x-waysforensics 是一款为计算机取证分析师提供的综合取证分析软件。使用x-waysforensics，您在取证分析过程中将不再受到其他因素的影响。立即下载并使用它。

x-ways forensics 是一款为计算机取证分析师提供的综合取证分析软件。使用x-ways 取证可以防止您在取证分析过程中受到其他因素的影响。立即下载并使用它。

基本介绍

X-Ways Forensics 是一款为计算机取证分析师提供的功能强大且全面的取证和分析软件。它可以运行在Windows XP/2003/Vista/2008/7/8/8.1/2012/10操作系统下，支持32位/64位、Standard/PE/FE等版本。 （此处、此处和此处介绍了Windows FE。）由于它在运行时使用的资源比竞争产品少，因此工作效率更高、运行速度更快，并且可以恢复已删除的文件，还可以搜索其他软件无法找到的结果，并且还包含许多独特的功能。最重要的是成本更低。 X-Ways Forensics 是便携式的，可以通过USB 闪存驱动器在任何Windows 操作系统下使用，无需安装。与其他一些取证分析工具不同，X-ways Forensics 不需要用户设置数据库等繁琐的操作，超小的安装包可以在几秒内下载并安装。它可以与WinHex 十六进制和磁盘编辑器紧密集成，提供高效的工作流程模型，以便计算机取证调查人员可以使用X-Ways Investigator 与调查人员共享数据并协作工作。

特征

磁盘克隆和镜像功能，实现完整的数据采集

可以分析RAW/dd/ISO/VHD/VMDK格式的原始数据镜像文件中的完整目录结构，并支持分段保存镜像文件

支持磁盘、RAID、镜像的完全访问，扇区大小为8KB，最大2TB

支持JBOD、RAID0、RAID 5、RAID 5EE、RAID 6、Linux软件RAID、Windows动态磁盘和LVM2磁盘阵列

自动识别丢失/删除的分区

支持FAT12、FAT16、FAT32、exFAT、TFAT、NTFS、Ext2、Ext3、Ext4、Next3、CDFS/ISO9660/Joliet、UDF文件系统

无需修改原始硬盘或镜像来修正分区表或文件系统数据结构来解析文件系统

查看并获取RAM和虚拟内存中正在运行的进程

多种数据恢复功能，可恢复特定文件类型

基于GREP符号维护文件头签名数据库

支持20种数据类型解释

使用模板查看和编辑二进制数据结构

数据擦除功能可彻底清除存储介质中的残留数据

可以从磁盘或映像文件中收集剩余空间、可用空间和分区间隙信息

创建证据文件中的文件和目录列表

能够轻松发现和分析ADS数据（NTFS交换数据流）

支持多种哈希计算方法（CRC32、MD4、ed2k、MD5、SHA-1、SHA-256、RipeMD.）

强大的物理搜索和逻辑搜索功能，可同时搜索多个关键词

自动为NTFS卷中的文件记录数据结构添加颜色

书签和注释

可以运行在Windows FE和其他Windows环境中

利用F-Response，可以进行远程计算机分析

软件特点

1.查看Windows事件日志文件（.EVT、EVTX）、Windows快捷方式（.LNK）文件、Windows预读文件、$LogFile、$UsnJrnl、还原点change.log、Windows任务计划程序（.job）、$ EFS LUS、INFO2、还原点change.log.1、wtmp/utmp/btmp登录记录、MacOS X系统kcpassword、AOL-PFC、OutlookNK2自动完成文件、Outlook的WAB通讯录、IE浏览器旅行日志（又名RecoveryStore)、IE index.dat 历史记录和浏览器缓存数据库、SQLite 数据库，例如Firefox 浏览历史记录、Firefox 下载、Firefox 表单历史记录、Firefox 插件、Chrome cookie、Chrome 历史存档、Chrome 历史记录、Chrome 登录数据、Chrome 网络数据、Safari浏览器缓存、Safarifeeds、用于Skype 联系人和文件传输的main.db 数据库等

2. 从各种文件类型中提取元数据并在内部创建时间戳，并允许通过它们进行过滤，例如MS Office、OpenOffice、StarOffice、HTML、MDI、PDF、RTF、WRI、AOL、PFC、ASF、WMV、WMA、MOV、AVI 、WAV、MP4、3GP、M4V、M4A、JPEG、BMP、THM、TIFF、GIF、PNG、GZ、ZIP、PF、IEcookies、DMP 内存转储、hiberfil.sys、PNF、SHD 和SPL Tracking.log 打印机后台、MDB、MS Access 数据库、manifest.mbdx/.mbdb iPhone 备份

3.可以从任何其他类型的文件中提取几乎任何类型的嵌入文件（包括图片），从JPEG和缩略图缓存中提取缩略图，从跳转列表中提取.lnl快捷方式，从Windows.edb中提取，从浏览器缓存中提取各种数据，从SQLite 数据库表中提取PList，从OLE2 和PDF 文档中提取各种元素等。

变更日志

1.高效的磁盘镜像，具有智能压缩功能；

2. 能够读取和创建.e01证据文件，并可以使用256位AES加密证据文件；

3、完善的案件管理功能；

4、自动创建软件操作日志（审计日志）；

5、数据写保护功能，保证数据真实性；

6、具备网络环境下远程磁盘分析能力；