Lista de comandos

Os analisadores individuais são agrupados pelo tipo de fonte. Execute juntei --help, juntei <SOURCE> --help ou juntei <SOURCE> <ARTIFACT> --help para explorá-los:

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

Para uma coleta de evidências do Windows com vários computadores, use juntei auto-parse -d <EVIDENCE> -o <OUTPUT>. Ele invoca os mesmos comandos agrupados e organiza os resultados e os logs por computador e por categoria investigativa.

Para montar uma linha do tempo que abranja os artefatos analisados, use juntei super-timeline -d <PARSED> -o SuperTimeline.csv. O comando expande os carimbos de data/hora e rotula o significado de cada um. Por padrão, a saída não é ordenada; adicione --sort para obter ordem cronológica e consolidação de duplicatas. O auto-parse -j continua mantendo os registros nativos.

Imagens de disco

Comando	Entrada	Guia detalhado
mount	Imagem de disco VHDX / E01 / Ex01	Montar imagens de disco

Comandos ESE

Comando	Artefato de entrada	Guia detalhado
parse-ese srum	ESE SRUDB.dat	SRUM
parse-ese ual	ESE Current.mdb, {GUID}.mdb, SystemIdentity.mdb	Registro de acesso do usuário (UAL)
parse-ese webcache	ESE WebCacheV01.dat	Internet Explorer e Edge legado

Comandos de arquivos

Comando	Artefato de entrada	Guia detalhado
parse-file defender-quarantine	Árvore ou entrada de quarentena do Defender	Quarentena do Defender
parse-file jump-lists	*.automaticDestinations-ms, *.customDestinations-ms	Jump Lists
parse-file lnk	*.lnk	Atalhos LNK
parse-file outlook	*.pst, *.ost, *.msg, *.oft	Outlook
parse-file prefetch	*.pf	Prefetch

Comandos NTFS

Comando	Artefato de entrada	Guia detalhado
parse-ntfs boot	$Boot, ou uma imagem de volume NTFS	Setor de inicialização ($Boot)
parse-ntfs i30	$I30 ($INDEX_ALLOCATION), ou uma imagem de disco	Índices de diretórios ($I30)
parse-ntfs logfile	$LogFile do NTFS	Log de transações NTFS
parse-ntfs mft	$MFT do NTFS	Tabela Mestre de Arquivos
parse-ntfs secure-sds	$Secure:$SDS ($Secure_$SDS)	Descritores de segurança ($Secure:$SDS)
parse-ntfs usn-journal	$UsnJrnl:$J	Diário USN

Comandos do Registro

Comando	Artefato de entrada	Guia detalhado
parse-registry amcache	Amcache.hve	Amcache
parse-registry networks	SOFTWARE, SYSTEM	Redes
parse-registry lsa-secrets	SECURITY	Segredos LSA
parse-registry bcd	BCD (e BCD-Template)	Dados de configuração de inicialização (BCD)
parse-registry app-compat	SOFTWARE, NTUSER.DAT	Compatibilidade de aplicativos
parse-registry auditpol	SECURITY	Política de auditoria
parse-registry office	NTUSER.DAT	Microsoft Office
parse-registry feature-usage	NTUSER.DAT	FeatureUsage, RecentApps e itens fixados na barra de tarefas
parse-registry app-history	NTUSER.DAT	Histórico de aplicativos
parse-registry mru	NTUSER.DAT	Listas MRU
parse-registry bam	SYSTEM (com SAM, SOFTWARE para nomes de usuário)	BAM / DAM
parse-registry muicache	UsrClass.dat (NTUSER.DAT no Windows XP)	MuiCache
parse-registry installed-programs	SOFTWARE, NTUSER.DAT	Programas instalados
parse-registry open-save-mru	NTUSER.DAT	Caixas de diálogo Abrir e Salvar como
parse-registry persistence	SOFTWARE, SYSTEM, NTUSER.DAT, UsrClass.dat	Inicializações automáticas do Registro
parse-registry read	Qualquer hive primário do Registro	Hives do Registro
parse-registry recent-docs	NTUSER.DAT	RecentDocs
parse-registry remote-access	NTUSER.DAT (com SOFTWARE para os SIDs de usuário)	Acesso remoto (lado do usuário)
parse-registry sam	SAM	Contas locais SAM
parse-registry security-settings	SOFTWARE, SYSTEM, NTUSER.DAT	Configurações de segurança
parse-registry services	SYSTEM	Serviços do Windows
parse-registry shimcache	SYSTEM ou um valor AppCompatCache exportado	ShimCache
parse-registry system-info	SYSTEM, SOFTWARE, SAM, SECURITY de um sistema	Informações do sistema
parse-registry taskcache	SOFTWARE	Cache do Agendador de Tarefas
parse-registry usb	SYSTEM, com SOFTWARE e NTUSER.DAT	Dispositivos USB
parse-registry user-assist	NTUSER.DAT	UserAssist
parse-registry shell-bags	UsrClass.dat, NTUSER.DAT	ShellBags

Comandos SQLite

Comando	Artefato de entrada	Guia detalhado
parse-sqlite browser	History, Cookies, Web Data, places.sqlite, cookies.sqlite, formhistory.sqlite	Navegadores web

Tipos de fonte e mudanças de formato

Os grupos descrevem os formatos que o Juntei suporta atualmente. parse-registry amcache lê o Amcache.hve; isso não implica suporte aos bancos de dados de inventário Amcache em SQLite. Os crates de analisadores de artefatos permanecem separados para que o suporte a outro formato de armazenamento possa ser adicionado de forma independente.

Os antigos nomes planos de analisadores foram substituídos pelos caminhos de fonte e artefato acima. Mantenha as opções existentes do analisador após o nome do artefato. auto-parse e os subcomandos de Registro existentes mantêm seus nomes.

Persistence Hunter

juntei persistence-hunter faz buscas em vários formatos de fonte, por isso é um comando de análise de nível superior. Ele complementa o inventário completo de configurações de parse-registry persistence com 131 verificações, classificação por lista de permissão/bloqueio, metadados da carga útil, cobertura e correlação de carimbos de data/hora.

Uso no nível superior

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

As páginas de fontes reproduzem o uso dos comandos e dão exemplos curtos. Os guias de artefatos explicam as evidências, os campos de saída, as limitações e a estratégia de investigação.