OSForensics是一款体积幼巧且职能强的数据复原软件，软件能够通过文件名、大幼和功夫，查找文件，并甄别可疑的文件，数字署名等，复原已删除的文件。

?

OSForensics允许您使用散列匹配，驱动器署名比力，电子邮件，内存和二进造数据来鉴别可疑文件和活动。它允许您通过高档文件搜索和索引从推算机中提取取证证据，并使这些数据得以有效治理。它能够快的援手用户治理推算机的系统，也支持和数字存储设备里面进行发现数字证据，它也被进行集中成为了一个强的？楣ぞ，能够使用有关工具，只必要进行选择您要进行使用的职能，即可快捷的进行设置使用，软件使用简答，操作方便，是款值得信任的数据复原软件。

?

?

软件职能：

• 索引速度提高了3倍，大大改进了索引引擎，拥有多线程，RAM驱动和预扫描旁路选项

• OCR（光学字符鉴别）允许您搜索照片和图像中的文本，Win 10

• 加密的PDF汇报

• 磁盘映像的重要和辅助哈希函数

• 从原始磁盘查看器跳转到MFT纪录

• 磁盘映像中保留的磁盘型号和序列号

• 哈希集职能

• 导入项目VIC json文件

• EFS（加密文件系统）

• 新版本的Volatility Workbench，支持Mac和Linux

• 查抄Skype Sqlite数据库文件

• 复原BitLocker密钥

• 从视频网站提取MP4体式的视频

• 改进的自动分类职能

?

职能介绍：

在文件中搜索

OSForensics蕴含快和强的步骤之一，它由Zoom搜索引擎提供支持，可在硬盘上的文件的内容中进行搜索。

若是根基文件搜索职能是不够的，OSForensics还能够创建索引的文件在硬盘上。

?

档案体式

OSForensics能够索引多种文件体式的内容。这：DOC、DOCX、PDF、PPT、XLS、RTF、WPD、SWF、DJVU、JPG、GIF、PNG、TIFF、MP3、DWF、PPDX、XLSX、MHT、ZIP、PST、MBOX、MSG、DBX、ZIPX、RAR、ISO、TAR等，还支持回收留器。因而能够在PST文件中正确索引附加到电子邮件的DOCX文件，而后将其压缩为ZIPX文件。

?

若是短缺文件扩大名，OSForensics还能够对文件进行分析以确定其文件类型。

?

?

搜索邮件

可能搜索文件内的一个附加职能是可能搜索电子邮件归档。索引过程中能够打开和阅读电子邮件体式的文件（PST），并确定幼我信息。

这允许系统上发现的电子邮件的文本内容搜索。

?

复原已删除的文件

文件已被删除后抛进回收站，可它往往依然存在，直到另一个新的文件在硬盘驱动器取代它的地位。OSForensics能够追踪到这个的ghost文件数据，并试图将其复原到可用状态的硬盘驱动器上。

?

删除的文件群集视图

OSForensics还提供了物理磁盘上已删除文件群集分配的图形视图

该表显示已删除文件的碎片信息。对于较幼的文件，已删除的文件可能驻留在MFT中（可用NTFS）。

?

该图提供了碎片相对于其地点物理磁盘的地位的图形暗示。

?

揭开近期活动

OSForensics能够发现近期的系统上执行的用户操作，但不限于：

• 打开的文档

• 网页浏览汗青

• 衔接USB设备

• 衔接网络共享

• 网络系统信息

?

硬件系统上运行的具体信息：

• CPU的类型和数量的CPU

• RAM的数量和类型

• 已装置的硬盘驱动器

• 衔接USB设备

• 等等

?

查看活动的影象体

看看什么是目前的系统主内存。尝试发现密码和敏感信息，不然将无法接见。

选择检测系统的活动过程的列表。OSF也能够将其内存存储到磁盘上的文件，以备后查。

?

提取的登录名和密码

复原从近期接见过的网站的用户名和密码，在常见的网页浏览器，蕴含IE浏览器，Chrome浏览器和Opera。

?

?

OSForensics的新版本为10。

?

新时期的数字调查

对于Windows

• 鉴别可疑文件和活动

• 从推算机提取证据

• 治理调查

?

搜索文件

OSF提供了快且强的步骤来定位Window推算机或Forensic图像上的文件。

?

使用宽泛赞美的索引引擎在文件内容中进行搜索，可提供行业有关性排名，日期领域搜索，短语匹配，“类似于Goole”的高低文了局等。

?

宽泛的文件类型

调查和搜索数百种文件类型，蕴含Office和Acrobat文档，图像文件（带有OCR），电子邮件（Outlook，Thunderbird，Mozilla等），附件，ZIP文件，甚至二进造文件和未分配的群集。

?

复原已删除的证据

搜索和复原用户可能试图销毁或已从回收站中删除的文件

?

发现用户活动

扫描推算机以查找最近活动的证据，蕴含接见的网站，已衔接的USB驱动器，网络，下载，网站登录名和网站密码

?

找回密码

OSF提供了职能强的工具来发现和破解实时系统或取证图像上的密码。蕴含：

• 网站登录名和密码（在Chrome，Edge，IE，Firefox和Opera中使用）

• Outlook和Windows Live密码

• 已保留的Wifi密码

• Windows自动登录密码

• Windows和Microsoft产品密钥

• 端口（串行/并行）

• 网络适配器

• 物理和光盘驱动器

• Bitlocker检测

?

OSF还提供了使用rainbow table和字典攻击来破解Hash的工具。

?

显示硬盘上的暗藏区域

OSF能够露出硬盘的HPA和DCO隐区域。这些区域可用于恶意意图，蕴含暗藏犯法数据

?

浏览卷影副本

使用OSF接见卷影副本。这使您能够查看磁盘在从前某个功夫点的显示方式，并查看产生了什么变动。发现文件更改，甚至查看已删除的文件

?

鉴别可疑文件和活动

验证并匹配文件

使用OSF通过比力散列致反确认文件没有被粉碎或篡改，或者确定未知文件是否属于已知文件集。验证并匹配带有MD5，SHA1和SHA256哈希的文件。查找名称与扩大名不匹配的文件

?

鉴别变动

创建并比力驱动器署名以鉴别系统上的差距和更改。OSF允许您创建硬盘驱动器的取证署名，并在创建署名时保留有关系统上存在的文件和目录结构的信息

?

功夫线查看器

OSF拥有功夫线查看器，该视图可提供一段功夫内文件和系统活动的可视化暗示，援手您确定产生沉大活动的日期领域，或成立数年、数月或数日的行为模式。

?

文件分析工具

OSF提供了一套工具来分析文件、电子邮件和系统信息，蕴含：

• 能够显示流，十六进造，文本，图像和元数据的文件查看器

• 电子邮件查看器，能够直接从档案中显示新闻

• 注册表查看器，可接见Windows注册表配置单元文件

• 文件系列浏览器用于类似于浏览器的物理驱动器，卷和映像上受支持的文件系统的导航

• 原始磁盘查看器可浏览和搜索物理驱动器，卷和映像上的原始磁盘字节

• Web浏览器可浏览和捕获在线内容以进行离线证据治理

• ThumbCache查看器以浏览Windows缩略图缓存数据库以获取可能已经存在于系统中的图像/文件的证据

• SQLite数据库浏览器查看和分析SQLite数据库文件的内容

• ESEDB查看器，用于查看和分析ESEDB（.edb）数据库文件的内容，ESEDB（.edb）数据库文件是Microsoft利用法式使用的通用存储体式

• 预取查看器能够鉴别系统上在运行的利用法式的功夫和频率，并由操作系统的预取器进行纪录

• Plist视图可查看MacOS，OSX和IOS通常用于存储设置的Plist文件的内容

• $UsnJrnl查看器查看存储在USN Journal中的条款，ZTFS使用该条款跟踪卷的更改

?

治理您的数字调查

创建案例

将您发现的证据整顿成加密的安全案例文件。

?

产生汇报

将您的案例文件导出为可接见且可自界说的汇报，其中显示与该案例有关的证据。在调查的时辰，向客户或法律人员提供可读的法医调查了局提要。

?

存储设备治理

集中治理存储设备，以便在整个OSF中方便的接见。

?

驱动器和系统映像

创建和还原证据磁盘的磁盘映像，以取证分析，而不会危及原始数据。

从一组RAID成员磁盘映像沉建的RAID映像。

复造活动系统的分区或驱动器。从USB驱动器运行OSF时，对于实时采集很有效。

?

审计追踪

OSF能够自动守护对换查过程中所进行的活动的安全审核跟踪。

?

随身携带OSF

能够从便携式USB驱动器装置和运行OSForensics。将调查直接带到指标推算机。

?

系统要求：

Windows Vista ，Windows7、8、10，11，Windows Server 2000 、2003、2008、2012、2016、2019

32位和64位（建议64位）

至少1GB RAM（推荐8GB以上）

500MB的可用磁盘空间，或者能够从USB驱动器运行