x-ways forensic17.9法證版是一款針對計算機取證人員打造的分析軟件。該軟件可以與WinHex軟件緊密結(jié)合，支持32 /64 位，Standard/PE/FE等版本，可隨身攜帶，能夠通過U盤在任意Windows操作系統(tǒng)下使用。

【功能特點】

　　磁盤克隆和鏡像功能，進行完整數(shù)據(jù)獲取

　　可分析 RAW/dd/ISO/VHD/VMDK 格式原始數(shù)據(jù)鏡像文件中的完整目錄結(jié)構(gòu)，支持分段保存的鏡像文件

　　支持磁盤，RAID,扇區(qū)大小為8KB最大2TB的鏡像的完全訪問

　　支持對JBOD、RAID0、RAID 5、RAID 5EE, RAID 6, Linux軟RAID, Windows動態(tài)磁盤和LVM2等磁盤陣列

　　自動識別丟失/刪除的分區(qū)

　　支持FAT12, FAT16, FAT32, exFAT, TFAT, NTFS, Ext2, Ext3, Ext4, Next3, CDFS/ISO9660/Joliet, UDF文件系統(tǒng)

　　無需修改原始硬盤或鏡像糾正分區(qū)表或文件系統(tǒng)數(shù)據(jù)結(jié)構(gòu)來解析文件系統(tǒng)

　　察看并獲取 RAM和虛擬內(nèi)存中的運行進程

　　多種數(shù)據(jù)恢復(fù)功能，可對特定文件類型恢復(fù)

　　基于GREP符號維護文件頭簽名數(shù)據(jù)庫

　　支持20種數(shù)據(jù)類型解釋

　　使用模板查看和編輯二進制數(shù)據(jù)結(jié)構(gòu)

　　數(shù)據(jù)擦除功能，可徹底清除存儲介質(zhì)中殘留數(shù)據(jù)

　　可從磁盤或鏡像文件中收集殘留空間、空余空間、分區(qū)空隙中信息

【軟件優(yōu)勢】

　　1、查看Windows事件日志文件(.EVT，.EVTX)，Windows快捷方式(.LNK)文件，Windows預(yù)讀取文件，$LogFile, $UsnJrnl,還原點change.log，Windows任務(wù)計劃程序(.job)，$EFS LUS， INFO2，還原點change.log.1，wtmp/utmp/btmp log-in records登錄記錄，MacOS X系統(tǒng)kcpassword，AOL-PFC，OutlookNK2自動完成文件，Outlook的WAB地址簿，IE瀏覽器travellog(又名RecoveryStore)，IE瀏覽器index.dat歷史記錄和瀏覽器緩存數(shù)據(jù)庫，SQLite數(shù)據(jù)庫，如Firefox瀏覽歷史，F(xiàn)irefox下載，F(xiàn)irefox表單歷史，F(xiàn)irefox插件，Chrome的cookie，Chrome歷史歸檔，Chrome歷史記錄，Chrome登錄數(shù)據(jù)，Chrome網(wǎng)頁數(shù)據(jù)，Safari瀏覽器緩存，Safarifeeds，Skype聯(lián)系人和文件傳輸?shù)膍ain.db數(shù)據(jù)庫等等

　　2、提取元數(shù)據(jù)，并從各種文件類型的內(nèi)部創(chuàng)建時間戳，并允許通過他們過濾，如MS Office，OpenOffice，StarOffice，HTML，MDI，PDF，RTF，WRI，AOL，PFC，ASF，WMV，WMA，MOV，AVI，WAV， MP4，3GP，M4V，M4A，JPEG，BMP，THM，TIFF，GIF，PNG，GZ，ZIP，PF，IEcookies，DMP內(nèi)存轉(zhuǎn)儲，hiberfil.sys，PNF，SHD和SPL打印機后臺的Tracking.log， MDB，MS Access數(shù)據(jù)庫，manifest.mbdx/.mbdb iPhone備份

　　3、可以從任何其他類型的文件中提取幾乎任何一種嵌入式文件(包括圖片)，從JPEG和縮略圖緩存中提取縮略圖，從跳轉(zhuǎn)列表中提取.lnl快捷方式，從Windows.edb、瀏覽器緩存中提取各種數(shù)據(jù)，，從SQLite數(shù)據(jù)庫表中提取PLists，從OLE2和PDF文檔中的提取雜項元素等等