Ortak Çıktı Yöntemleri¶

Tek bir artefakt veya bir koleksiyon¶

juntei parse-file prefetch -f 'Prefetch/POWERSHELL.EXE-12345678.pf'
juntei parse-file prefetch -d evidence/

-d, o komuta uygun dosyaları özyinelemeli olarak arar. Kaynak yolu sütunları, birleştirilmiş çıktıda ana bilgisayarları ve artefaktları birbirinden ayırır.

CSV kaydetme¶

juntei parse-file prefetch -d evidence/ -o prefetch.csv

Bazı ayrıştırıcılar birden fazla CSV tablosu ürettikleri için bir dizine ihtiyaç duyar:

juntei parse-registry amcache -f Amcache.hve -o amcache-tables
juntei parse-ese srum -f SRUDB.dat -o srum-tables
juntei parse-file jump-lists -d evidence/ -o jump-list-tables

JSONL akışı¶

juntei parse-registry services -d evidence/ -t jsonl \
  | jq -c 'select(.ImagePath? | test("temp|public"; "i"))'

İletiler ve ilerleme bilgisi standart hataya gider; standart çıktı ayrıştırılabilir kalır.

Bilinçli olarak üzerine yazma¶

Juntei varsayılan olarak mevcut çıktının üzerine yazmayı reddeder. Hedefi doğrulayın, önemli olan önceki sonuçları koruyun, ardından -C / --clobber ekleyin:

juntei parse-file prefetch -d evidence/ -o prefetch.csv --clobber

Sessiz ve renksiz modlar¶

Otomasyon için -q, terminal renk kodları uygun olmadığında -K kullanın:

juntei parse-ntfs mft -f '$MFT' -o mft.csv -q -K

Büyük/küçük harf ve yollar¶

Boşluk, $, kabuk meta karakterleri veya ters eğik çizgi içeren Windows yollarını kabuğunuzun gerektirdiği şekilde tırnak içine alın. Bash benzeri kabuklarda tek tırnak, $MFT ve $J ifadelerinin değişkene dönüşmesini engeller:

juntei parse-ntfs mft -f '/evidence/C/$MFT' -o mft.csv