X-ways forensics是一款電子數(shù)據(jù)分析工具。這款軟件能恢復(fù)已刪除的文件，還能搜索到其他軟件搜索不到的結(jié)果。軟件具有自動(dòng)識(shí)別丟失、刪除的分區(qū)、多種恢復(fù)功能，可以對(duì)特定的文件類型恢復(fù)。而且可以裝在U盤里隨身攜帶。

功能介紹

磁盤克隆和鏡像功能，進(jìn)行完整數(shù)據(jù)獲取。

可分析 RAW/dd/ISO/VHD/VMDK 格式原始數(shù)據(jù)鏡像文件中的完整目錄結(jié)構(gòu)，x-ways forensics支持分段保存的鏡像文件。

支持磁盤，RAID,扇區(qū)大小為8KB最大2TB的鏡像的完全訪問。

支持對(duì)JBOD、RAID0、RAID 5、RAID 5EE, RAID 6, Linux軟RAID, Windows動(dòng)態(tài)磁盤和LVM2等磁盤陣列。

自動(dòng)識(shí)別丟失/刪除的分區(qū)。

支持FAT12，F(xiàn)AT16，F(xiàn)AT32，exFAT，TFAT，NTFS，Ext2，Ext3，Ext4，Next3，CDFS/ISO9660/Joliet，UDF文件系統(tǒng)。

無需修改原始硬盤或鏡像糾正分區(qū)表或文件系統(tǒng)數(shù)據(jù)結(jié)構(gòu)來解析文件系統(tǒng)。

察看并獲取 RAM和虛擬內(nèi)存中的運(yùn)行進(jìn)程。

多種數(shù)據(jù)恢復(fù)功能，可對(duì)特定文件類型恢復(fù)。

基于GREP符號(hào)維護(hù)文件頭簽名數(shù)據(jù)庫。

支持20種數(shù)據(jù)類型解釋。

使用模板查看和編輯二進(jìn)制數(shù)據(jù)結(jié)構(gòu)。

數(shù)據(jù)擦除功能，可徹底清除存儲(chǔ)介質(zhì)中殘留數(shù)據(jù)。

可從磁盤或鏡像文件中收集殘留空間、空余空間、分區(qū)空隙中信息。

創(chuàng)建證據(jù)文件中的文件和目錄列表。

能夠非常簡(jiǎn)單地發(fā)現(xiàn)并分析ADS數(shù)據(jù)(NTFS交換數(shù)據(jù)流)。

支持多種哈希計(jì)算方法 (CRC32，MD4，ed2k，MD5，SHA-1，SHA-256，RipeMD)。

強(qiáng)大的物理搜索和邏輯搜索功能，可同時(shí)搜索多個(gè)關(guān)鍵詞。

在NTFS卷中為文件記錄數(shù)據(jù)結(jié)構(gòu)自動(dòng)加色。

書簽和注釋。

可以運(yùn)行在Windows FE中等Windows環(huán)境。

配合F-Response可進(jìn)行遠(yuǎn)程計(jì)算機(jī)分析。

軟件特色

1、查看Windows事件日志文件(.EVT，.EVTX)，Windows快捷方式(.LNK)文件，Windows預(yù)讀取文件，$LogFile，$UsnJrnl，還原點(diǎn)change.log，Windows任務(wù)計(jì)劃程序(.job)，$EFS LUS， INFO2，還原點(diǎn)change.log.1，wtmp/utmp/btmp log-in records登錄記錄，MacOS X系統(tǒng)kcpassword，AOL-PFC，OutlookNK2自動(dòng)完成文件，Outlook的WAB地址簿，IE瀏覽器travellog(又名RecoveryStore)，IE瀏覽器index.dat歷史記錄和瀏覽器緩存數(shù)據(jù)庫，SQLite數(shù)據(jù)庫，如Firefox瀏覽歷史，F(xiàn)irefox下載，F(xiàn)irefox表單歷史，F(xiàn)irefox插件，Chrome的cookie，Chrome歷史歸檔，Chrome歷史記錄，Chrome登錄數(shù)據(jù)，Chrome網(wǎng)頁數(shù)據(jù)，Safari瀏覽器緩存，Safarifeeds，Skype聯(lián)系人和文件傳輸?shù)膍ain.db數(shù)據(jù)庫等等；

2、提取元數(shù)據(jù)，并從各種文件類型的內(nèi)部創(chuàng)建時(shí)間戳，x-ways forensics官方版允許通過他們過濾，如MS Office，OpenOffice，StarOffice，HTML，MDI，PDF，RTF，WRI，AOL，PFC，ASF，WMV，WMA，MOV，AVI，WAV， MP4，3GP，M4V，M4A，JPEG，BMP，THM，TIFF，GIF，PNG，GZ，ZIP，PF，IEcookies，DMP內(nèi)存轉(zhuǎn)儲(chǔ)，hiberfil.sys，PNF，SHD和SPL打印機(jī)后臺(tái)的Tracking.log， MDB，MS Access數(shù)據(jù)庫，manifest.mbdx/.mbdb iPhone備份；

3、可以從任何其他類型的文件中提取幾乎任何一種嵌入式文件(包括圖片)，從JPEG和縮略圖緩存中提取縮略圖，從跳轉(zhuǎn)列表中提取.lnl快捷方式，從Windows.edb、瀏覽器緩存中提取各種數(shù)據(jù)，，從SQLite數(shù)據(jù)庫表中提取PLists，從OLE2和PDF文檔中的提取雜項(xiàng)元素等等。

更新日志

1、具有智能壓縮功能的高效磁盤鏡像；

2、能夠讀取、創(chuàng)建.e01 證據(jù)文件，可對(duì)證據(jù)文件進(jìn)行 256位AES加密；

3、完整的案例管理功能；

4、自動(dòng)創(chuàng)建軟件操作日志 (審計(jì)日志)；

5、數(shù)據(jù)寫保護(hù)功能，確保數(shù)據(jù)真實(shí)性；

6、在網(wǎng)絡(luò)環(huán)境中具有遠(yuǎn)程磁盤分析能力。