產(chǎn)品概述
X-Ways Forensics 是為計(jì)算機(jī)取證分析人員提供的一個(gè)功能強(qiáng)大的、綜合的取證、分析軟件，可在 Windows XP/2003/Vista/2008/7/8/8.1/10操作系統(tǒng)下運(yùn)行，支持32 /64 位, Standard/PE/FE等版本。與其他競爭產(chǎn)品相比，由于它在運(yùn)行時(shí)占用的資源更少，因此它在工作時(shí)更高效，運(yùn)行更快速，并且能恢復(fù)已刪除的文件，還能搜索到其他軟件搜索不到的結(jié)果，還包含許多特有的功能，最重要的是成本更低廉。X-Ways Forensics 可隨身攜帶，能夠通過U盤在任意Windows操作系統(tǒng)下使用，無需安裝。不像其他一些取證分析工具那樣，X-ways Forensics不需要使用者設(shè)置數(shù)據(jù)庫等繁瑣的操作，并且超小化的安裝包可以在數(shù)秒內(nèi)下載并安裝。它可以與WinHex hex和 disk editor 緊密結(jié)合，提供高效率的工作流模型， 這樣計(jì)算機(jī)取證調(diào)查員就可以與使用x-ways Investigator 的調(diào)查員共享數(shù)據(jù)，協(xié)同工作。
產(chǎn)品功能
磁盤克隆和鏡像功能，進(jìn)行完整數(shù)據(jù)獲取。
可分析 RAW/dd/ISO/VHD/VMDK 格式原始數(shù)據(jù)鏡像文件中的完整目錄結(jié)構(gòu)，支持分段保存的鏡像文件。
可讀取磁盤、RAIDs以及超過2TB大的鏡像文件(超過 232 個(gè)扇區(qū)) 扇區(qū)最大為8KB。
內(nèi)置解析磁盤陣列JBOD、RAID 0、RAID 5、RAID 5EE, RAID 6, Linux 軟件磁盤陣列、windows動(dòng)態(tài)磁盤以及LVM2邏輯卷管理器。
自動(dòng)識(shí)別丟失的/已刪除的分區(qū)。
支持 FAT12, FAT16, FAT32, exFAT, TFAT, NTFS, Ext2, Ext3, Ext4, Next3 CDFS/ISO9660/Joliet, UDF 文件系統(tǒng)。
支持扇區(qū)疊加分析, 例如，即使在數(shù)據(jù)損壞的情況下，也能通過更正的分區(qū)表或文件系統(tǒng)數(shù)據(jù)結(jié)構(gòu)對(duì)文件系統(tǒng)進(jìn)行完整解析，而不改變?cè)即疟P或鏡像。
察看并完整獲取內(nèi)存轉(zhuǎn)儲(chǔ)，并能獲取虛擬內(nèi)存中的運(yùn)行進(jìn)程。
使用多種數(shù)據(jù)恢復(fù)技術(shù)，能快速發(fā)現(xiàn)需要恢復(fù)的數(shù)據(jù)，并支持碎片級(jí)數(shù)據(jù)恢復(fù)。
文件頭數(shù)據(jù)庫支持GRPE檢索。
能分析20種不同類型的數(shù)據(jù)。
通過模板查看并編輯二進(jìn)制數(shù)據(jù)結(jié)構(gòu)。
數(shù)據(jù)擦除功能，可徹底清除存儲(chǔ)介質(zhì)中殘留數(shù)據(jù)。
可從磁盤或鏡像文件中收集殘留空間、空余空間、分區(qū)空隙以及通用文本中的信息。
能夠非常簡單地發(fā)現(xiàn)并分析ADS數(shù)據(jù)（NTFS備用數(shù)據(jù)流)。
支持多種哈希計(jì)算方法 (CRC32, MD4, ed2k, MD5, SHA-1, SHA-256, RipeMD, ...)。
強(qiáng)大的物理搜索和邏輯搜索功能，可同時(shí)搜索多個(gè)關(guān)鍵詞。
可以在子目錄中反復(fù)查看現(xiàn)有文件和已刪除的文件。
自動(dòng)用彩色顯示NTFS文件結(jié)構(gòu)。
支持書簽和注釋。
能在符合法證要求的Windows FE環(huán)境中運(yùn)行，比如，有限制的分類/查看。
非常便攜，U盤即插即用，無需安裝，支持任何一個(gè)操作系統(tǒng)。
能與F-Response 配合使用，分析遠(yuǎn)程計(jì)算機(jī)。
能快速獲取磁盤鏡像，還提供生成鏡像壓縮程度的選項(xiàng)。
能夠讀寫.e01 格式的證據(jù)文件，可選擇對(duì)證據(jù)文件進(jìn)行 256位AES加密 (注：并非僅僅采用口令保護(hù)方式)。
能創(chuàng)建Skeleton鏡像 和Cleansed鏡像。
能夠拷貝相關(guān)文件至證據(jù)文件管理器文件中，如：可將相關(guān)證據(jù)文件保存至管理器中，管理并選擇性的共享給不同的需求者。
完整的案例管理功能。
自動(dòng)創(chuàng)建軟件操作日志 (審計(jì)日志)。
數(shù)據(jù)寫保護(hù)功能，確保數(shù)據(jù)真實(shí)性。
可以任意添加對(duì)網(wǎng)盤的遠(yuǎn)程分析功能。
支持 HFS, HFS+/HFSJ/HFSX, ReiserFS, Reiser4, XFS, UFS, UFS2文件系統(tǒng)。
能分析、過濾所有卷影副本（但不包括重復(fù)數(shù)據(jù)），找到快照屬性等。
點(diǎn)擊鼠標(biāo)即可查看文件列表。輕松瀏覽文件系統(tǒng)的數(shù)據(jù)結(jié)構(gòu)，例如，文件記錄，索引記錄， $LogFile,卷影副本, FAT 目錄項(xiàng), Ext* inode等。
支持分區(qū)類型: 蘋果格式， MBR, GPT (GUID), Windows動(dòng)態(tài)卷 (MBR+GPT), LVM2 (MBR+GPT), 未分區(qū) (軟盤/大容量軟盤)。
能對(duì)Windows 2000 ， XP ， Vista，2003 server， 2008 server， Windows 7、8、10的本地內(nèi)存或內(nèi)存轉(zhuǎn)儲(chǔ)進(jìn)行主內(nèi)存分析，功能非常強(qiáng)大。
顯示文件的所有者，NTFS文件權(quán)限，對(duì)象ID/GUID 以及特殊屬性。
彌補(bǔ) NTFS壓縮時(shí)所造成的數(shù)據(jù)丟失和 文件雕復(fù)時(shí)的Ext2/Ext3區(qū)分配邏輯。
前后目錄和多個(gè)步驟之間可以快速切換、并可快速導(dǎo)航回到排序選項(xiàng)、過濾器激活（停止）、選擇的界面。
內(nèi)置縮略圖圖片瀏覽。
內(nèi)置日歷瀏覽。
自動(dòng)進(jìn)行文件簽名、特征比對(duì)。
內(nèi)置文件預(yù)覽功能，支持270種以上文件類型。
能夠直接從程序中打印相同的文件類型，該程序首頁包含所有元數(shù)據(jù)。
能查看 Windows事件日志文件 (.evt, .evtx), Windows 快捷方式文件 (.lnk) , Windows 預(yù)讀文件, $LogFile, $UsnJrnl, 系統(tǒng)還原點(diǎn) change.log, Windows Task Scheduler (.job), $EFS LUS, INFO2, 系統(tǒng)還原點(diǎn)change.log.1, wtmp/utmp/btmp 登陸信息, MacOS X kcpassword, AOL-PFC, Outlook NK2 自動(dòng)完成， Outlook WAB 地址簿, Internet Explorer 瀏覽記錄 (a.k.a. RecoveryStore), Internet Explorer index.dat 歷史和瀏覽器緩存數(shù)據(jù)庫 , SQLite數(shù)據(jù)庫例如Firefox 歷史記錄, Firefox 下載, Firefox 表單歷史, Firefox 簽名, Chrome cookies, Chrome歷史歸檔, Chrome 歷史, Chrome 登陸信息, Chrome 網(wǎng)絡(luò)數(shù)據(jù), Safari 緩存, Safari feeds, Skype 的main.db數(shù)據(jù)庫（包括聯(lián)系人和文件傳輸記錄, ...等）。
在可用空間或虛擬文件中的閑置空間中收集Internet Explorer歷史記錄和瀏覽器緩存 index.dat。
能從各種類型的文件中提取元數(shù)據(jù)和內(nèi)部生成的時(shí)間戳，例如： MS Office, OpenOffice, StarOffice, HTML, MDI, PDF, RTF, WRI, AOL PFC, ASF, WMV, WMA, MOV, AVI, WAV, MP4, 3GP, M4V, M4A, JPEG, BMP, THM, TIFF, GIF, PNG, GZ, ZIP, PF, IE cookies, DMP memory dumps, hiberfil.sys, PNF, SHD & SPL printer spool, tracking.log, .mdb MS Access database, manifest.mbdx/.mbdb iPhone 備份, ...
記錄并追蹤已瀏覽的文件。
把源文件鏈接到外部文件，例如，原文件的翻譯版、解密版或更改后的版本。
能夠分析檢查抽取出的電子郵件數(shù)據(jù)，支持Outlook (PST/OST)注, Exchange EDB, Outlook Express (DBX), AOL PFC, Mozilla (包括 Thunderbird), generic mailbox (mbox, Unix), MSG, EML。
生成一個(gè)功能強(qiáng)大的事件列表，生成該列表的時(shí)間戳來自：所有支持的文件系統(tǒng)，操作系統(tǒng)（包括事件日志，注冊(cè)表，回收站等），文件內(nèi)容（例如，郵件頭，exif時(shí)間戳，GPS時(shí)間戳，最后打印時(shí)間；瀏覽器數(shù)據(jù)庫，skype 聊天記錄，通話記錄，文件傳輸記錄，創(chuàng)建的賬戶信息……）。
在分析中引入時(shí)間的緯度，按照時(shí)間順序展示事件發(fā)展延伸的整個(gè)過程。在時(shí)間線中，事件以圖形顯示，可方便地查看某活動(dòng)在哪個(gè)時(shí)間段活躍，哪個(gè)時(shí)間段不活躍。只需點(diǎn)擊鼠標(biāo)即可快速過濾某個(gè)時(shí)間段的事件。
擁有基于簽名和專門算法的文件類型自動(dòng)驗(yàn)證功能。
可標(biāo)記文件，并將所標(biāo)記的文件添加至自定義案件報(bào)告中。
自動(dòng)生成HTML格式案件報(bào)告，可以用Word查看并編輯。
案件報(bào)告中可關(guān)聯(lián)文件注釋或過濾信息。
在扇區(qū)視圖模式下，可同步顯示對(duì)應(yīng)扇區(qū)的文件和目錄。
強(qiáng)大的動(dòng)態(tài)過濾功能，能以文件類型、哈希庫、時(shí)間、文件大小、注釋、報(bào)告表等方式組合進(jìn)行文件過濾。
通過遞歸瀏覽功能，同時(shí)顯示所有目錄下的文件和刪除數(shù)據(jù)。
能從硬盤或者硬盤鏡像中復(fù)制文件，內(nèi)容可包含相應(yīng)文件的完整路徑，還可包含或排除文件閑置區(qū)域的數(shù)據(jù)，或?qū)⑽募e置區(qū)域的數(shù)據(jù)單獨(dú)導(dǎo)出或全部導(dǎo)出。
自動(dòng)識(shí)別加密的MS Office 和PDF文件。
能從其他任何類型的文件中提取幾乎任何一種嵌入式的文件（包括圖片）， 從 JPEGs和thumbcaches中提取縮略圖,從跳轉(zhuǎn)列表中提取 .lnk 快捷方式 , 從Windows.edb中提取各種數(shù)據(jù),從SQLite中提取瀏覽器緩存、 PLists和表單記錄, 從 OLE2 和 PDF 文檔中提取各種數(shù)據(jù), ...
膚色圖片檢測(cè)功能，(根據(jù)膚色比例，以圖片集方式排序，加速對(duì)兒童色情圖片、黑白圖片的搜索)
檢測(cè)黑白或灰度的圖片，這可能是掃描到的文件或數(shù)字化存儲(chǔ)的傳真。
能檢測(cè)到可以用OCR識(shí)別的 PDF 文檔。
能通過MPlayer或Forensic Framer，根據(jù)用戶自定義的時(shí)間間隔，從視頻文件中提取靜態(tài)圖像，這樣就能在必須查看不恰當(dāng)或非法內(nèi)容時(shí)大大減少要查看的數(shù)據(jù)。
內(nèi)置 Windows 注冊(cè)表查看器(支持所有 Windows 版本)，并自動(dòng)生成注冊(cè)表報(bào)告。
能夠以目錄方式逐級(jí)瀏覽壓縮文件中內(nèi)容。
易用的邏輯搜索功能，可在所有文件、選中文件和壓縮文件、PDF, HTML, EML, ..., 等類型文件中進(jìn)行搜索, 可選項(xiàng)有： GREP, 用戶自定義的“全字匹配”。
強(qiáng)大的搜索及搜索結(jié)果預(yù)覽功能，支持關(guān)鍵字臨近的上下文預(yù)覽。如：可搜索Documents and Settings目錄下，最后訪問時(shí)間為2004年，包含關(guān)鍵詞A, B, D 的doc和ppt文件。
在Unicode 和各種代碼頁中進(jìn)行搜索和索引。
高度靈活的索引算法，并可在索引結(jié)果中搜索固定復(fù)合詞。
AND ，fuzzy AND，NEAR +和 – 邏輯運(yùn)算符組合使用，搜索結(jié)果。
能將搜索結(jié)果導(dǎo)出為HTML，并高亮顯示文件內(nèi)容以及文件元數(shù)據(jù)。
可檢測(cè)并排除硬盤HPA區(qū)域和ATA加密硬盤保護(hù)區(qū)域，并連續(xù)標(biāo)注。
依據(jù)內(nèi)部哈希庫，可以快速定位特定類型文件。
能夠?qū)?/span> NSRL RDS 2.x, HashKeeper 和ILook格式的哈希庫。
可創(chuàng)立用戶專用哈希集。
能夠解壓縮整個(gè)hiberfil.sys文件和單獨(dú)的xpress 塊。
X-Tensions API (編程接口) ，添加您自己的功能或者現(xiàn)有的功能。
無需設(shè)置并鏈接復(fù)雜的數(shù)據(jù)庫，避免了競爭產(chǎn)品無法再次打開你的案件的風(fēng)險(xiǎn)。
分析外部程序的界面,例如 DoublePics, 能識(shí)別已知的圖片(即使圖片以不同格式保存或已經(jīng)改動(dòng))并把圖片的類別(“CP”, “relevant”, “irrelevant”)報(bào)告給 X-Ways Forensics 。
達(dá)思科技，國家級(jí)高新技術(shù)企業(yè)，天津市國家保密局涉密載體數(shù)據(jù)恢復(fù)唯一協(xié)作單位，國家保密局常用辦公設(shè)備存儲(chǔ)部件敏感信息檢查系統(tǒng)項(xiàng)目課題承接單位，數(shù)據(jù)恢復(fù)與取證行業(yè)著名品牌，在國內(nèi)乃至全亞洲數(shù)據(jù)恢復(fù)技術(shù)領(lǐng)先！達(dá)思科技的全稱是達(dá)思凱瑞技術(shù)(北京)有限公司，成立于2007年8月，注冊(cè)資金1500萬元。達(dá)思科技是一家以數(shù)據(jù)恢復(fù)與取證技術(shù)研發(fā)為核心的國家級(jí)高新技術(shù)企業(yè)，公司擁有自主知識(shí)產(chǎn)權(quán)的數(shù)據(jù)恢復(fù)與取證軟件30多種。公司下設(shè)研發(fā)中心、數(shù)據(jù)恢復(fù)與取證服務(wù)部、服務(wù)器RAID數(shù)據(jù)恢復(fù)應(yīng)急中心等。
關(guān)注達(dá)思公司微信服務(wù)號(hào)或訂閱號(hào)，獲取更多信息：
數(shù)據(jù)恢復(fù)熱線：400-700-0017
總部：達(dá)思凱瑞技術(shù)（北京）有限公司
