autopsy - 尸检法医浏览器
autopsy [-c] [-C] [-d evid_locker ] [-i device filesystem mnt ] [-p port ] [addr]
默认情况下，autopsy 在端口 9999 上启动 Autopsy Forensic Browser 服务器，并接受来自本地主机的连接。如果给出了 -p port ，则服务器在该端口上打开，如果给出了 addr ，则仅接受来自该主机的连接。当给出-i参数时，尸检进入实时分析模式。
论据如下：
强制程序使用 cookie，甚至对于 localhost 也是如此。
强制程序不使用 cookie，即使对于远程主机也是如此。
存储案例和主机的目录。这会覆盖conf.pl中的LOCKDIR值。路径必须是完整路径（即以/开头）。
指定实时分析模式的信息。可以根据需要多次指定。 device字段用于原始文件系统设备，filesystem字段用于文件系统类型，mnt字段用于挂载文件系统的点。
服务器侦听的 TCP 端口。
调查员所在位置的 IP 地址或主机名。如果使用 localhost，则 URL 中必须使用“localhost”。如果您使用实际的主机名或IP，它将被拒绝。
启动后，程序将显示一个 URL 以粘贴到 HTML 浏览器中。浏览器必须支持框架和表单。尸检取证浏览器将允许调查人员分析 dd(1) 生成的图像以获取证据。该程序允许通过浏览文件、块、索引节点或搜索块来分析图像。该程序还生成尸检报告，其中包括收集时间、调查人员姓名和 MD5 哈希值。
可以在conf.pl中设置以下变量。
当设置为 1（默认为 0）时，服务器将在不活动 STIMEOUT 秒（默认为 3600）后退出。如果不使用cookie，建议使用此设置。
案件和法医图像所在的目录。图像必须具有简单的名称，仅包含字母、数字、“_”、“-”和“.”。 （参见文件）。
Sleuth Kit 二进制文件所在的目录。
NIST 国家软件参考图书馆 (NSRL) 的位置。
Autopsy 的安装目录。
grep(1) 二进制文件的位置。
strings(1) 二进制文件的位置。
证据柜是保存所有案件和主机的地方。这是一个目录，每个案例都有一个目录。每个案例目录都会有一个针对每个主机的目录。
该文件是案例的案例配置文件。它包含主机的案例和默认子目录的描述。
该文件包含将使用此案例的调查员列表。这些仅用于日志记录，而不用于身份验证。
该文件是保存主机配置详细信息的位置。它类似于以前版本的尸检中的“fsmorgue”文件。它对于主机中的每个文件都有一个条目，并包含主机描述。
有些目录中会有这个文件。它包含目录中重要文件的 MD5 值。这使得验证图像的完整性变得容易。
autopsy -p 8888 10.1.34.19
dd(1), fls(1), ffind(1), ifind(1), grep(1), icat(1) md5(1), strings(1),
尸检取证浏览器需要The Sleuth Kit
尸检首次出现在尸检 v1.0中。
该软件根据 GNU 通用公共许可证分发。
Brian Carrier
将文档更新发送至