Komut Listesi

Ayrı ayrı ayrıştırıcılar kaynak türlerine göre gruplandırılmıştır. Bunları keşfetmek için juntei --help, juntei <SOURCE> --help veya juntei <SOURCE> <ARTIFACT> --help komutlarını çalıştırın:

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

Birden fazla bilgisayarı kapsayan bir Windows kanıt toplaması için juntei auto-parse -d <EVIDENCE> -o <OUTPUT> komutunu kullanın. Bu komut aynı gruplanmış komutları çağırır ve sonuçları ve günlükleri bilgisayara ve inceleme kategorisine göre düzenler.

juntei super-timeline -d <PARSED> -o SuperTimeline.csv ayrıştırılmış artefaktlardan zaman anlamları etiketli olaylar üretir. Çıktı varsayılan olarak sıralanmamıştır; kronolojik sıra ve yinelenenlerin birleştirilmesi için --sort ekleyin. auto-parse -j yerel kayıtları korur.

Disk İmajları

Komut	Girdi	Ayrıntılı kılavuz
mount	VHDX / E01 / Ex01 disk imajı	Disk İmajlarını Bağlama

ESE Komutları

Komut	Girdi artefaktı	Ayrıntılı kılavuz
parse-ese srum	ESE SRUDB.dat	SRUM
parse-ese ual	ESE Current.mdb, {GUID}.mdb, SystemIdentity.mdb	Kullanıcı Erişim Günlüğü (UAL)
parse-ese webcache	ESE WebCacheV01.dat	Internet Explorer ve Eski Edge

Dosya Komutları

Komut	Girdi artefaktı	Ayrıntılı kılavuz
parse-file defender-quarantine	Defender karantina ağacı veya girdisi	Defender Karantinası
parse-file jump-lists	*.automaticDestinations-ms, *.customDestinations-ms	Jump Lists
parse-file lnk	*.lnk	LNK Kısayolları
parse-file outlook	*.pst, *.ost, *.msg, *.oft	Outlook
parse-file prefetch	*.pf	Prefetch

NTFS Komutları

Komut	Girdi artefaktı	Ayrıntılı kılavuz
parse-ntfs boot	$Boot veya bir NTFS birim imajı	Önyükleme Sektörü ($Boot)
parse-ntfs i30	$I30 ($INDEX_ALLOCATION) veya bir disk imajı	Dizin İndeksleri ($I30)
parse-ntfs logfile	NTFS $LogFile	NTFS İşlem Günlüğü
parse-ntfs mft	NTFS $MFT	Ana Dosya Tablosu
parse-ntfs secure-sds	$Secure:$SDS ($Secure_$SDS)	Güvenlik Tanımlayıcıları ($Secure:$SDS)
parse-ntfs usn-journal	$UsnJrnl:$J	USN Günlüğü

Kayıt Defteri Komutları

Komut	Girdi artefaktı	Ayrıntılı kılavuz
parse-registry amcache	Amcache.hve	Amcache
parse-registry networks	SOFTWARE, SYSTEM	Ağlar
parse-registry lsa-secrets	SECURITY	LSA Sırları
parse-registry bcd	BCD (ve BCD-Template)	Önyükleme Yapılandırma Verileri (BCD)
parse-registry app-compat	SOFTWARE, NTUSER.DAT	Uygulama Uyumluluğu
parse-registry auditpol	SECURITY	Denetim İlkesi
parse-registry office	NTUSER.DAT	Microsoft Office
parse-registry feature-usage	NTUSER.DAT	FeatureUsage, RecentApps ve Görev Çubuğuna Sabitlenmiş Öğeler
parse-registry app-history	NTUSER.DAT	Uygulama Geçmişi
parse-registry mru	NTUSER.DAT	En Son Kullanılan (MRU) Listeleri
parse-registry bam	SYSTEM (kullanıcı adları için SAM, SOFTWARE ile birlikte)	BAM / DAM
parse-registry muicache	UsrClass.dat (Windows XP'de NTUSER.DAT)	MuiCache
parse-registry installed-programs	SOFTWARE, NTUSER.DAT	Yüklü Programlar
parse-registry open-save-mru	NTUSER.DAT	Aç ve Farklı Kaydet İletişim Kutuları
parse-registry persistence	SOFTWARE, SYSTEM, NTUSER.DAT, UsrClass.dat	Kayıt Defteri Otomatik Başlatmaları
parse-registry read	Herhangi bir birincil kayıt defteri kovanı	Kayıt Defteri Kovanları
parse-registry recent-docs	NTUSER.DAT	RecentDocs
parse-registry remote-access	NTUSER.DAT (kullanıcı SID'leri için SOFTWARE ile birlikte)	Uzaktan Erişim (Kullanıcı Tarafı)
parse-registry sam	SAM	SAM Yerel Hesapları
parse-registry security-settings	SOFTWARE, SYSTEM, NTUSER.DAT	Güvenlik Ayarları
parse-registry services	SYSTEM	Windows Hizmetleri
parse-registry shimcache	SYSTEM veya dışa aktarılmış bir AppCompatCache değeri	ShimCache
parse-registry system-info	Tek bir sistemin SYSTEM, SOFTWARE, SAM, SECURITY kovanları	Sistem Bilgileri
parse-registry taskcache	SOFTWARE	Görev Zamanlayıcı Önbelleği
parse-registry usb	SYSTEM; SOFTWARE ve NTUSER.DAT ile birlikte	USB Aygıtları
parse-registry user-assist	NTUSER.DAT	UserAssist
parse-registry shell-bags	UsrClass.dat, NTUSER.DAT	ShellBags

SQLite Komutları

Komut	Girdi artefaktı	Ayrıntılı kılavuz
parse-sqlite browser	History, Cookies, Web Data, places.sqlite, cookies.sqlite, formhistory.sqlite	Web Tarayıcıları

Kaynak türleri ve biçim değişiklikleri

Gruplar, Juntei'nin şu anda desteklediği biçimleri tanımlar. parse-registry amcache, Amcache.hve dosyasını okur; bu, SQLite Amcache envanter veritabanlarının desteklendiği anlamına gelmez. Artefakt ayrıştırıcı crate'leri ayrı tutulur; böylece başka bir depolama biçimi için destek bağımsız olarak eklenebilir.

Eski düz ayrıştırıcı adlarının yerini yukarıdaki kaynak ve artefakt yolları almıştır. Mevcut ayrıştırıcı seçeneklerini artefakt adından sonra yazmaya devam edin. auto-parse ve mevcut kayıt defteri alt komutları adlarını korur.

Persistence Hunter

juntei persistence-hunter birden fazla kaynak biçiminde tarama yapar; bu nedenle üst düzey bir analiz komutudur. parse-registry persistence komutunun sunduğu tam yapılandırma envanterini 131 kontrol, izin/engel sınıflandırması, yük (payload) meta verileri, kapsam ve zaman damgası ilişkilendirmesiyle tamamlar.

Üst düzey kullanım

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

Kaynak sayfaları komut kullanımını yeniden verir ve kısa örnekler sunar. Artefakt kılavuzları kanıtı, çıktı alanlarını, sınırlamaları ve inceleme stratejisini açıklar.