanan lain dapat ditambahkan secara independen.

Nama-nama parser datar yang lama telah digantikan oleh path sumber-dan-artefak di atas. Tetap letakkan opsi parser yang ada setelah nama artefak. auto-parse dan subperintah registry yang ada tetap mempertahankan namanya.

Persistence Hunter ¶

juntei persistence-hunter melakukan hunting di beberapa format sumber, sehingga merupakan perintah analisis tingkat atas. Perintah ini melengkapi inventaris konfigurasi lengkap dari parse-registry persistence dengan 131 pemeriksaan, klasifikasi allow/block, metadata payload, cakupan, dan korelasi timestamp.

Penggunaan tingkat atas¶

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

Halaman-halaman sumber mereproduksi penggunaan perintah dan memberikan contoh singkat. Panduan artefak menjelaskan bukti, field keluaran, keterbatasan, dan strategi investigasi.

Daftar Perintah¶

Image disk¶

Perintah ESE¶

Perintah berkas¶

Perintah NTFS¶

Perintah registry¶

Perintah SQLite¶