performing-windows-artifact-analysis-with-eric-zimmerman-tools

使用 Eric Zimmerman 工具执行 Windows 制品分析

概述

Eric Zimmerman 的 EZ Tools 套件是一组开源取证工具，已成为 Windows 数字取证调查的全球标准。这些工具最初由一位前 FBI 特工（现任 SANS 讲师）开发，用于解析和分析关键 Windows 制品，包括主文件表（Master File Table，$MFT）、注册表 hive、预取文件（Prefetch）、事件日志、快捷方式（LNK）文件和跳转列表（Jump List）。该套件与 KAPE（Kroll Artifact Parser and Extractor）集成，实现制品的自动化收集和处理，生成结构化 CSV 输出，可导入 Timeline Explorer 进行可视化分析。EZ Tools 被全球各地的执法机构、企业事件响应人员和取证顾问广泛使用。

前置条件

• Windows 10/11 或 Windows Server 2016+ 分析工作站
• 已安装 .NET 6 运行时（EZ Tools v2.x+ 必需）
• 分析工作站上的管理员权限
• 目标系统的取证磁盘镜像或分类采集数据
• 至少 8 GB 内存（大型数据集建议 16 GB）
• 熟悉 NTFS 文件系统结构和 Windows 内部机制

工具套件组件

KAPE（Kroll Artifact Parser and Extractor）

KAPE 是主要的编排工具，通过配置文件（.tkape 和 .mkape）自动化制品收集（Targets）和处理（Modules），定义要收集的制品以及要对其运行的 EZ Tools。

安装和设置：

# 从 https://www.kroll.com/en/services/cyber-risk/incident-response-litigation-support/kroll-artifact-parser-extractor-kape 下载 KAPE
# 解压到 C:\Tools\KAPE

# 更新 KAPE Targets 和 Modules
C:\Tools\KAPE\gkape.exe  # GUI 版本
C:\Tools\KAPE\kape.exe   # CLI 版本

# 同步最新 EZ Tools 二进制文件
C:\Tools\KAPE\Get-KAPEUpdate.ps1

运行 KAPE 收集和处理：

# 从挂载的取证镜像 E: 盘收集制品并使用 EZ Tools 处理
kape.exe --tsource E: --tdest C:\Cases\Case001\Collection --target KapeTriage --mdest C:\Cases\Case001\Processed --module !EZParser

# 收集特定制品类别
kape.exe --tsource E: --tdest C:\Cases\Case001\Collection --target FileSystem,RegistryHives,EventLogs --mdest C:\Cases\Case001\Processed --module MFTECmd,RECmd,EvtxECmd

# 实时系统分类采集（以管理员身份运行）
kape.exe --tsource C: --tdest D:\LiveTriage\Collection --target KapeTriage --mdest D:\LiveTriage\Processed --module !EZParser --vhdx LiveTriageImage

MFTECmd - 主文件表解析器

MFTECmd 将 NTFS $MFT、$J（USN 日志）、$Boot、$SDS 和 $LogFile 解析为人类可读的 CSV 格式。

# 解析 $MFT 文件
MFTECmd.exe -f "C:\Cases\Evidence\$MFT" --csv C:\Cases\Output --csvf MFT_output.csv

# 解析 USN 日志（$J）
MFTECmd.exe -f "C:\Cases\Evidence\$J" --csv C:\Cases\Output --csvf USNJournal_output.csv

# 解析 $Boot 获取卷信息
MFTECmd.exe -f "C:\Cases\Evidence\$Boot" --csv C:\Cases\Output --csvf Boot_output.csv

# 解析 $SDS 获取安全描述符
MFTECmd.exe -f "C:\Cases\Evidence\$SDS" --csv C:\Cases\Output --csvf SDS_output.csv

MFT 输出关键字段：

字段	描述
EntryNumber	MFT 记录编号
ParentEntryNumber	父目录 MFT 记录
InUse	记录是否处于活跃或已删除状态
FileName	文件或目录名称
Created0x10	$STANDARD_INFORMATION 创建时间戳
Created0x30	$FILE_NAME 创建时间戳
LastModified0x10	$STANDARD_INFORMATION 修改时间戳
IsDirectory	布尔值，指示目录或文件
FileSize	逻辑文件大小（字节）
Extension	文件扩展名

PECmd - 预取文件解析器

PECmd 解析 Windows 预取文件（.pf），提供程序执行证据，包括运行次数和时间戳。

# 解析目录中所有预取文件
PECmd.exe -d "C:\Cases\Evidence\Windows\Prefetch" --csv C:\Cases\Output --csvf Prefetch_output.csv

# 解析单个预取文件并输出详细信息
PECmd.exe -f "C:\Cases\Evidence\Windows\Prefetch\CMD.EXE-4A81B364.pf" --json C:\Cases\Output

# 使用关键词过滤解析预取文件
PECmd.exe -d "C:\Cases\Evidence\Windows\Prefetch" -k "powershell,cmd,wscript,cscript,mshta" --csv C:\Cases\Output --csvf SuspiciousExec.csv

RECmd - 注册表资源管理器命令行

RECmd 使用批处理文件处理 Windows 注册表 hive，批处理文件定义要提取的键和值。

# 使用默认批处理文件处理所有注册表 hive
RECmd.exe --bn C:\Tools\KAPE\Modules\bin\RECmd\BatchExamples\RECmd_Batch_MC.reb -d "C:\Cases\Evidence\Registry" --csv C:\Cases\Output --csvf Registry_output.csv

# 处理单个 NTUSER.DAT hive
RECmd.exe -f "C:\Cases\Evidence\Users\suspect\NTUSER.DAT" --bn C:\Tools\KAPE\Modules\bin\RECmd\BatchExamples\RECmd_Batch_MC.reb --csv C:\Cases\Output

# 处理 SYSTEM hive 获取 USB 设备历史
RECmd.exe -f "C:\Cases\Evidence\Registry\SYSTEM" --bn C:\Tools\KAPE\Modules\bin\RECmd\BatchExamples\RECmd_Batch_MC.reb --csv C:\Cases\Output

EvtxECmd - Windows 事件日志解析器

EvtxECmd 将 Windows 事件日志（.evtx）文件解析为结构化 CSV 格式，支持可定制的事件 ID 映射。

# 解析目录中所有事件日志
EvtxECmd.exe -d "C:\Cases\Evidence\Windows\System32\winevt\Logs" --csv C:\Cases\Output --csvf EventLogs_output.csv

# 解析单个事件日志
EvtxECmd.exe -f "C:\Cases\Evidence\Security.evtx" --csv C:\Cases\Output --csvf Security_output.csv

# 使用自定义映射增强字段提取
EvtxECmd.exe -d "C:\Cases\Evidence\Logs" --csv C:\Cases\Output --maps C:\Tools\KAPE\Modules\bin\EvtxECmd\Maps

LECmd 和 JLECmd - 快捷方式和跳转列表解析器

# 解析 Recent 目录中的 LNK 文件
LECmd.exe -d "C:\Cases\Evidence\Users\suspect\AppData\Roaming\Microsoft\Windows\Recent" --csv C:\Cases\Output --csvf LNK_output.csv

# 解析跳转列表（自动目标）
JLECmd.exe -d "C:\Cases\Evidence\Users\suspect\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations" --csv C:\Cases\Output --csvf JumpLists_auto.csv

# 解析跳转列表（自定义目标）
JLECmd.exe -d "C:\Cases\Evidence\Users\suspect\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations" --csv C:\Cases\Output --csvf JumpLists_custom.csv

SBECmd - ShellBag 资源管理器命令行

# 从注册表 hive 目录解析 ShellBag
SBECmd.exe -d "C:\Cases\Evidence\Registry" --csv C:\Cases\Output --csvf Shellbags_output.csv

# 从实时系统解析 ShellBag（需要管理员权限）
SBECmd.exe --live --csv C:\Cases\Output --csvf LiveShellbags_output.csv

Timeline Explorer - 可视化分析

Timeline Explorer 是用于分析所有 EZ Tools CSV 输出的 GUI 工具，支持过滤、排序、列分组和条件格式化。

# 启动 Timeline Explorer 并打开 CSV 输出
TimelineExplorer.exe "C:\Cases\Output\MFT_output.csv"

Timeline Explorer 关键功能：

• 支持正则表达式的列级过滤
• 时间戳异常的条件格式化
• 用于时间顺序分析的多列排序
• 将过滤结果导出为新 CSV 文件
• 对感兴趣的行添加书签

调查工作流程

步骤 1：使用 KAPE 收集制品

# 从挂载在 E: 的取证镜像进行完整分类采集
kape.exe --tsource E: --tdest C:\Cases\Case001\Collected --target KapeTriage --vhdx TriageImage --zv false

步骤 2：使用 EZ Tools 处理制品

# 处理所有已收集的制品
kape.exe --msource C:\Cases\Case001\Collected --mdest C:\Cases\Case001\Processed --module !EZParser

步骤 3：时间线分析

1. 在 Timeline Explorer 中打开已处理的 CSV 文件
2. 按时间戳列排序以建立时间顺序
3. 按特定文件扩展名、路径或事件 ID 过滤
4. 交叉参考 MFT 时间戳与事件日志条目
5. 通过比较 $SI 和 $FN 时间戳识别时间戳篡改（Timestomping）
6. 使用书签和导出的过滤视图记录发现

步骤 4：时间戳篡改检测

# 在 Timeline Explorer 中比较以下列：
# Created0x10（$STANDARD_INFORMATION）vs Created0x30（$FILE_NAME）
# 若 Created0x10 < Created0x30，则表明存在时间戳篡改
# $FILE_NAME 时间戳比 $STANDARD_INFORMATION 更难被篡改

取证制品参考

工具	制品	位置
MFTECmd	$MFT	NTFS 卷根目录
MFTECmd	$J（USN 日志）	$Extend$UsnJrnl:$J
PECmd	预取文件	C:\Windows\Prefetch*.pf
RECmd	NTUSER.DAT	C:\Users{user}\NTUSER.DAT
RECmd	SYSTEM hive	C:\Windows\System32\config\SYSTEM
RECmd	SAM hive	C:\Windows\System32\config\SAM
RECmd	SOFTWARE hive	C:\Windows\System32\config\SOFTWARE
EvtxECmd	事件日志	C:\Windows\System32\winevt\Logs*.evtx
LECmd	LNK 文件	C:\Users{user}\AppData\Roaming\Microsoft\Windows\Recent\
JLECmd	跳转列表	C:\Users{user}\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\
SBECmd	ShellBag	NTUSER.DAT 和 UsrClass.dat 注册表 hive

常见调查场景

恶意软件执行证据

1. 使用 PECmd 解析预取文件以识别已执行的二进制文件
2. 与 MFT 交叉参考以获取文件创建时间戳
3. 使用 RECmd 检查 Amcache.hve 获取可执行文件的 SHA1 哈希值
4. 与事件日志中的进程创建条目关联（事件 ID 4688）

数据渗出调查

1. 使用 MFTECmd 解析 USN 日志以获取文件重命名/删除操作
2. 使用 LECmd 分析 LNK 文件以获取最近访问的文档
3. 使用 SBECmd 审查 ShellBag 以获取目录浏览活动
4. 使用 RECmd 检查 SYSTEM 注册表中的 USB 设备连接记录

横向移动检测

1. 使用 EvtxECmd 解析 Security.evtx 获取登录事件（4624、4625）
2. 分析 RDP 相关事件日志（Microsoft-Windows-TerminalServices）
3. 与 SMB 日志中的网络共享访问交叉参考
4. 审查计划任务和服务以发现持久化机制

输出格式与集成

所有 EZ Tools 生成的 CSV 输出均可：

• 在 Timeline Explorer 中进行可视化调查分析
• 导入 Splunk、Elastic 或其他 SIEM 平台
• 通过 Python/PowerShell 脚本进行自动化分析
• 使用 log2timeline/Plaso 整合为超级时间线

参考资料

• Eric Zimmerman 工具：https://ericzimmerman.github.io/
• KAPE 文档：https://ericzimmerman.github.io/KapeDocs/
• SANS EZ Tools 培训：https://www.sans.org/tools/ez-tools
• SANS FOR508：高级事件响应与威胁狩猎
• SANS FOR498：战场取证与数据采集