XWF使用指南

简介

X-Ways Forensics 是由 Stefan Fleischmann 编写的一个轻量化的应急响应及取证工具，是 WinHex 的法证版本，因此界面逻辑和 WinHex 较为相似。在配置好 mplayer 的情况下，程序总体积在 100MiB 左右，运行时内存占用极低，功能极其强大。
本文讲解了最基本的几个功能，后续也会更新。

过滤

过滤是取证人员必备的技能，面对复杂、多样化、存储量巨大的检材，快速定位目标文件是必不可少的
XWF中过滤一个目录下的文件需要先将文件平铺，在检材处右键后会高亮，此时所有该目录以及子目录下的文件都会平铺到一个文件列表中，便于我们全面过滤

文件类型

过滤zip文件

文件名称

XWF支持grep的正则表达式

搜索

同步搜索（暴力搜索）

选中分区或者磁盘文件

打开同步搜索

暴力搜索的原理是数据的存储存在安全问题，没有编码或者加密

注册表

首先过滤注册表文件

双击注册表文件即可使用XWF的自带注册表查看器查看

随后选择配置文件后即可分析成功

保存为html文件后使用浏览器打开

操作系统基本信息
CPU信息：CPU

磁盘信息：IDE Device

Windows 版本信息：Windows internal version，Windows installation date，Windows product ID，Windows CD key，Windows name，Windows build number，Service pack，Last logged on user，Default Internet Browser

计算机名称：Active computer name

Windows 安装语言（也不知道是不是正在使用的语言）：Windows installation language

可移动设备：Windows portable devices

启用的服务：Services installed

查看安装了的软件：Install date of，Name of program Uninstall，Install date of Uninstall，Location of program Uninstall，Source of program Uninstall，Name of program

网络信息
默认网关MAC：Default Gateway MAC

本机MAC（看起来可能会更齐全）：This computer's MAC address

DHCP指定的IP：DHCP assigned IP Address

本地连接网络：Network connection

TCP/IP网络名称：Tcpip host name

网卡信息：Model description of installed network card

用户信息

IE输入记录：URLs typed in Internet Explorer

打开过的文件：Documents opened，Recent File List

用户账户（但是看不到用户名，只能看到SID）：`User Account

最后登录用户：Last logged on user

最后登录时的计算机名称（不知道具体什么作用）：Last Computer Name

用户设置的地区（NTUSER.DAT）：Country

用户自定义的文件夹（NTUSER.DAT）：User-specific directories

各个用户对应的UID（这个很有用，可以对照着查）：User ID of Administrator