x-ways forensicsv20.0中文版

 X-Ways Forensics是為計算機取證分析人員提供的一個功能強大的、綜合的取證、分析軟件，可在Windows XP/2003/Vista/2008/7/8/8.1/2012/10操作係統下運行，支持32 /64 位, Standard/PE/FE等版本。它可以與WinHex hex和 disk editor 緊密結合，提供高效率的工作流模型， 這樣計算機取證調查員就可以與使用X-Ways Investigator 的調查員共享數據，協同工作。

【基本簡介】

　　X-Ways Forensics 是為計算機取證分析人員提供的一個功能強大的、綜合的取證、分析軟件，可在 Windows XP/2003/Vista/2008/7/8/8.1/2012/10操作係統下運行，支持32 /64 位, Standard/PE/FE等版本。(Windows FE is described here, here and here.) 與其他競爭產品相比，由於它在運行時占用的資源更少，因此它在工作時更高效，運行更快速，並且能恢複已刪除的文件，還能搜索到其他軟件搜索不到的結果，還包含許多特有的功能，最重要的是成本更低廉。X-Ways Forensics 可隨身攜帶，能夠通過U盤在任意Windows操作係統下使用，無需安裝。不像其他一些取證分析工具那樣，X-ways Forensics不需要使用者設置數據庫等繁瑣的操作，並且超小化的安裝包可以在數秒內下載並安裝。它可以與WinHex hex和 disk editor 緊密結合，提供高效率的工作流模型， 這樣計算機取證調查員就可以與使用X-Ways Investigator 的調查員共享數據，協同工作。

【軟件特色】

　　網絡上能夠找到的漢化版不是X-Ways公司發行的中文版，其高版本的漢化有些敷衍充數，中文很不準確。X-Ways Forensics和WinHex中文版是軟件作者Stefan Fleischmann委托中國計算機取證組組長郭永健（網名Sprite）先生幫助完成的，這裏收入的《Winhex/X-Ways快速入門》，就是Sprite親自編寫的。本人隻是對網頁文件做了A4頁麵處理，版權歸原作者所有。

【軟件特色】

　　1.查看Windows事件日誌文件（.EVT，.EVTX），Windows快捷方式（.LNK）文件，Windows預讀取文件，$LogFile, $UsnJrnl,還原點change.log，Windows任務計劃程序（.job），$EFS LUS， INFO2，還原點change.log.1，wtmp/utmp/btmp log-in records登錄記錄，MacOS X係統kcpassword，AOL-PFC，OutlookNK2自動完成文件，Outlook的WAB地址簿，IE瀏覽器travellog（又名RecoveryStore），IE瀏覽器index.dat曆史記錄和瀏覽器緩存數據庫，SQLite數據庫，如Firefox瀏覽曆史，Firefox下載，Firefox表單曆史，Firefox插件，Chrome的cookie，Chrome曆史歸檔，Chrome曆史記錄，Chrome登錄數據，Chrome網頁數據，Safari瀏覽器緩存，Safarifeeds，Skype聯係人和文件傳輸的main.db數據庫等等

　　2.提取元數據，並從各種文件類型的內部創建時間戳，並允許通過他們過濾，如MS Office，OpenOffice，StarOffice，HTML，MDI，PDF，RTF，WRI，AOL，PFC，ASF，WMV，WMA，MOV，AVI，WAV， MP4，3GP，M4V，M4A，JPEG，BMP，THM，TIFF，GIF，PNG，GZ，ZIP，PF，IEcookies，DMP內存轉儲，hiberfil.sys，PNF，SHD和SPL打印機後台的Tracking.log， MDB，MS Access數據庫，manifest.mbdx/.mbdb iPhone備份

　　3.可以從任何其他類型的文件中提取幾乎任何一種嵌入式文件（包括圖片），從JPEG和縮略圖緩存中提取縮略圖，從跳轉列表中提取.lnl快捷方式，從Windows.edb、瀏覽器緩存中提取各種數據，，從SQLite數據庫表中提取PLists，從OLE2和PDF文檔中的提取雜項元素等等

【功能介紹】

　　·磁盤克隆和鏡像功能，進行完整數據獲取

　　·可分析 RAW/dd/ISO/VHD/VMDK 格式原始數據鏡像文件中的完整目錄結構，支持分段保存的鏡像文件

　　·支持磁盤，RAID,扇區大小為8KB最大2TB的鏡像的完全訪問

　　·支持對JBOD、RAID0、RAID 5、RAID 5EE, RAID 6, Linux軟RAID, Windows動態磁盤和LVM2等磁盤陣列

　　·自動識別丟失/刪除的分區

　　·支持FAT12, FAT16, FAT32, exFAT, TFAT, NTFS, Ext2, Ext3, Ext4, Next3, CDFS/ISO9660/Joliet, UDF文件係統

　　·無需修改原始硬盤或鏡像糾正分區表或文件係統數據結構來解析文件係統

　　·察看並獲取 RAM和虛擬內存中的運行進程

　　·多種數據恢複功能，可對特定文件類型恢複

　　·基於GREP符號維護文件頭簽名數據庫

　　·支持20種數據類型解釋

　　·使用模板查看和編輯二進製數據結構

　　·數據擦除功能，可徹底清除存儲介質中殘留數據

　　·可從磁盤或鏡像文件中收集殘留空間、空餘空間、分區空隙中信息

　　·創建證據文件中的文件和目錄列表

　　·能夠非常簡單地發現並分析ADS數據（NTFS交換數據流)

　　·支持多種哈希計算方法 (CRC32, MD4, ed2k, MD5,SHA-1, SHA-256, RipeMD...)

　　·強大的物理搜索和邏輯搜索功能，可同時搜索多個關鍵詞

　　·在NTFS卷中為文件記錄數據結構自動加色

　　·書簽和注釋

　　·可以運行在Windows FE中等Windows環境

　　·配合F-Response可進行遠程計算機分析

【更新日誌】

　　1.具有智能壓縮功能的高效磁盤鏡像；

　　2.能夠讀取、創建.e01 證據文件，可對證據文件進行 256位AES加密；

　　3.完整的案例管理功能；

　　4.自動創建軟件操作日誌 (審計日誌)；

　　5.數據寫保護功能，確保數據真實性；

　　6.在網絡環境中具有遠程磁盤分析能力；