本页长期有效 · 建议 Ctrl+D 收藏全部工具

数字取证工具包

Autopsy / Volatility / Sleuth Kit

适用环境：取证分析 · 电子证据 · 开箱即用

一键安装命令

Windows 10/11 自带 winget。按 Win + X 打开「终端(管理员)」，逐条粘贴执行。

winget install SleuthKit.Autopsy

Autopsy

可视化取证平台，磁盘镜像分析全流程官方页 →

Volatility

内存取证，分析内存转储里的进程和网络官方页 →

Sleuth Kit

命令行取证工具集，文件系统底层分析官方页 →

1制作镜像

取证第一步是保全证据。用 dd 或 FTK Imager 做完整镜像，不要直接在原始盘上操作。

2Autopsy 分析

新建案例 → 添加数据源（镜像文件）→ 选分析模块 → 等待 → 看文件系统、时间线、关键字命中。

3内存分析

Volatility3 常用命令： vol.py -f memory.dmp windows.pslist vol.py -f memory.dmp windows.netscan

Q：这些能恢复误删文件吗

A：可以，但主要用途是取证。单纯恢复文件用 Recuva / PhotoRec 更快。

Q：镜像文件多大

A：完整镜像是原盘容量大小，1TB 盘就是 1TB 文件。空间不够可以用压缩镜像。