Invisible Man

CDRoller是一款功能強大、簡單易用且低花費的CD/DVD/BD資料救援軟體。提供了極強的光碟讀取和糾錯能力，可以用來恢復使用"拖放"方式刻錄的 CD/DVD/BD （如Roxio (Adaptec) DirectCD 和 Ahead Nero software）中的資料；方便的抓音軌轉換編碼功能；光碟分析和讀寫等檢測工具；快速方便的建立CD分類庫和搜索功能；從劃傷、損壞或失效的光碟中恢復資料；具有與Windows資源管理器類似的用戶操作界面等特性。 CDRoller 是多功能的光碟工具，主要功能有可複寫式光碟 UDF 資料檔讀取、光碟音樂音軌抓取、光碟多媒體分析/測試工具、光碟資料救回、光碟映像檔製作..等等，支援的 CD 及 CD-R 格式：CD-DA、CD-ROM、CD-WO、CD-RW、CD-ROM XA、混合模式光碟、多重區段壓片光碟。 - Fault-tolerant 資料光碟瀏覽及內建遺失資料音軌搜尋功能的內容讀取工具；
- 區段(Session)選擇工具，取回多重區段壓片光碟的所有區段；
- UDF 讀取工具具有額外的移失資料救回及搜尋能力；
- CD Data Rescue 的資料救援功能，可以將無法讀取的光碟檔案、資料夾救回；
- 抓取數位音樂光碟音軌(將音樂光碟轉成 WAV 檔)；
- 光碟多媒體檔案測試及分析；
- 具有強大搜尋選項的快速、簡易使用的光碟多媒體分類功能；
CDRoller is a powerful, easy-to-use and low-cost toolset for CD/DVD data recovery. CDRoller supports industry-standard ISO 9660 file system, including Microsoft's extensions for long file names support, so-called Joliet extensions. CDRoller also supports the discs formatted in UDF file system, including versions 1.02, 1.50, 2.0, 2.01 and also so-called UDF Bridge format. Support of wide set of CD, CD-R, CD-RW and DVD formats such as: CD-DA, CD-ROM, CD-WO, CD-ROM XA and Mixed-Mode CD, Stamped multisession CD, CD-MRW ("Mt. Rainier" CD-RW), DVD-ROM, DVD-R, DVD-RW, DVD+R, DVD+RW, DVD-RAM.
Key Features:
Effectively retrieves the lost data from the discs created by "drag and drop" CD/DVD/BD writing software, such as well-known Sonic (Roxio, Adaptec) and Ahead Nero software packages, CeQuadrat's PacketCD, DLA, B's CLiP and others.
Reads unfinalized ("open", "left as-is") CDs and DVDs, including the discs with Microsoft's Live File system.
Recovers DVD movies and photos, created by a wide set of standalone devices that record directly onto disks: Hitachi, Canon, Panasonic, Samsung and Sony DVD camcorders as well as standalone video recorders.
Splits the recovered VOB or VRO video files into a several clips (scenes), automatically converting a "raw" DVD-video into generic MPEG files without loss of quality. Specially tested on the discs, recorded by Hitachi DVD camcorders.
Burns a new DVD with recovered video that can be played back in the most DVD players.
Recovers CD data written by Sony Mavica CD digital cameras.
Includes a fault-tolerant UDF Reader. Provides direct access to UDF discs, including CDs and DVDs written by old versions of Roxio (Adaptec) DirectCD and Drag-To-Disk. Finds and retrieves accidently deleted files, files located in the corrupted folders, files on incorrectly closed disks, etc.
"On-the-fly" unpacks the files initially compressed by Roxio (Adaptec) DirectCD.
Retrieves back up files from the discs recorded in several stages (multisession discs).
Includes a built-in CD/DVD/BD data burner. There is no need to run third-party CD/DVD/BD mastering software if you wish to burn a new DVD-video disc or backup your files and folders immediately after recovery. The "Burn" option is integrated into a common shell. Just write a new disc with recovered data shortly, without leaving CDRoller!
Erases CD, DVD and BD re-writable media. Supports quick and full erase methods.
Examines disc sectors at low level. Displays the sector content in text, binary, hexadecimal or unicode mode. It also scans all sectors of a disc (selected track or file) for particular data. Recommended for engineering purposes and also for law enforcement and forensic investigators.
Identifies the lost files on ISO/Joliet discs with the damaged file system (volume descriptors, path tables and directories), using the raw data only.
Rescues the data from scratched, damaged or defective discs.
Provides direct access to hardware, bypassing the Windows File System. Looks for the lost tracks (sessions) every time when you insert a new disc into the drive. Supports SCSI Pass Through Direct (SPTD) layer as alternative method under Windows 2000/XP/2003/Vista.
Digitally extracts audio tracks into a wide set of wave formats.
Tests disc readability.
Extracts ISO Image file. Burns ISO Image file to a new disc.
Catalogs files and folders into CD/DVD library.
All features are integrated into a common and easy-to-use intuitive shell.
下載

EVEREST Ultimate Edition 可提供如下的資訊：
硬體資訊： * 主機板及 CPU（可顯示晶片組、BIOS、AGP 設定值、記憶體設定值…等相關資訊） * 顯示卡及顯示器 * 儲存裝置 * 網路介面卡、多媒體裝置以及輸入裝置 * 其他硬體資訊
軟體資訊： * 作業系統 * 已安裝的軟體 * 網路
安全資訊： * Windows 安全（可顯示已安裝的更新或系統還原狀態…等資訊） * 已安裝的安全性軟體之相關資訊
偵斷測試： * 系統穩定度測試 * 硬體監視 * CPU 及 FPU 之測試 * 記憶體測試 * 磁碟測試
系統需求： * 支援的作業系統 o Windows 95/98/Me o Windows NT4/2000 o Windows XP o Windows XP x64 Edition o Windows PE o Windows Server 2003 o Windows Vista o Windows Vista x64 Edition o Windows Server 2008 o Windows 7 o Windows Server 2008 R2 * CPU：至少 Pentium（或以上） * 系統記憶體：至少 32 MB（或以上）；若要測試 CPU、FPU 或記憶體，則需要 128 MB（或以上） * 硬碟可用空間：至少 12 MB（或以上）


EVEREST Ultimate Edition Download (參考資訊：滄者極限討論區)

WinDD 1.3
相容性列表: Raw memory dump: * Windows 2000 (32-Bits) * Windows XP (32-Bits and 64-Bits) * Windows 2003 (32-Bits and 64-Bits) * Windows Vista (32-Bits and 64-Bits) * Windows 2008 (32-Bits and 64-Bits) * Windows 7 (32-Bits and 64-Bits) * Windows 2008 R2 (32-Bits and 64-Bits) Microsoft crash dump: * Windows XP (32-Bits and 64-Bits) * Windows 2003 (32-Bits and 64-Bits) * Windows Vista (32-Bits and 64-Bits) * Windows 2008 (32-Bits and 64-Bits) * Windows 7 (32-Bits and 64-Bits) * Windows 2008 R2 (32-Bits and 64-Bits)
特性: * Raw dump generation * Standalone Microsoft crash dump generation * Network support (client + server) * SMB path support * MD5, SHA-1 and SHA-256 hash support * Support 3 mapping methods for both full crash dump and raw memory dump generation * Support 3 content rules * Fast * 32-bits and 64-bits support * Can hibernate the system. * Can generate a Blue Screen of the Death * Support of machine with more than 4GB of RAM. Microsoft Windows has an internal limitation which does not allow to generate a Microsoft Full Crash dump if the local machine has more than 2GB of physical memory. Of course, this limitation does not affect windd but it was funny and a good surprise to see Windbg correctly works with 8GB Microsoft crash dump (successfuly tested by Jimmy).
WinDD 1.3 下載

DEFT開發出最新的鑑識工具DEFT V5x，DEFT V5x是Live CD，提供鑑識人員於取證時完整的鑑識工具(當然還是有缺拉)，除了Windows介面下的鑑識工具更新之外，以Linux環境開機後也收錄更多GUI工具，已經快有之前Helix Live CD的影子了，詳細更新內容如下:
DEFT v5 computer and network forensic packages list:

sleuthkit 3.01, collection of UNIX-based command line tools that allow you to investigate a computer

autopsy 2.21, graphical interface to the command line digital investigation tools in The Sleuth Kit

dhash 2, multi hash tool

aff lib 3.5.2, advanced forensic format

gpart, tool which tries to guess the primary partition table of a PC-type hard disk

guymager 0.4.2-1, a fast and most user friendly forensic imager

dd rescue 1.13, copy data from one file or block device to another

dcfldd 1.3.4.1, copy data from one file or block device to another with more functions

linen 6.01, Linux version of the industry- standard DOS-based EnCase acquisition tool

foremost 1.5.6, c onsole program to recover files based on their headers, footers, and internal data structures

photorec 6.11, easy carving tool

mount manager 0.2.6, advanced and user friendly mount manager

scalpel 1.60, carving tool

wipe

hex dump, combined hex and ascii dump of any file

outguess, a stegano tool

ophcrack 3.3.0, Windows password recovery

Xplico 0.6 DEFT edition, advanced network analyzer

Wireshark 1.2.2, network sniffer

ettercap 0.7.3, network sniffer

nessus 4, vulnerability and security scanner, client

nessusd 4, vulnerability and security scanner, server

nmap 5, the best network scanner

kismet 2008.05 R1, sniffer and intrusion detection system that work with any wireless card

dmraid, discover software RAID devices

testdisk, tool to recover damaged partitions

vinetto, tool to examine Thumbs.db files

trID 2.02 DEFT edition, tool to identify file types from their binary signatures

readpst 0.6.41, a tools to read ms-Outlook pst files

snmpwalk

chkrootkit, Checks for signs of rootkits on the local system

rkhunter 1.3.4, rootkit, backdoor, sniffer and exploit scanner

john 1.7.2, john the ripper password cracker

clam, antivirus 4.15

mc, UNIX file manager

DEFT extra 2.0:

• System Information
• Drive Manager
• Reg Scanner
• Win Audit
• ReSysInfo
• USB Deview
• Bluethoot View
• User Assist view
• WRR
• My Event View
• MSI
• Curr Proces
• Live Acquisition
• FTK imager
• Winen
• MDD
• Forensics Tool
• WFT
• Zero View
• WFA
• File Alyser
• Nigilant32
• USB history
• Shell command
• PC on/off time
• Password Recovery
• Asterix logger
• PassworFox
• Chrome Pass
• IE PassView
• Wireless Key View
• Mail pass view
• Incredimail Message Extractor
• Networking
• Web Browser
• IE Cookie View
• IE History View
• Mozilla Cookie View
• Mozilla History View
• Mozilla Cache view
• Opera Cache View
• Chrome Cache View
• Index.dat Analyzer 2.0
• Historian
• FoxAnalisis
• Utility tool
• Skype Log View
• Home Keylogger
• HexEdit
• SDHash
• WipeDisk
• USBWriteProtector
• Testdisk
• LTF View
• AVI screen
• Hower Snap
• VNC Viewer
• Sumatra PDF
• Putty
• Pre-Search
• Photorec
• Notepad++
• WinMD5sum
• Abiword
• Undelete Plus
• Hash calc
• IP Net Info
• SysInternal
• Access Enum
• autoruns
• diskView
• Regmon
• WinOBj
• Filemon
• ProceXp
• TCPView
• Rootkit Revealer

DEFT v5 features list:

incorruptibility of the partitions

incorruptibility of the swap spaces

linux Kernel 2.6.31

LXDE

apt-get system

vino

rdesktop

samba client

open SSH client & server

ntfs3g

lvm support

brasero

record my desktop

wicd network manager

speedcrunch

htop

工具畫面截圖: Boot Dhash 2 text mode Desktop Software list Dhash 2 Autopsy Mount manager

DEFT V5x下載

這套就不用多說了吧，功能強到爆還免費，以下為官方簡介:   WinHex: Computer Forensics & Data Recovery Software, Hex Editor & Disk Editor Windows 2000/XP/2003/Vista*/2008*/7*   WinHex is in its core a universal hexadecimal editor, particularly helpful in the realm of computer forensics, data recovery, low-level data processing, and IT security. An advanced tool for everyday and emergency use: inspect and edit all kinds of files, recover deleted files or lost data from hard drives with corrupt file systems or from digital camera cards. Features include (depending on the license type):   * Disk editor for hard disks, floppy disks, CD-ROM & DVD, ZIP, Smart Media, Compact Flash, ...   * Native support for FAT, NTFS, Ext2/3, ReiserFS, Reiser4, UFS, CDFS, UDF   * Built-in interpretation of RAID systems and dynamic disks   * Various data recovery techniques   * RAM editor, providing access to physical RAM and other processes' virtual memory   * Data interpreter, knowing 20 data types   * Editing data structures using templates (e.g. to repair partition table/boot sector)   * Concatenating and splitting files, unifying and dividing odd and even bytes/words   * Analyzing and comparing files   * Particularly flexible search and replace functions   * Disk cloning (under DOS with X-Ways Replica)   * Drive images & backups (optionally compressed or split into 650 MB archives)   * Programming interface (API) and scripting   * 256-bit AES encryption, checksums, CRC32, hashes (MD5, SHA-1, ...)   * Erase (wipe) confidential files securely, hard drive cleansing to protect your privacy   * Import all clipboard formats, incl. ASCII hex values   * Convert between binary, hex ASCII, Intel Hex, and Motorola S   * Character sets: ANSI ASCII, IBM ASCII, EBCDIC, (Unicode)   * Instant window switching. Printing. Random-number generator.   * Supports files >4 GB. Very fast. Easy to use. Extensive online help. (more) Having all the bits and bytes in a computer at your fingertips has become a reality. Try before you buy, as long as you need, for free. Computer forensics edition of WinHex with even more features: X-Ways Forensics.   官方最新的1.55版 下載 15.2繁體中文版     下載

F-Response 是一個在線取證工具，可以用於通過局域網絡獲取在線狀態下的數據，不會使原始數據發生改變。最近，F-Response最新發佈了TACTICAL版本。

同以往的版本不同，F-response最新發佈的TACTICAL 帶有兩個軟件狗。這些狗都是成對提供的。每個狗上都清晰地標記著"調查員專用 Examiner"和「嫌疑機專用 Subject」，以便區分在不同的計算機上插入。

當進行調查時，需要將「嫌疑機專用」狗插入需要檢查的計算機usb接口中。「調查員專用」狗需要插入調查員使用的分析計算機中。嫌疑機專用狗目前可以在Windows (包括Windows 7), OS X, 和 Linux系統下運行。調查員專用狗僅支持Windows系統。.

軟件

對嫌疑計算機的處理與原來的FK版本有些相似。

FK版本需要在嫌疑計算機中插入軟件狗，查找該機的IP地址，並在聯網的調查員計算機中輸入得到的IP地址，同時輸入用戶名和口令以繼續連接。

而使用TACTICAL，可以將「嫌疑機專用」狗插入局域網中的任何一台需要調查的計算機中，運行軟件。

軟件會通過網絡發送一個"信號", 當你在調查員計算機中插入「調查員專用」狗，運行軟件，點擊「自動連接」，調查員計算機會自動發現「信號」並與「嫌疑計算機」自動連接。無需輸入用戶名和密碼進行校驗。

當嫌疑計算機與調查員計算機之間的連接被成功建立，調查員可以看到嫌疑計算機中所包含的存儲設備列表。這包括內置硬盤、RAID陣列，外接的usb存儲設備等。

F-Response 嫌疑機專用狗也同時被列在存儲設備列表中。這可以防止在調查中因疏忽造成差錯。需要連接或加載磁盤/卷，用戶僅需右鍵點擊相應的磁盤選擇Login to F-Response Disk即可。

連接成功後，調查員可以隨意使用各自熟悉使用的工具進行分析。筆者測試了 X-Ways, EnCase, FTK Imager等工具, 每種工具都能夠象分析本地硬盤一樣地分析遠程嫌疑計算機中的硬盤。

這個版本的推出，使在線取證變得更加簡單了。過去的FK版本使用相對比較繁瑣，需要連接、設置，並輸入用戶名、口令用於驗證。現在，僅需插入軟件狗，分別運行客戶端、服務端軟件，即可成功加載遠程存儲設備，非常簡便。

轉自計算機取證

轉自電腦玩物
我很喜歡到網路上尋找電影、遊戲、風景或獨特設計的桌布圖片檔案，下載後可以當做收藏，也可以拿到桌面隨時替換，只是長期下載而疏於整理的情況下 （其實還真的很難每次看到好看的圖片時，就先去找找之前有沒有下載過XD），硬碟中累積了大量重複的圖片檔案而不自知。加上平常移動管理時，也可能不小心 在不同資料夾保存了重複圖檔。這時候，要如何快速找出這些重複的圖片呢？ 最近在「[分享] AntiDupl.Net - 支援 Unicode 的重複圖片搜尋器」一文中看到了「AntiDupl.NET」這款優秀的小工具，AntiDupl.NET不是去比對檔案名稱、大小、日期或屬性資料，而是真的去掃描比對「圖像內容的相似程度」，幫你找出那些看起來很像的圖片，還能自動提供適當的刪除建議，然後你就可以快速把自己硬碟裡的重複圖片檔案清理乾淨。 類似的工具還有很知名的「VisiPics」，後面這款工具雖然很久沒更新了，不過在穩定度、速度與支援度上仍然很優秀（VisiPics甚至可以比對RAW檔），下次有機會再和讀者介紹推薦。

• AntiDupl.NET：http://antidupl.narod.ru/english/index.html
• AntiDupl.NET下載點：http://antidupl.narod.ru/english/download.html
• 
  
• Windows XP以上作業系統用戶，請下載「AntiDupl.NET」系列，目前最新版本為1.4.0.0（下載頁面下方的其它檔案看起來版本號比較高，但那是給舊版Windows使用的）
• Windows XP用戶需要先安裝.NET Framework 2.0
• 
  
• 支援比對JPEG, GIF, TIFF, BMP,PNG。
• 支援Unicode，可以比對日文、簡體中文檔名的圖檔。
• 
  
• 特別說明：AntiDupl.NET一般使用下搜尋比對速度很快，但是如果遭遇大量檔案比對時，有可能因為記憶體不足而出錯。我在擁有2GB記憶體的XP系統測試，比對一萬多張圖檔，全部圖檔大小約8GB，這時候就發生在搜尋結束後出錯的情況。

• 01.自動解壓免安裝

下 載AntiDupl.NET（XP以上用戶請下載AntiDupl.NET系列，目前最新版本為1.4.0.0），這是一個自動解壓縮檔案，執行後將 AntiDupl.NET解壓到任何資料夾，接著你可以隨意移動、攜帶。要使用時直接執行裡面的AntiDupl.NET.exe即可（Windows XP用戶需要先安裝.NET Framework 2.0）。

• 02.簡單易用的操作介面

軟體的操作非常簡單直覺，啟動AntiDupl.NET後，可以在左上方工具列看到三個按鈕，分別是「執行搜索比對（Start Search）」、「設定比對資料夾（Paths）」、「選項設定（Options）」。

• 03.設定需要比對的資料夾

首先我們要「設定比對資料夾（Paths）」，你要在這邊決定哪些資料夾要加入搜索，預設檢索值會包含在內的子資料夾。我們可以透過：

• 「Search」頁面加入要搜尋比對的資料夾。
• 「Ignore」設定要忽略的資料夾或檔案。
• 「Valid」可以設定「直接讀取」前次已經檢查並記錄過的資料夾結果（AntiDupl.NET會自動記錄檢查結果），這樣可以節省搜尋比對時間。
• 「Delete」頁面讓你添加「優先刪除的資料夾」，AntiDupl.NET在搜尋比對後會自動建議你應該刪除哪個重複檔案，而如果你在這邊優先設定要刪除的資料夾，那麼在該資料夾裡的重複圖檔就會優先被自動建議刪除。

另 外特別再說明一次的是，AntiDupl.NET目前支援比對JPEG, GIF, TIFF, BMP,PNG等圖檔，雖然沒有像VisiPics還可以比對RAW，但是VisiPics不支援Unicode，而AntiDupl.NET可以支援 Unicode，讓你（針對繁體用戶來說的話）比對日文、簡體中文檔名的圖檔。

• 04.等待產生搜尋結果

決定這次要搜尋比對的資料夾後，回到主介面按下〔Start Search〕，就可以開始搜尋了，依據你的檔案數量和大小可能需要等待一段時間（如果你是多核心的CPU處理器，AntiDupl.NET可以自動幫你開啟多線程的檢查，讓結果更快產生）。

• 05.利用預覽視窗刪除重複圖片

搜尋比對結束後，會自動返回AntiDupl.NET主介面，這時候你可以在右方欄位看到所有的搜尋結果，選擇某一項結果後，就可以在左方欄位看到兩張重複圖片的對比預覽圖。

如果你確認兩張圖片確實是重複圖檔，這時候你就可以透過左方欄位中的功能按鈕進行相關移除動作，按鈕的圖示很直覺，打叉表示要刪除那個欄位的圖片，所以這裡由左到右的功能分別是：

刪除上方圖片、刪除下方圖片、刪除兩張圖片、用上方圖片取代下方圖片、用下方圖片取代上方圖片、將這項結果標示為錯誤判斷

如果你將該項結果標示為錯誤判斷，這個動作會被記錄下來，以後你進行其它搜尋比對時就不會再把這兩張圖片視為重複。

• 06.利用結果清單大量刪除重複圖片

我們也可以在右方結果清單欄位中，選取大量圖片進行一次性的刪除、取代動作（按住〔Shift〕或〔Ctrl〕後，用滑鼠同時選取多項結果）。這裡的按鈕功能和前面相同，我就不重複解釋了。

值得注意的是，在結果清單中有幾個很有幫助的說明欄位：

• group：這個欄位會把重複圖片編組，例如找到的重複圖片可能不只兩張，而是有3張，這時候這3張圖片就會被分成2組，每組2張重複圖片，你可以透過group分組來處理超過2張的重複圖檔。
• Different：顯示這項結果中兩張圖片的差異程度，數值愈低表示差異愈少。
• Transformation：因為AntiDupl.NET可以比對旋轉過的圖片，而這項說明欄位可以告訴你這兩張圖片是否有不同的旋轉角度（綠色打勾表示兩圖方向相同，沒有旋轉過）。
• Recommendation：推薦動作，AntiDupl.NET會自動推薦你應該刪除哪一張圖檔比較好。你還可以點選上方工具列的〔Process selected results automatically〕，將選取項目全部依據建議動作刪除。

• 07.儲存這次的搜尋結果

透過前面的預覽視窗、結果清單，你應該可以很清楚直覺的把自己硬碟中的重複圖檔好好清理一番。而如果你這次掃描過後暫時沒有時間馬上執行清理（可能找到的圖片數量很多，一項一項檢查很花時間，你又不想利用自動推薦功能大量清理），你可以透過左上方的【Save results】將這次搜尋結果儲存起來，下次可以重新【Load】以進行後續動作。

• 08.設定AntiDupl.NET的比對強度

上面幾個步驟，大概就是AntiDupl.NET的基本操作流程，基本上這個軟體不需要設定就能夠符合大多數人的需求，所以最後我們才稍微看看設定裡有哪些可以調整的項目。首先，在〔Check〕頁面我們保留預設勾選的項目，其它項目的功能分別是：

• 「search rotated and mirror image dupls」：搜尋旋轉過的重複圖檔，可以讓你把方向不同但內容相同的圖片找出來。
• 「Control image size」：大小不同（解析度，例如1024*768和800*600）的圖片視為不同圖片，預設值是大小不同但內容相同的圖片也視為重複圖片。
• 「Control image type」：格式不同（例如jpg、png、bmp’、gif）的圖片視為不同圖片，，預設值是格式不同但內容相同的圖片也視為重複圖片。
• 「Threshold difference」：多少程度以內的不同內容將會被忽略，並視兩者為重複圖片。例如預設值5%，那麼兩張圖片只要不同處少於5%，就會被視為重複圖檔。

• 09.設定AntiDupl.NET的搜尋範圍

最後再設定〔Search〕項目，你可以決定要掃描哪些格式的圖檔，以及掃描時是否要包含子資料夾等等。

• 小結：

AntiDupl.NET是一款簡單易用、免費免安裝的重複圖片搜索器，幫你快速掃描硬碟中的相似圖片，找出重複圖檔後讓你方便的進行移除和管理。AntiDupl.NET支援BMP、GIF、JPG、PNG、TIF等常見圖片格式，並且是真正的去比對兩張圖片的「圖像內容」，即使兩張圖片大小不同、格式不同，但是只要圖像內容相同，AntiDupl.NET就可以幫你抓出來！對於用戶整理硬碟圖檔來說是個實用的小工具，推薦給讀者們試用看看。

網友:flyfiresl 2009-06-11 22:35
正想諮詢這方面的問題，就看到了這篇文章。
還想請教一下GUO 哥。目前在郵件分析、聊天記錄分析、互聯網歷史記錄分析等方面都有那些較好的工具（包括法政工具和一些專用工具）？各自的特點都是什麼？謝了！
Sprite:
這個問題涉及內容有點多，有時間多寫點慢慢比較。簡單先說說。
最近測試了幾個聊天記錄分析工具，我比較喜歡的是 Forensic IM Analyzer。
此外，Paraben公司也有一個 Chat Examiner v1.0.2, 目前可以支持 ICQ 1999-2003b, Yahoo, MSN 6.1, 6.2, 7.0, & 7.5, Trillian, Skype, Hello, & Miranda
但Forensic IM Analyzer支持 ICQ (all versions from 97a to ICQ6), Microsoft MSN/LiveMessenger, Skype, Yahoo! Messenger, MySpace IM, &RQ, Miranda, SIM, QIP, QIP Infium, Google Hello, Trillian, QQ 和 AIM，比Chat Examiner多出不少類型。特別是親自測試了 Skype和QQ2008之後，感到這個工具非常好用，對中文聊天記錄支持也不錯。QQ2009的支持將在8月前完成。
兩個軟件圖過兩天補上來。
郵件分析的工具，目前有Nuix最新推出「郵件分析大師」、Intella、Paraben的E-mail Examiner v5.9 和 Network E-mail Examiner v2.2 ，Belkasoft的Belkasoft Outlook Analyzer Pro 等。
其中郵件分析大師以中文索引和電子郵件關聯分析，元數據分析，支持Foxmail及中文郵件為主要特點;
支持PST,DBX,Foxmail.
Intella以關鍵詞的搜索、元數據、郵件查找為主要特點；支持PST,Lotus Notes .NSF,DBX;
Email Examiner以對郵件支持種類多為特點，但僅支持郵件的展開和查看；

Aid4Mail console for importing, exporting, and converting

Updated AOL & PST (with 2003 support) Converters

Export any e-mail format to PST

Added support for Opera (.mbs) mail files

Export to MHTML with XLS or Database index

**Recovers Deleted/Deleted E-mail**

America Online (AOL) 9.0

Outlook Exchange (PST)

USENET Groups

Eudora

Netscape Messenger

Pegasus Mail

Outlook Express

The Bat!

Forte Agent

PocoMail

Barca

Calypso

FoxMail

Juno 3.x

EML message files

Mozilla Mail

MSN Mail

Opera 9 .mbs

maildir files

Generic mailboxes (mbox, Berkeley mail format, BSD mail format, Unix mail format)

Belkasoft Outlook Analyzer Pro可以支持PST和DBX，解釋和查看對於加密的PST郵件可以直接處理。印象深的是導出郵件非常簡便，效率很高，200多mb的pst中的幾千封郵 件只用了幾秒鐘。而且這個軟件價格很便宜，性價比超高。
此外值得一提的是X-Ways可以對恢復刪除的郵箱，解析破損的郵件。這個功能上述幾個軟件都無法解決。特別是對於破損的PST文件，可以先使用X-Ways Forensics對pst郵箱解析，再導單獨的郵件利用「郵件分析大師」處理。效果非常理想。
對於互聯網歷史記錄分析，目前可以使用x-ways Trace，NetAnalysis，和 Belkasoft Browser Analyzer。特別是最近試驗了幾個工具之後，感到 Belkasoft Browser Analyzer竟然是非常的出色，出乎意料。它支持

Microsoft Internet Explorer 7 及其早期版本，IE8正在開發中。

Mozilla Firefox，特別是支持 Firefox 3

Opera

Google Chrome

而且中文支持的很好。相比來看，另外兩個軟件對中文的支持就不是很好了。而且還都不支持Firefox 3和Google Chrome。
圖片後補
Trace 3.1目前支持IE, Firefox 2和Opera。特色還包括回收站的info2的解析。

NetAnalysis 目前支持種類最多，而且支持Mac IE。但缺點是中文支持不好。
Internet Explorer 3, 4, 5, 6, 7 & 8; MAC IE Browser

Netscape Communicator / Navigator up to 4.80 & Apple Mac Netscape Bookmark

Netscape 6, 7 and 8 Mozilla Browser / FIREFOX / AOL ARL File MAC Safari Opera

轉自計算機取證

NetAnalysis v1.37g 最新版本的互聯網歷史紀錄分析工具

在各種民事和刑事案件中，對於用戶在計算機系統中的行為分析是一件非常重要的事情。

隨著網絡色情現象和網絡犯罪的增長，對於計算機取證人員來說更加重要的是能夠以一種容易被理解的方式準確地分析數據和提取證據。

更加重要的是，作為一個取證專業人員，你需要確定的是你所使用的軟件是能夠準確無誤地在嫌疑係統內恢復現有的和已刪除的數據。

Internet History Analysis
NetAnalysis 於2001年由原英國警局電子證據專業調查人員開發，目前已經成為了對於互聯網歷史紀錄分析和恢復的行業標準。經世界各國的執法部門人員廣泛應用後證明，該軟件是分析互聯網歷史紀錄的理想工具。一些取證工具僅僅具有只讀那些可能來自成千上萬種地址的數據的能力。你怎樣通過篩選過濾所有的數據以識別所有重要的證據呢？答案是使用NetAnalysis互聯網歷史紀錄分析工具！它具有強大的搜索、過濾和證據識別以及特定的目標證據顯示功能。

查看緩存數據
離線緩存數據察看器具有非常強大的功能。 - NetAnalysis 能夠從緩存數據中分析數據，自動將頁面中的原始圖片找出來，自動重建 HTML 頁面，恢復出的頁面與嫌疑人所看到的頁面完全一樣。離線緩存數據察看器還可以作為其他分析軟件，如Encase，X-Ways Forensics協同工作，是一個體積小，速度快，支持Flash、圖像，和office文檔、PDF的外掛查看器，
自動分析功能
NetAnalysis 還具有一個特殊的功能，即可以自動、快速檢測可能存在的兒童色情網站，通過搜索用戶輸入的搜索分類、口令、帳戶名，並自動登陸網站。
NetAnalysis 能自動過濾並分類搜索詞彙。這使得可以將其作為證據單獨提交。如果嫌疑人宣稱某些圖片是意外出現或無意被保存下來的，但調查員卻找到了大量的相應詞彙的搜 索分類表明他/她正在搜索這些材料，那麼嫌疑人最終也是無法抵賴的。此外，NetAnalysis 還支持關鍵詞庫和SQL 查詢。這些詞庫和查詢可以與其他調查員分享或留作其他分析時使用。 恢復刪除的數據
NetAnalsis軟件還支持從未分配空間中恢復互聯網歷史紀錄。可以從未分配空間、Swap交換文件、 File Slack, 文件殘留區、未使用磁盤空間 、DD 鏡像和二進制文件中查找、恢復歷史記錄。一個案件中，調查員成功恢復出22 00萬條歷史記錄。軟件還可以直接從寫保護的物理和邏輯磁盤中查找記錄。 HstEx v3 即將發佈。此版本可以直接從Encase 證據文件中查找數據。

下面是 NetAnalysis 的工作界面。點擊可放大查看。 軟件界面 點擊放大 Normal Analysis Window with Additional Analytical Views常用的帶特定分析觀點的分析窗口

這是主要的帶有可見的主機列表的NetAnalysis窗口。這個主機列表窗口在主要界面中標出了經過記錄過濾的用戶曾經訪問過的範圍.

點擊放大

Cookie Analysis Window

這個窗口展示了已激活的Cookie察看器，調查員正在主地址欄中尋找一個Cookie記錄。一般情況下，如果Cookie記錄伴隨著索引文件從你的主要取證工具中被輸出，NetAnalysis也會展示出這些文件的目錄。

點擊放大

Reporting Window報告窗口

NetAnalysis擁有數量強大的內置報告，這個窗口展示了所有你也許會需要涉及的適當領域細目的高級報告。

點擊放大

HstEx v2 - History Extractor

NetAnalysis 使用其獨特的工具來提取已被刪除的數據。不管你所看見的產品是什麼類型的，HstEx都可以幫助你獲取那些已刪除數據。HstEx能夠從傳統的dd鏡像文件、二進制輸出文件、交換文件等中提取出已刪除數據 。

HstEx第三版本即將面世. 這一版本可以從眾多標準的鏡像文件中直接提取諸如以下文件：Encase使用的專門證據壓縮格式，分段的DD鏡像文件， FTK數據存取鏡像文件和智能鏡像。

這個窗口顯示了HstEX v2 偵查出的一個單一的2.44TB的DD鏡像文件。.

Click on the image to enlarge

轉自計算機取證

最近朋友一直在問固態硬盤和1.8吋硬盤的接口問題。於是蒐集了一些關於ZIF接口的相關資料。看完這些資料，大家應該對此類硬盤有一個比較清楚的認識和解決辦法了。 Sprite
硬盤廠商不斷地推出新的硬盤及硬盤接口。目前流行的1.8吋規格硬盤主要採用兩種ZIF接口，而且這種硬盤已經被大量筆記本計算機廠商採用。一種是以 Hitachi為主，另外一種是Toshiba。但此外，還有更多的固態硬盤廠商也開始使用ZIF接口，比如三星。Hitachi和Toshiba硬盤採 用的ZIF接口看上去很像，但實際並不一樣，也彼此互不兼容。他們都採用 FFC 數據線，但日立和東芝設計的 FFC 數據線密度不一樣。因此需要注意，市場上可以見到的各種ZIF硬盤轉接器都只能支持其中的某一種，不能兩種通用的。

多數的超薄筆記本計算機中使用的pATA (parallel ATA) 1.8吋硬盤採用上述接口

多數SSD固態硬盤和硬盤廠商稱上述接口為 ZIF 接口(zero insertion force)
多數情況下，數據線插入0.25mm 深。數據線插入後，黑邊將夾住數據線。

像Sony TZ和UX 某些型號使用的48GB硬盤， 數據線插入0.25mm 深
[MK8009GAH] 東芝80GB 1.8" HDD
數據線插入 0.25mm 深

---

LIF 接口與ZIF有些不同(low insertion force)
數據線多數為0.5mm 深
這類接口比較少見，也許你並沒有機會遇到，但連接前需要細緻檢查!
Hitachi 日立1.8吋硬盤具有的 LIF 端口，但也被稱為ZIF
一些固態硬盤廠商有時也在標籤上將 LIF 標註為ZIF，或將 ZIF 標註為 LIF，不知為什麼。

---

區分方法是:
插入0.25 mm深的，我們稱其為 ZIF 接口
插入0.5 mm深的，我們成為 LIF
經多數廠商認可，下類為ZIF 接口。

圖 1
下圖為 LIF 接口

圖2

---

LIF = 稍用力即可插入數據線，並被夾住，見圖2
ZIF = 無需用力數據即可插入數據線，並被夾住，見圖1.. Sprite推薦的ZIF硬盤轉接口 市場上現有一些zif轉ide的接口，價格很便宜。但Sprite不敢推薦這種接口。而且一種適配器只能適應ZIF或LIF其中的一種。質量也不敢恭維。 轉接卡1，15元，點擊放大查看
轉接卡2，40元，點擊放大查看 Sprite找到Tableau公司推出的TDA5-ZIF適配器，他能夠同時支持日立和東芝兩種硬盤的 FFC 接口標準，並可以配合Tableau 公司的任意IDE硬盤只讀設備，和硬盤複製機（如TD1）使用。在TD1硬盤複製機的設備說明中，可以看到已經包含了一個ZIF硬盤轉接器。同 時，TDA5-ZIF適配器的資料中介紹，該套件包含TDA5-ZIF 轉接器1個，兩條用於日立硬盤的 FFC 數據線和兩條用於東芝硬盤的FFC數據線。
如何連接 1.8吋ZIF硬盤至 Tableau TDA5-ZIF IDE 轉接器?
ZIF 硬盤線非常脆弱，因此在連接時要格外小心。目前有三個主要的 ZIF 硬盤廠商。Toshiba, Hitachi, 和Samsung。Toshiba 和 Samsung 的數據線規格相同，而日立硬盤的的數據線不同。 獲取 Toshiba 硬盤，連接Tableau TC20-3-2 ZIF 數據線，適配器標籤朝上，硬盤標籤向下。. 獲取 Samsung 硬盤，連接 TC20-3-2 ZIF 數據線，適配器標籤朝上，硬盤標籤朝上。 獲取 Hitachi 硬盤，連接 TC20-3-3 ZIF 數據線，適配器標籤朝上，硬盤標籤朝上。
注意：
當與Tableau只讀鎖配合使用TDA5-ZIF轉接器時，最好需要使用2英吋的Tableau TC6-2 IDE 數據線連接TDA5-ZIF適配器和只讀鎖。使用短的TC6-2 數據線可以幫助確保數據的完整性，減少額外問題。 此外，ZIF 接口實際是很脆弱的，而評測來看只能適應20次反覆插拔。所以當使用ZIP接口時，建議把經常連接的FFC數據線保留在ZIF適配器上，只有在需要更換日立或東芝硬盤類型時，再更換數據線。 因此，Sprite建議，不如一下買兩個zif轉接器，平時把數據線都連接號，這樣就不用反覆插拔數據線，延長使用壽命了。
ZIF移動硬盤數據線 連接/拆解過程（引用DIGITAL INTELLIGENCE公司網站圖片）

其他有關ZIF硬盤及其相關筆記本電腦的參考文章：
一、Apple Air 找不到硬盤的例子
SSD 硬盤不識別，在 Air 上例子不少，但這些天來研究的結果，感覺仍然是莫名其妙。儘管如此，網上玩家遇到的下面兩種情況的這些經驗，也許有用。Apple Air Rev. A 所配的機械硬盤來說，型號為 Samsung HS082HB，是 1.8" ZIF 接口、5mm 厚的硬盤，雖然是 4200 轉的，但卻是少有的 8MB 緩存，這點看，蘋果還算厚道。
1、找不到硬盤
已知有多個品牌的多個型號（如 Mtron 等）可能出現這個問題。現象是：安裝好 SSD 硬盤，使用 Mac OS X 安裝光盤運行安裝程序時，在硬盤列表不顯示 SSD 硬盤，在 Disk Utility 也找不到 SSD 硬盤。可能的原因：
1）SSD 硬盤是使用 Windows PC 進行分區的。
嘗試通過 USB 轉接盒在 Mac 下，分區選擇 1 Partition（不要使用 Current 或 Default 等其它設置）、格式選擇 Mac OS Extended (Journaled)，然後點擊 Option…，在滑動窗口中選擇 GUID Partition Table 後點擊 OK，最後點擊 Apply。最後在外接狀態下安裝系統，完成後將 SSD 硬盤從轉接盒取出，裝入 Air。
該方法可能對大多數 SSD 有用，尤其是確認選擇了 GUID Partition Table，否則即便使用 Mac OS Extended (Journaled) 格式進行格式化，也不能啟動。
2）排線沒有壓緊。嘗試在 Air 的硬盤排線 ZIF 接口端電極的背面絕緣體上再貼一層電工膠帶，然後將 SSD 硬盤接口的壓片抬起到最大，插入排線，壓緊。
3）排線沒有插到位。由於排線可能存在很微妙的寬幅偏差，如果排線不能平整插入 SSD 硬盤 ZIF 接口的根部，則需要用細砂紙小心把排線兩側磨掉一點。另外，部分 SSD 使用上下接的 ZIF 插口，如果因為排線過厚，這個需要很細心地用細砂紙均勻打磨排線電極背面的絕緣體，以便使其能夠插入 ZIF 接口。
以上兩種操作風險較大，慎重！
4）排線插反了。Air 使用的標配硬盤是三星的，和日立的 ZIF 接口通用（即下接）。但如果使用非三星的 SSD 硬盤，則其接口可能是東芝的或同時支持上下接的。如果按標配硬盤方向插上排線找不到硬盤，可以嘗試把硬盤翻轉，再插入排線（當然硬盤接口要可以雙面連接 的，或上接的）。
二、三星64GB固態硬盤ZIF接口
適用機型：
富士通u1010，p1620
DELL d420，d430, Latitude xt平板電腦
蘋果Apple Macbook Air, mp3/mp4
索尼ux50/ ux18/ux37/ux17,tx系列
東芝zif接口的計算機


更多1.8吋硬盤圖片，可以點擊放大查看每個硬盤的資料：

Toshiba 1.8吋 "ZIF" 硬盤:

IBM/ Hitachi 1.8"寸 "ZIF" 硬盤

Samsung 1.8吋"ZIF" 硬盤:

PhotoFast 固態硬盤：

金勝 SSD固態硬盤1.8吋ZIF 64GB MLC


ASAX(賽速)PATA(ZIF) 固態硬盤 1.8

此外，從網站上還可以搜索到很多品牌型號的固態硬盤，但並不都是1.8吋zif的，也有ide（pata）和sata的。大家應該心中有數。

PQI S525 固態硬盤(32GB)
優惠價：936元 優惠價：1350元 優惠價：750元 優惠價：1450元 優惠價：1350元
優惠價：2350元 優惠價：2450元 優惠價：2450元 優惠價：6208元 優惠價：3056元
優惠價：4950元 即將上市 即將上市 優惠價：1350元
芝奇 SSD固態硬盤（64GB）
轉自計算機取證技術