X-Ways Forensics32位/64位綠色版是款法政分析工具，同時也是取證軟件以及數(shù)據(jù)恢復軟件，它的功能十分強大，擁有著非常綜合性的作用，而且使用的方法也很簡單，有需要的朋友可以到站內下載！

X-Ways Forensics中文版介紹

X-Ways Forensics 是為計算機取證分析人員提供的一個功能強大的、綜合的取證、分析軟件，可在 Windows XP/2003/Vista/2008/7/8/8.1/2012/10/2016操作系統(tǒng)下運行，支持32 /64 位, Standard/PE/FE等版本。 與其他競爭產(chǎn)品相比，由于它在運行時占用的資源更少，因此它在工作時更高效，運行更快速，并且能恢復已刪除的文件，還能搜索到其他軟件搜索不到的結果，還包含許多特有的功能，最重要的是成本更低廉。

X-Ways Forensics軟件亮點

- 磁盤克隆和鏡像功能，進行完整數(shù)據(jù)獲取

- 多種數(shù)據(jù)恢復功能，可對特定文件類型恢復

- 基于GREP符號維護文件頭簽名數(shù)據(jù)庫

- 支持20種數(shù)據(jù)類型解釋

- 使用模板查看和編輯二進制數(shù)據(jù)結構

- 能夠非常簡單地發(fā)現(xiàn)并分析ADS數(shù)據(jù)（NTFS交換數(shù)據(jù)流)

- 支持多種哈希計算方法 (CRC32, MD4, ed2k, MD5,SHA-1, SHA-256, RipeMD...)

- 可分析 RAW/dd/ISO/VHD/VMDK 格式原始數(shù)據(jù)鏡像文件中的完整目錄結構，支持分段保存的鏡像文件

- 支持磁盤，RAID,扇區(qū)大小為8KB最大2TB的鏡像的完全訪問

- 支持對JBOD、RAID0、RAID 5、RAID 5EE, RAID 6, Linux軟RAID, Windows動態(tài)磁盤和LVM2等磁盤陣列

- 強大的物理搜索和邏輯搜索功能，可同時搜索多個關鍵詞

- 在NTFS卷中為文件記錄數(shù)據(jù)結構自動加色

- 書簽和注釋

- 數(shù)據(jù)擦除功能，可徹底清除存儲介質中殘留數(shù)據(jù)

- 自動識別丟失/刪除的分區(qū)

- 支持FAT12, FAT16, FAT32, exFAT, TFAT, NTFS, Ext2, Ext3, Ext4, Next3, CDFS/ISO9660/Joliet, UDF文件系統(tǒng)

- 無需修改原始硬盤或鏡像糾正分區(qū)表或文件系統(tǒng)數(shù)據(jù)結構來解析文件系統(tǒng)

- 察看并獲取 RAM和虛擬內存中的運行進程

- 可從磁盤或鏡像文件中收集殘留空間、空余空間、分區(qū)空隙中信息

- 創(chuàng)建證據(jù)文件中的文件和目錄列表

- 可以運行在Windows FE中等Windows環(huán)境

- 配合F-Response可進行遠程計算機分析

軟件功能

支持 HFS, HFS+/HFSJ/HFSX, ReiserFS, Reiser4, XFS, UFS, UFS2文件系統(tǒng), APFS

能快速獲取磁盤鏡像，還提供生成鏡像壓縮程度的選項

能夠讀寫.e01 格式的證據(jù)文件，可選擇對證據(jù)文件進行 256位AES加密 (注：并非僅僅采用口令保護方式)

能創(chuàng)建Skeleton鏡像 和Cleansed鏡像 （更多信息）

能夠拷貝相關文件至證據(jù)文件管理器文件中，如：可將相關證據(jù)文件保存至管理器中，管理并選擇性的共享給不同的需求者

完整的案例管理功能

自動創(chuàng)建軟件操作日志 (審計日志)

數(shù)據(jù)寫保護功能，確保數(shù)據(jù)真實性

可以任意添加對網(wǎng)盤的遠程分析功能（更多信息）

能分析、過濾所有卷影副本（但不包括重復數(shù)據(jù)），找到快照屬性等

點擊鼠標即可查看文件列表。輕松瀏覽文件系統(tǒng)的數(shù)據(jù)結構，例如，文件記錄，索引記錄， $LogFile,卷影副本, FAT 目錄項, Ext* inode等。

支持分區(qū)類型: 蘋果格式， MBR, GPT (GUID), Windows動態(tài)卷 (MBR+GPT), LVM2 (MBR+GPT), 未分區(qū) (軟盤/大容量軟盤)

能對Windows 2000 ， XP ， Vista，2003 server， 2008 server， Windows 7的本地內存或內存轉儲進行主內存分析，功能非常強大

顯示文件的所有者，NTFS文件權限，對象ID/GUID 以及特殊屬性

彌補 NTFS壓縮時所造成的數(shù)據(jù)丟失和 文件雕復時的Ext2/Ext3區(qū)分配邏輯

前后目錄和多個步驟之間可以快速切換、并可快速導航回到排序選項、過濾器激活（停止）、選擇的界面

內置縮略圖圖片瀏覽

內置日歷瀏覽

自動進行文件簽名、特征比對

內置文件預覽功能，支持270種以上文件類型

能夠直接從程序中打印相同的文件類型，該程序首頁包含所有元數(shù)據(jù)

能查看 Windows事件日志文件 (.evt, .evtx), Windows 快捷方式文件 (.lnk) , Windows 預讀文件, $LogFile, $UsnJrnl, 系統(tǒng)還原點 change.log, Windows Task Scheduler (.job), $EFS LUS, INFO2, 系統(tǒng)還原點change.log.1, wtmp/utmp/btmp 登陸信息, MacOS X kcpassword, AOL-PFC, outlook NK2 自動完成， Outlook WAB 地址簿, Internet Explorer 瀏覽記錄 (a.k.a. RecoveryStore), Internet Explorer index.dat 歷史和瀏覽器緩存數(shù)據(jù)庫 , SQLite數(shù)據(jù)庫例如Firefox 歷史記錄, Firefox 下載, Firefox 表單歷史, Firefox 簽名, Chrome cookies, Chrome歷史歸檔, Chrome 歷史, Chrome 登陸信息, Chrome 網(wǎng)絡數(shù)據(jù), Safari 緩存, Safari feeds, Skype 的main.db數(shù)據(jù)庫（包括聯(lián)系人和文件傳輸記錄, ...

在可用空間或虛擬文件中的閑置空間中收集Internet Explorer歷史記錄和瀏覽器緩存 index.dat

能從各種類型的文件中提取元數(shù)據(jù)和內部生成的時間戳，例如： MS office, OpenOffice, StarOffice, HTML, MDI, PDF, RTF, WRI, AOL PFC, ASF, WMV, WMA, MOV, AVI, WAV, MP4, 3GP, M4V, M4A, JPEG, BMP, THM, TIFF, GIF, PNG, GZ, ZIP, PF, IE cookies, DMP memory dumps, hiberfil.sys, PNF, SHD & SPL printer spool, tracking.log, .mdb MS access database, manifest.mbdx/.mbdb iPhone 備份, ...

記錄并追蹤已瀏覽的文件

把源文件鏈接到外部文件，例如，原文件的翻譯版、解密版或更改后的版本

能夠分析檢查抽取出的電子郵件數(shù)據(jù)，支持Outlook (PST/OST)注, Exchange EDB, Outlook Express (DBX), AOL PFC, Mozilla (包括 Thunderbird), generic mailbox (mbox, Unix), MSG, EML

生成一個功能強大的事件列表，生成該列表的時間戳來自：所有支持的文件系統(tǒng)，操作系統(tǒng)（包括事件日志，注冊表，回收站等），文件內容（例如，郵件頭，exif時間戳，GPS時間戳，最后打印時間；瀏覽器數(shù)據(jù)庫，skype 聊天記錄，通話記錄，文件傳輸記錄，創(chuàng)建的賬戶信息……）

在分析中引入時間的緯度，按照時間順序展示事件發(fā)展延伸的整個過程。在時間線中，事件以圖形顯示，可方便地查看某活動在哪個時間段活躍，哪個時間段不活躍。只需點擊鼠標即可快速過濾某個時間段的事件

擁有基于簽名和專門算法的文件類型自動驗證功能

可標記文件，并將所標記的文件添加至自定義案件報告中

自動生成HTML格式案件報告，可以用Word查看并編輯

案件報告中可關聯(lián)文件注釋或過濾信息

軟件窗口左側顯示目錄數(shù)結構，能夠瀏覽并標記相關目錄及子目錄

在扇區(qū)視圖模式下，可同步顯示對應扇區(qū)的文件和目錄

強大的動態(tài)過濾功能，能以文件類型、哈希庫、時間、文件大小、注釋、報告表等方式組合進行文件過濾

通過遞歸瀏覽功能，同時顯示所有目錄下的文件和刪除數(shù)據(jù)

能從硬盤或者硬盤鏡像中復制文件，內容可包含相應文件的完整路徑，還可包含或排除文件閑置區(qū)域的數(shù)據(jù)，或將文件閑置區(qū)域的數(shù)據(jù)單獨導出或全部導出。

自動識別加密的MS Office 和PDF文件

能從其他任何類型的文件中提取幾乎任何一種嵌入式的文件（包括圖片）， 從 JPEGs和thumbcaches中提取縮略圖,從跳轉列表中提取 .lnk 快捷方式 , 從Windows.edb中提取各種數(shù)據(jù),從SQLite中提取瀏覽器緩存、 PLists和表單記錄, 從 OLE2 和 PDF 文檔中提取各種數(shù)據(jù), ...

膚色圖片檢測功能，(根據(jù)膚色比例，以圖片集方式排序，加速對兒童色情圖片、黑白圖片的搜索)

檢測黑白或灰度的圖片，這可能是掃描到的文件或數(shù)字化存儲的傳真

能檢測到可以用OCR識別的 PDF 文檔

能通過MPlayer或Forensic Framer，根據(jù)用戶自定義的時間間隔，從視頻文件中提取靜態(tài)圖像，這樣就能在必須查看不恰當或非法內容時大大減少要查看的數(shù)據(jù)

內置 Windows 注冊表查看器(支持所有 Windows 版本)，并自動生成注冊表報告

能夠以目錄方式逐級瀏覽壓縮文件中內容

易用的邏輯搜索功能，可在所有文件、選中文件和壓縮文件、PDF, HTML, EML, ..., 等類型文件中進行搜索, 可選項有： GREP, 用戶自定義的“全字匹配”。

強大的搜索及搜索結果預覽功能，支持關鍵字臨近的上下文預覽。如：可搜索Documents and Settings目錄下，最后訪問時間為2004年，包含關鍵詞A, B, D 的doc和ppt文件

在Unicode 和各種代碼頁中進行搜索和索引

高度靈活的索引算法，并可在索引結果中搜索固定復合詞

AND ，fuzzy AND，NEAR +和 – 邏輯運算符組合使用，搜索結果

能將搜索結果導出為HTML，并高亮顯示文件內容以及文件元數(shù)據(jù)

可檢測并排除硬盤HPA區(qū)域和ATA加密硬盤保護區(qū)域，并連續(xù)標注

依據(jù)內部哈希庫，可以快速定位特定類型文件

能夠導入 NSRL RDS 2.x, HashKeeper 和ILook格式的哈希庫

可創(chuàng)立用戶專用哈希集

能夠解壓縮整個hiberfil.sys文件和單獨的xpress 塊

X-Tensions API (編程接口) ，添加您自己的功能或者現(xiàn)有的功能

無需設置并鏈接復雜的數(shù)據(jù)庫，避免了競爭產(chǎn)品無法再次打開你的案件的風險

分析外部程序的界面,例如 PhotoDNA (for law enforcement only), 能識別已知的圖片(即使圖片以不同格式保存或已經(jīng)改動)并把圖片的類別(“CP”, “relevant”, “irrelevant”)報告給 X-Ways Forensics