OSForensics是一个数据恢复工具软件，能够快速地找到电脑中隐藏的东西，快速地查找索引文件，恢复已删除文件，并鉴别可疑的文件，数字签名等。结果将会组织并生成报告文件。OSForensics是一个强大的快速文件识别与分析工具，允许你通过Hash值来校验文件的安全性，通过对比即可得知文件是否完整，或是被病毒感染，有需要的用户赶快来下载吧！
特征说明
- 能够引导一个图像作为一个虚拟机从OSForensics。
- 添加系统资源使用监视(SRUM)数据库扫描，用于收集用户活动。
- OCR(光学字符识别)允许您搜索pdf文件中的文本。
- 新的内置哈希集:键盘记录器，点对点(P2P)软件，加密货币。
- 支持导入项目VIC散列集。
基本内容有哪些
1、在文件中搜索
如果基本文件搜索功能是不够的，OSForensics还可以创建索引的文件在硬盘上，这使得快如闪电的搜索文本文件内所载，技术Wrensoft广受好评的缩放搜索引擎背后的技术
2、搜索邮件
①能够搜索文件内的一个附加功能是能够搜索电子邮件归档，索引过程中可以打开和阅读最流行的电子邮件格式的文件(PST)，并确定个人信息
②这允许一个快速的系统上发现的任何电子邮件的文本内容搜索
3、恢复已删除的文件
文件已被删除后，甚至一度扔进回收站，它往往仍然存在，直到另一个新的文件在硬盘驱动器取代它的位置 OSForensics可以追踪到这个的ghost文件数据，并试图将其恢复到可用状态的硬盘驱动器上
4、揭开近期活动
OSForensics可以发现最近在系统上执行的用户操作，包括但不限于：
①打开的文档
②网页浏览历史
③连接USB设备
④连接网络共享
5、收集系统信息
硬件系统上运行的详细信息：
①CPU的类型和数量的CPU
②RAM的数量和类型
③已安装的硬盘驱动器
④连接USB设备
6、查看活动的记忆体
①看看什么是目前的系统主内存直接，尝试发现密码和其他敏感信息，否则将无法访问
②选择检测系统的活动进程的列表，OSF也可以其内存转储到磁盘上的文件，以备后查
7、提取的登录名和密码
恢复从最近访问过的网站的用户名和密码，在常见的网页浏览器，包括IE浏览器，火狐，Chrome浏览器和Opera
王牌功能
1、Case Management案例管理
该模块用于将所有其他模块的结果汇总到一个单独的位置，即案例，以便以后对整个结果进行分析并报告结果。
2、Auto Triage自动分类
分诊为调查员提供了一种简单的方法，可以自动启动常见的法医任务，以便在有限的时间内快速获取最相关的证据数据。这一功能即使对于未经法医培训的人员来说也很有用，可以在现场获取可能具有潜在波动性或危险性的情报。
3、Auto Triage文件名搜索
该模块允许通过文件名搜索文件/目录。
4、Indexing索引
索引允许在文件内容内进行全文搜索。还能够在电子邮件存档中搜索，并从未分配的磁盘扇区中提取文本。
5、User Activity用户活动
该模块允许调查人员扫描系统以查找用户活动的证据，例如访问的网站、USB驱动器、无线网络和最近的下载。
6、Deleted Files Search已删除文件搜索
搜索并恢复最近从硬盘中删除的文件。
7、Mismatch Search不匹配搜索
查找文件扩展名与文件内容建议的扩展名不同的文件。例如，、jpeg文件重命名为、txt文件。
8、Memory Viewer内存查看器
存储器查看器允许研究人员收集和分析易失性存储器中的数字证据。由于内存的非持久性，一些数字证据可能仅在实时系统上可用。
9、Program Artifacts程序工件
程序工件查看器将预取查看器和AmCache查看器分组为单个模块。预取查看器显示操作系统的预取器存储的信息，包括应用程序的运行时间和频率。AmCache查看器显示来自AmCache配置单元的信息，其中包含程序可执行文件和安装的元信息。
10、Raw Disk Viewer原始磁盘查看器
原始磁盘查看器逐扇区显示磁盘的原始内容。隐藏在文件系统外部扇区中的数据可以通过该模块进行识别和分析。
11、Registry Viewer注册表查看器
注册表查看器允许在OSForensics中打开和查看Windows注册表配置单元，包括可以锁定/使用文件的实时系统。
12、Event Log Viewer事件日志查看器
事件日志查看器允许查看windows事件日志。该模块允许对特定日志文件执行各种操作，包括扫描、搜索、过滤、导出和时间线分析。
13、File System Browser文件系统浏览器
文件系统浏览器以分层方式显示添加到案例中的所有设备，类似于Windows资源管理器。与Explorer不同，将显示特定于取证分析的其他信息。
14、SQLite数据库浏览器
SQLite数据库浏览器以有组织的方式显示SQLite数据库文件的内容，便于导航和搜索。
15、Web浏览器
web浏览器提供了具有取证功能的基本web查看器。这包括保存网页截图并将其添加到当前打开的案例中的功能。
16、密码
从各种来源恢复和解密密码。
17、系统信息
可以查看和导出有关系统核心组件的详细信息。
18、Verify/Create Hash验证/创建哈希
创建文件或整个硬盘的哈希(SHA1、MD5、CRC32)。
19、Hash Sets哈希集
哈希集是一种快速识别已知安全或已知可疑文件的工具，以减少进一步耗时分析的需要。
20、Signatures签名
签名是系统目录结构在不同时间点的快照。可以比较签名以识别已添加、删除和更改的文件。
优势列表
1、Drive Preparation驱动器准备
驱动器准备允许在连接到系统的固定和可移动驱动器上执行字节模式验证测试。
2、Forensic Imaging镜像
将磁盘的逐位副本保存到图像文件中。将图像文件还原回磁盘。创建感兴趣的文件/目录的逻辑映像。
3、Boot Virtual Machine启动虚拟机
将包含功能操作系统的磁盘映像引导为虚拟机，重新创建感兴趣系统的实时桌面环境。
4、Internal Viewer内部查看器
内部文件查看器允许在OSForensics中预览最常见的文件格式，而无需打开外部应用程序。
5、电子邮件查看器
电子邮件查看器为浏览和分析具有取证功能的电子邮件提供了一个简单的界面。
6、剪贴板查看器
剪贴板查看器显示实时系统上剪贴板中存储的内容，包括剪贴板历史记录和固定项目(如果启用)。
7、缩略图缓存查看器
缩略图缓存查看器提取存储在Windows缩略图缓存文件中的缩略图图像以供查看。缩略图缓存文件可能包含系统上已删除图像的证据。
8、ESE数据库查看器
ESE数据库查看器显示ESE数据库文件中包含的表和记录。包括Windows Search和Microsoft Exchange Server在内的各种Microsoft应用程序以ESE数据库文件格式存储具有潜在取证价值的数据。
9、$UsnJrnl查看器
$UsnJrnl查看器解析并显示存储在NTFS$UsnJrnl卷更改日志中的日志记录。此信息对于识别文件系统或$MFT中不再存在的可疑文件(例如恶意软件)非常有用。
10、Plist查看器
查看OSX和iOS通常用于存储设置和财产的Plist(属性列表)文件的内容。
11、Android Artifacts
该模块允许调查员扫描Android案例设备和备份，以查找用户活动的证据，如访问的通话记录、网站、消息和联系人。
