命令清單¶

個別的剖析器依其來源類型分組。執行 juntei --help、 juntei <SOURCE> --help 或 juntei <SOURCE> <ARTIFACT> --help 來瀏覽它們：

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

對於包含多台電腦的 Windows 證據收集資料，請使用 juntei auto-parse -d <EVIDENCE> -o <OUTPUT>。它會呼叫相同的分組命令，並依電腦與調查類別整理結果與記錄。

若要建立橫跨各個已剖析跡證的時間軸，請使用 juntei super-timeline -d <PARSED> -o SuperTimeline.csv。它會展開各時間戳記，並標示其代表的意義。輸出預設不排序；加上 --sort 即可依時間排序並合併重複項。auto-parse -j 仍會繼續保留原生記錄。

磁碟映像檔 ¶

命令	輸入	詳細指南
`mount`	VHDX / E01 / Ex01 磁碟映像檔	掛載磁碟映像

ESE 命令 ¶

命令	輸入跡證	詳細指南
`parse-ese srum`	ESE `SRUDB.dat`	SRUM
`parse-ese ual`	ESE `Current.mdb`、`{GUID}.mdb`、`SystemIdentity.mdb`	使用者存取記錄 (UAL)
`parse-ese webcache`	ESE `WebCacheV01.dat`	Internet Explorer 與舊版 Edge

檔案命令 ¶

命令	輸入跡證	詳細指南
`parse-file defender-quarantine`	Defender 隔離資料樹狀結構或項目	Defender 隔離資料
`parse-file jump-lists`	`.automaticDestinations-ms`、`.customDestinations-ms`	Jump Lists
`parse-file lnk`	`*.lnk`	LNK 捷徑
`parse-file outlook`	`.pst`, `.ost`, `.msg`, `.oft`	Outlook
`parse-file prefetch`	`*.pf`	Prefetch

NTFS 命令 ¶

命令	輸入跡證	詳細指南
`parse-ntfs boot`	`$Boot`，或 NTFS 磁碟區映像檔	開機磁區 ($Boot)
`parse-ntfs i30`	`$I30`（`$INDEX_ALLOCATION`），或磁碟映像檔	目錄索引 ($I30)
`parse-ntfs logfile`	NTFS `$LogFile`	NTFS 交易記錄
`parse-ntfs mft`	NTFS `$MFT`	主檔案表
`parse-ntfs secure-sds`	`$Secure:$SDS`（`$Secure_$SDS`）	安全性描述元 ($Secure:$SDS)
`parse-ntfs usn-journal`	`$UsnJrnl:$J`	USN 日誌

登錄命令 ¶

命令	輸入跡證	詳細指南
`parse-registry amcache`	`Amcache.hve`	Amcache
`parse-registry networks`	`SOFTWARE`、`SYSTEM`	網路
`parse-registry lsa-secrets`	`SECURITY`	LSA 機密資訊
`parse-registry bcd`	`BCD`（以及 `BCD-Template`）	開機設定資料 (BCD)
`parse-registry app-compat`	`SOFTWARE`、`NTUSER.DAT`	應用程式相容性
`parse-registry auditpol`	`SECURITY`	稽核原則
`parse-registry office`	`NTUSER.DAT`	Microsoft Office
`parse-registry feature-usage`	`NTUSER.DAT`	FeatureUsage、RecentApps 與工作列釘選項目
`parse-registry app-history`	`NTUSER.DAT`	應用程式歷程
`parse-registry mru`	`NTUSER.DAT`	最近使用（MRU）清單
`parse-registry bam`	`SYSTEM`（搭配 `SAM`、`SOFTWARE` 以取得使用者名稱）	BAM / DAM
`parse-registry muicache`	`UsrClass.dat`（Windows XP 上為 `NTUSER.DAT`）	MuiCache
`parse-registry installed-programs`	`SOFTWARE`、`NTUSER.DAT`	已安裝程式
`parse-registry open-save-mru`	`NTUSER.DAT`	開啟與另存新檔對話方塊
`parse-registry persistence`	`SOFTWARE`、`SYSTEM`、`NTUSER.DAT`、`UsrClass.dat`	登錄自動啟動項目
`parse-registry read`	任何主要登錄區	登錄區
`parse-registry recent-docs`	`NTUSER.DAT`	RecentDocs
`parse-registry remote-access`	`NTUSER.DAT`（搭配 `SOFTWARE` 以取得使用者 SID）	遠端存取（使用者端）
`parse-registry sam`	`SAM`	SAM 本機帳戶
`parse-registry security-settings`	`SOFTWARE`、`SYSTEM`、`NTUSER.DAT`	安全性設定
`parse-registry services`	`SYSTEM`	Windows 服務
`parse-registry shimcache`	`SYSTEM` 或匯出的 AppCompatCache 值	ShimCache
`parse-registry system-info`	同一系統的 `SYSTEM`、`SOFTWARE`、`SAM`、`SECURITY`	系統資訊
`parse-registry taskcache`	`SOFTWARE`	工作排程器快取
`parse-registry usb`	`SYSTEM`，搭配 `SOFTWARE` 與 `NTUSER.DAT`	USB 裝置
`parse-registry user-assist`	`NTUSER.DAT`	UserAssist
`parse-registry shell-bags`	`UsrClass.dat`、`NTUSER.DAT`	ShellBags

SQLite 命令 ¶

命令	輸入跡證	詳細指南
`parse-sqlite browser`	`History`、`Cookies`、`Web Data`、`places.sqlite`、`cookies.sqlite`、`formhistory.sqlite`	網頁瀏覽器

來源類型與格式變更¶

分組描述的是 Juntei 目前支援的格式。parse-registry amcache 讀取的是 Amcache.hve；這並不表示它支援 SQLite 格式的 Amcache 清查資料庫。各跡證剖析器 crate 保持獨立，因此可以個別新增對其他儲存格式的支援。

先前扁平的剖析器名稱已被上方的「來源與跡證」路徑取代。既有的剖析器選項請放在跡證名稱之後。 auto-parse 與既有的登錄子命令則維持其名稱。

Persistence Hunter ¶

juntei persistence-hunter 會橫跨多種來源格式進行獵捕，因此它是頂層的分析命令。它以 131 項檢查、允許／封鎖分類、承載資料中繼資料、涵蓋範圍與時間戳記關聯，補足 parse-registry persistence 所提供的完整設定清查。

頂層用法¶

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

各來源頁面會重現命令用法並提供簡短的範例。跡證指南則說明證據、輸出欄位、限制與調查策略。

命令清單¶

磁碟映像檔¶

ESE 命令¶

檔案命令¶

NTFS 命令¶

登錄命令¶

SQLite 命令¶