foxforensics/fox
GitHub: foxforensics/fox
Fox 是一款跨平台的数字取证命令行工具，集成了文件解析、日志分析、哈希识别和事件关联等全面功能，帮助调查人员高效完成取证工件检查。
Stars: 2 | Forks: 0
The Forensic Examiners Swiss Army Knife
[](https://goreportcard.com/report/github.com/foxforensics/fox/v4)
[](https://github.com/foxforensics/fox/actions)
[](https://github.com/foxforensics/fox/releases)
Fox 是一款强大的 CLI 工具，旨在支持基于文件的取证工件检查过程。
它以跨平台的独立二进制文件形式提供了广泛的取证功能。
## 功能
* [x] 限制性的只读访问
* [x] [双向字符](https://nvd.nist.gov/vuln/detail/CVE-2021-42574)检测
* [x] 字符串雕复与自动分类
* [x] 包含 290 多种 [Hashcat](https://hashcat.net/wiki/doku.php?id=example_hashes) 表示法类别
* [x] 解析 Fortinet 二进制防火墙日志
* [x] 解析 Active Directory 和其他 [EDB](https://learn.microsoft.com/en-us/windows/win32/extensible-storage-engine/extensible-storage-engine) 文件
* [x] 解析 [NTFS MFT](https://ntfs.com/ntfs-mft.htm)、LNK、PF、PST 二进制文件
* [x] 解析 [Linux ELF](https://refspecs.linuxfoundation.org/elf/elf.pdf) 和 [Windows PE/COFF](https://learn.microsoft.com/en-us/windows/win32/debug/pe-format) 可执行文件
* [x] 提取 [Active Directory](https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-security/ntlm-user-authentication) 哈希、用户、组和计算机
* [x] 使用包含 210,000 多条目的字典查找 NTLM 哈希
* [x] 通过 [VirusTotal API](https://www.virustotal.com/) 查询 URL、IP、域名和文件
* [x] 内置类似于 `grep`、`head`、`tail`、`uniq`、`wc`、`hexdump` 的功能
* [x] 内置对多种不同格式的语法高亮
* [x] 内置快速 [Shannon entropy](https://en.wikipedia.org/wiki/Entropy_(information_theory)) 计算
* [x] 内置*证据保管链*回执生成
* [x] 支持 path globbing 和文件流
* [x] 支持归档和文件路径清理
* [x] 支持加密的 `7z`、`Rar`、`Zip` 归档
* [x] 支持多种流行的归档和压缩格式
* [x] 支持多种流行的加密哈希、图像哈希、模糊哈希、快速哈希和操作系统哈希
* [x] 为每个命令提供 [man pages](assets/man)
* [x] 高级 [Hunt](assets/man/fox-hunt.md) 命令
* [x] 内置 [Linux Journals](https://systemd.io/JOURNAL_FILE_FORMAT/) 和 [Windows Event Logs](https://learn.microsoft.com/en-us/windows/win32/eventlog/event-log-file-format) 的日志雕复
* [x] 内置 [Common Event Format](https://www.microfocus.com/documentation/arcsight/arcsight-smartconnectors-8.3/cef-implementation-standard/Content/CEF/Chapter%201%20What%20is%20CEF.htm) 的超级时间线
* [x] 内置 51,600 多个事件 ID 的翻译
* [x] 内置对关键系统事件的警告
* [x] 使用 [Sigma Rules](https://sigmahq.io/) 语法过滤事件
* [x] 使用 [Levenshtein distance](https://en.wikipedia.org/wiki/Levenshtein_distance) 过滤异常
* [x] 以 [Splunk](https://help.splunk.com/en/splunk-enterprise/leverage-rest-apis/rest-api-reference/10.0/input-endpoints/input-endpoint-descriptions) 或 [Elastic](https://www.elastic.co/docs/reference/ecs) 格式流式传输事件
* [x] 使用 HTTPS 或 MQTT 协议流式传输事件
* [x] 保存为 `JSON`、`JSON Lines` 或 `Parquet`
## 安装
通过 `go` 直接安装开发版本：
```
go install go.foxforensics.eu/fox/v4@latest
```
以下系统提供独立的二进制文件和软件包：
| OS | Binaries | Packages |
|:-------:|:-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|:---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| Linux | [amd](https://github.com/foxforensics/fox/releases/latest/download/fox_linux_amd64.tar.gz) \| [arm](https://github.com/foxforensics/fox/releases/latest/download/fox_linux_arm64.tar.gz) | [apk](https://github.com/foxforensics/fox/releases/latest/download/fox_linux_amd64.apk) \| [deb](https://github.com/foxforensics/fox/releases/latest/download/fox_linux_amd64.deb) \| [pkg](https://github.com/foxforensics/fox/releases/latest/download/fox_linux_amd64.pkg.tar.zst) \| [rpm](https://github.com/foxforensics/fox/releases/latest/download/fox_linux_amd64.rpm) |
| macOs | [amd](https://github.com/foxforensics/fox/releases/latest/download/fox_darwin_amd64.tar.gz) \| [arm](https://github.com/foxforensics/fox/releases/latest/download/fox_darwin_arm64.tar.gz) | `brew install foxforensics/fox/fox` |
| Windows | [amd](https://github.com/foxforensics/fox/releases/latest/download/fox_windows_amd64.zip) \| [arm](https://github.com/foxforensics/fox/releases/latest/download/fox_windows_arm64.zip) | 二进制文件为独立可执行文件 |
## 示例
在事件日志中查找出现的内容：
```
fox -FWinlogon ./**/*.evtx
```
以规范十六进制格式显示 MBR：
```
fox -L512b image.dd
```
显示 NTLM 密码哈希：
```
fox ad -hl NTDS.dit SYSTEM
```
显示二进制文件中的所有字符串：
```
fox str -w sample.exe
```
仅列出高熵文件：
```
fox info -sN6.0 ./
```
将归档内容计算为 MD5 哈希：
```
fox hash -Hmd5 files.7z
```
追踪关键事件：
```
fox hunt -u *.dd
```
## 功能特性
AD 记录
日志格式
二进制格式
归档格式
压缩格式
加密哈希
性能哈希
感知哈希
相似度哈希
Windows 特定
Unix 特定
校验和
字典
## 构建
要构建最新的开发版本，请执行：
```
go build && ./fox --version
```
🦊 基于 [GPL-3.0](LICENSE.md) 发布。所有代码完全由人类作者编写。
标签：DAST, EVTX分析, Homebrew安装, 后渗透, 恶意软件分析, 数字取证, 数据提取, 文档结构分析, 日志审计, 网络安全审计, 自动化脚本