รายการคำสั่ง¶

พาร์เซอร์แต่ละตัวถูกจัดกลุ่มตามชนิดของแหล่งข้อมูล เรียกใช้ juntei --help, juntei <SOURCE> --help หรือ juntei <SOURCE> <ARTIFACT> --help เพื่อสำรวจคำสั่งเหล่านี้

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

สำหรับการเก็บรวบรวมหลักฐาน Windows จากคอมพิวเตอร์หลายเครื่อง ให้ใช้ juntei auto-parse -d <EVIDENCE> -o <OUTPUT> คำสั่งนี้เรียกใช้คำสั่งที่จัดกลุ่มเดียวกัน และจัดระเบียบผลลัพธ์และ log ตามคอมพิวเตอร์และหมวดหมู่การตรวจสอบ

สำหรับไทม์ไลน์ที่ครอบคลุมอาร์ติแฟกต์ที่พาร์สแล้ว ให้ใช้ juntei super-timeline -d <PARSED> -o SuperTimeline.csv คำสั่งนี้ขยาย timestamp และติดป้ายกำกับความหมายของแต่ละค่า เอาต์พุตไม่ถูกเรียงลำดับโดยค่าเริ่มต้น เพิ่ม --sort เพื่อเรียงตามลำดับเวลาและรวมรายการที่ซ้ำกัน ส่วน auto-parse -j ยังคงเก็บเรคคอร์ดเนทีฟไว้ตามเดิม

อิมเมจดิสก์¶

คำสั่ง	อินพุต	คู่มือโดยละเอียด
`mount`	อิมเมจดิสก์ VHDX / E01 / Ex01	การเมานต์อิมเมจดิสก์

คำสั่ง ESE ¶

คำสั่ง	อาร์ติแฟกต์อินพุต	คู่มือโดยละเอียด
`parse-ese srum`	ESE `SRUDB.dat`	SRUM
`parse-ese ual`	ESE `Current.mdb`, `{GUID}.mdb`, `SystemIdentity.mdb`	การบันทึกการเข้าถึงของผู้ใช้ (UAL)
`parse-ese webcache`	ESE `WebCacheV01.dat`	Internet Explorer และ Edge รุ่นเก่า

คำสั่งสำหรับไฟล์¶

คำสั่ง	อาร์ติแฟกต์อินพุต	คู่มือโดยละเอียด
`parse-file defender-quarantine`	ทรีหรือรายการกักกันของ Defender	ข้อมูลที่ Defender กักกัน
`parse-file jump-lists`	`.automaticDestinations-ms`, `.customDestinations-ms`	Jump Lists
`parse-file lnk`	`*.lnk`	ทางลัด LNK
`parse-file outlook`	`.pst`, `.ost`, `.msg`, `.oft`	Outlook
`parse-file prefetch`	`*.pf`	Prefetch

คำสั่ง NTFS ¶

คำสั่ง	อาร์ติแฟกต์อินพุต	คู่มือโดยละเอียด
`parse-ntfs boot`	`$Boot` หรืออิมเมจวอลุ่ม NTFS	บูตเซกเตอร์ ($Boot)
`parse-ntfs i30`	`$I30` (`$INDEX_ALLOCATION`) หรืออิมเมจดิสก์	ดัชนีไดเรกทอรี ($I30)
`parse-ntfs logfile`	NTFS `$LogFile`	บันทึกธุรกรรม NTFS
`parse-ntfs mft`	NTFS `$MFT`	ตารางไฟล์หลัก
`parse-ntfs secure-sds`	`$Secure:$SDS` (`$Secure_$SDS`)	ตัวบอกความปลอดภัย ($Secure:$SDS)
`parse-ntfs usn-journal`	`$UsnJrnl:$J`	บันทึก USN

คำสั่งรีจิสทรี ¶

คำสั่ง	อาร์ติแฟกต์อินพุต	คู่มือโดยละเอียด
`parse-registry amcache`	`Amcache.hve`	Amcache
`parse-registry networks`	`SOFTWARE`, `SYSTEM`	เครือข่าย
`parse-registry lsa-secrets`	`SECURITY`	ความลับ LSA
`parse-registry bcd`	`BCD` (และ `BCD-Template`)	การกำหนดค่าบูต (BCD)
`parse-registry app-compat`	`SOFTWARE`, `NTUSER.DAT`	ความเข้ากันได้ของแอปพลิเคชัน
`parse-registry auditpol`	`SECURITY`	นโยบายการตรวจสอบ
`parse-registry office`	`NTUSER.DAT`	Microsoft Office
`parse-registry feature-usage`	`NTUSER.DAT`	FeatureUsage, RecentApps และรายการที่ปักหมุดบนแถบงาน
`parse-registry app-history`	`NTUSER.DAT`	ประวัติแอปพลิเคชัน
`parse-registry mru`	`NTUSER.DAT`	รายการ MRU
`parse-registry bam`	`SYSTEM` (พร้อม `SAM`, `SOFTWARE` สำหรับชื่อผู้ใช้)	BAM / DAM
`parse-registry muicache`	`UsrClass.dat` (`NTUSER.DAT` บน Windows XP)	MuiCache
`parse-registry installed-programs`	`SOFTWARE`, `NTUSER.DAT`	โปรแกรมที่ติดตั้ง
`parse-registry open-save-mru`	`NTUSER.DAT`	กล่องโต้ตอบเปิดและบันทึกเป็น
`parse-registry persistence`	`SOFTWARE`, `SYSTEM`, `NTUSER.DAT`, `UsrClass.dat`	การเริ่มอัตโนมัติผ่านรีจิสทรี
`parse-registry read`	ไฮฟ์รีจิสทรีหลักใดก็ได้	ไฮฟ์รีจิสทรี
`parse-registry recent-docs`	`NTUSER.DAT`	RecentDocs
`parse-registry remote-access`	`NTUSER.DAT` (พร้อม `SOFTWARE` สำหรับ SID ของผู้ใช้)	การเข้าถึงระยะไกล (ฝั่งผู้ใช้)
`parse-registry sam`	`SAM`	บัญชีภายในเครื่อง SAM
`parse-registry security-settings`	`SOFTWARE`, `SYSTEM`, `NTUSER.DAT`	การตั้งค่าความปลอดภัย
`parse-registry services`	`SYSTEM`	บริการ Windows
`parse-registry shimcache`	`SYSTEM` หรือค่า AppCompatCache ที่ส่งออกมา	ShimCache
`parse-registry system-info`	`SYSTEM`, `SOFTWARE`, `SAM`, `SECURITY` ของระบบเดียว	ข้อมูลระบบ
`parse-registry taskcache`	`SOFTWARE`	แคช Task Scheduler
`parse-registry usb`	`SYSTEM` พร้อม `SOFTWARE` และ `NTUSER.DAT`	อุปกรณ์ USB
`parse-registry user-assist`	`NTUSER.DAT`	UserAssist
`parse-registry shell-bags`	`UsrClass.dat`, `NTUSER.DAT`	ShellBags

คำสั่ง SQLite ¶

คำสั่ง	อาร์ติแฟกต์อินพุต	คู่มือโดยละเอียด
`parse-sqlite browser`	`History`, `Cookies`, `Web Data`, `places.sqlite`, `cookies.sqlite`, `formhistory.sqlite`	เว็บเบราว์เซอร์

ชนิดของแหล่งข้อมูลและการเปลี่ยนแปลงรูปแบบ¶

กลุ่มต่าง ๆ อธิบายรูปแบบที่ Juntei รองรับในปัจจุบัน parse-registry amcache อ่าน Amcache.hve ซึ่งไม่ได้หมายความว่ารองรับฐานข้อมูล inventory ของ Amcache แบบ SQLite crate ของพาร์เซอร์อาร์ติแฟกต์ ยังคงแยกจากกัน เพื่อให้สามารถเพิ่มการรองรับรูปแบบการจัดเก็บอื่นได้อย่างอิสระ

ชื่อพาร์เซอร์แบบแบนเดิมถูกแทนที่ด้วยพาธแบบแหล่งข้อมูลและอาร์ติแฟกต์ข้างต้นแล้ว ให้ใส่ตัวเลือกของพาร์เซอร์ ที่มีอยู่เดิมไว้หลังชื่ออาร์ติแฟกต์ auto-parse และคำสั่งย่อยรีจิสทรีที่มีอยู่เดิม ยังคงใช้ชื่อเดิม

Persistence Hunter ¶

juntei persistence-hunter ล่าหาร่องรอยข้ามรูปแบบแหล่งข้อมูลหลายแบบ จึงเป็นคำสั่งวิเคราะห์ระดับบนสุด คำสั่งนี้เสริม inventory การกำหนดค่าแบบครบถ้วนจาก parse-registry persistence ด้วย การตรวจสอบ 131 รายการ การจำแนกแบบ allow/block เมทาดาทาของ payload ความครอบคลุม (coverage) และการเชื่อมโยง timestamp

การใช้งานระดับบนสุด¶

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

หน้าแหล่งข้อมูลแสดงวิธีใช้คำสั่งและให้ตัวอย่างสั้น ๆ ส่วนคู่มืออาร์ติแฟกต์อธิบาย หลักฐาน ฟิลด์เอาต์พุต ข้อจำกัด และกลยุทธ์การตรวจสอบ

รายการคำสั่ง¶

อิมเมจดิสก์¶

คำสั่ง ESE¶

คำสั่งสำหรับไฟล์¶

คำสั่ง NTFS¶

คำสั่งรีจิสทรี¶

คำสั่ง SQLite¶