163 outils

Parseurs et outils forensiques Windows

Tous les parseurs et outils cités sur ce site, avec leur licence et les artefacts qu'ils traitent. Ouvrez un artefact pour savoir comment les utiliser.

Outil	Type	Artefacts
$LogFile Parser	Navigateur	$LogFile (journal de transactions NTFS)
Amcache Parser	Navigateur	Amcache.hve Pilotes noyau (.sys, services de pilote, BYOVD) Programmes installés (clés Uninstall, MSI, AppX) Sous-système Windows pour Linux (WSL)
BAM/DAM Parser	Navigateur	BAM / DAM (Background Activity Moderator)
Browser Forensics	Navigateur	Artefacts des navigateurs (Chrome, Edge, Firefox)
Disk Image Parser	Navigateur	$LogFile (journal de transactions NTFS) Attributs d'index $I30 Descripteurs de sécurité $Secure:$SDS Images disque montées (ISO, IMG, VHD, VHDX) Journal USN ($UsnJrnl:$J) Ruches du registre Sous-système Windows pour Linux (WSL) Table de fichiers maîtres ($MFT)
EVTX Parser	Navigateur	Artefacts de stratégie de groupe Fichiers du spouleur d'impression (.SPL et .SHD) Historique des périphériques USB Images disque montées (ISO, IMG, VHD, VHDX) Journal d'événements Sysmon Journaux d'événements Windows (EVTX) Journaux du pare-feu Windows Journaux et historique PowerShell Journaux et quarantaine Microsoft Defender NTDS.dit et contrôleurs de domaine Outils d'accès distant (RMM) Périphériques Bluetooth appairés Pilotes noyau (.sys, services de pilote, BYOVD) Profils réseau (NetworkList) Programmes installés (clés Uninstall, MSI, AppX) Rapports d'erreurs Windows (WER) Serveur et client OpenSSH Services Windows Tâches BITS (base qmgr) Tâches planifiées Traces de connexions RDP
Hash Extractor	Navigateur	—
Jump List Parser	Navigateur	Images disque montées (ISO, IMG, VHD, VHDX) Jump Lists
LNK Parser	Navigateur	Fichiers de raccourci LNK Images disque montées (ISO, IMG, VHD, VHDX) Sous-système Windows pour Linux (WSL)
Messaging Forensics	Navigateur	Fichiers de données Outlook (PST et OST) Messageries de bureau (Slack, Signal, WhatsApp…) Microsoft Teams (client classique et nouveau client)
MFT Parser	Navigateur	Table de fichiers maîtres ($MFT) Zone.Identifier (Mark of the Web)
Pagefile Parser	Navigateur	pagefile.sys et swapfile.sys
PCAP Parser	Navigateur	Journaux du pare-feu Windows Outils d'accès distant (RMM)
PE Parser	Navigateur	Fichiers PE (exécutables Windows) Pilotes noyau (.sys, services de pilote, BYOVD)
PowerShell Parser	Navigateur	Journaux et historique PowerShell
Prefetch Parser	Navigateur	Fichiers Prefetch (.pf) Images disque montées (ISO, IMG, VHD, VHDX) Sous-système Windows pour Linux (WSL)
RAM Parser	Navigateur	DPAPI et Gestionnaire d'identifiants hiberfil.sys (fichier d'hibernation) Vidages mémoire (MEMORY.DMP, minidumps)
RDP Cache Parser	Navigateur	Cache bitmap RDP
RecentFileCache Parser	Navigateur	RecentFileCache.bcf
Recycle Bin Parser	Navigateur	Corbeille
Registry Parser	Navigateur	Artefacts de stratégie de groupe BAM / DAM (Background Activity Moderator) CapabilityAccessManager (caméra, micro, position) Clés Run et dossiers Démarrage DPAPI et Gestionnaire d'identifiants Fichiers du spouleur d'impression (.SPL et .SHD) Historique des périphériques USB Images disque montées (ISO, IMG, VHD, VHDX) MUICache NTDS.dit et contrôleurs de domaine Office MRU et Trust Records OpenSaveMRU et LastVisitedMRU Outils d'accès distant (RMM) Périphériques Bluetooth appairés Persistance IFEO et Winlogon Pilotes noyau (.sys, services de pilote, BYOVD) Profils réseau (NetworkList) Programmes installés (clés Uninstall, MSI, AppX) RecentDocs Ruche SAM et comptes utilisateurs Ruches du registre RunMRU Services Windows Sous-système Windows pour Linux (WSL) Syscache.hve Traces de connexions RDP TypedPaths et WordWheelQuery UserAssist
Scheduled Tasks Parser	Navigateur	Tâches planifiées
SecretsDump	Navigateur	DPAPI et Gestionnaire d'identifiants NTDS.dit et contrôleurs de domaine Ruche SAM et comptes utilisateurs
ShellBags Parser	Navigateur	ShellBags Sous-système Windows pour Linux (WSL)
ShimCache Parser	Navigateur	ShimCache (AppCompatCache)
SRUM Parser	Navigateur	SRUM (System Resource Usage Monitor)
Thumbcache Parser	Navigateur	Thumbcache
USB Forensics	Navigateur	Historique des périphériques USB
USN Journal Parser	Navigateur	Journal USN ($UsnJrnl:$J)
Windows Notification Parser	Navigateur	Base des notifications (wpndatabase.db)
Windows Search Parser	Navigateur	Index Windows Search
Windows Timeline Parser	Navigateur	Historique du presse-papiers Windows Timeline (ActivitiesCache.db)
WMI Parser	Navigateur	Référentiel WMI et SCCM RecentlyUsedApps
Velociraptor	Plateforme · open source	Amcache.hve Artefacts des navigateurs (Chrome, Edge, Firefox) Attributs d'index $I30 BAM / DAM (Background Activity Moderator) Base des notifications (wpndatabase.db) Cache bitmap RDP CapabilityAccessManager (caméra, micro, position) Clés Run et dossiers Démarrage Clichés instantanés de volume (VSS) Corbeille Descripteurs de sécurité $Secure:$SDS Fichiers de raccourci LNK Fichiers Prefetch (.pf) Historique du presse-papiers Images disque montées (ISO, IMG, VHD, VHDX) Journal d'événements Sysmon Journal USN ($UsnJrnl:$J) Journaux du pare-feu Windows Journaux du serveur web IIS Journaux et historique PowerShell Jump Lists Notepad TabState (Windows 11) Office MRU et Trust Records Persistance IFEO et Winlogon Pilotes noyau (.sys, services de pilote, BYOVD) Programmes installés (clés Uninstall, MSI, AppX) Rapports d'erreurs Windows (WER) RecentDocs Référentiel WMI et SCCM RecentlyUsedApps Ruche SAM et comptes utilisateurs Ruches du registre RunMRU Serveur et client OpenSSH Services Windows ShellBags ShimCache (AppCompatCache) Sous-système Windows pour Linux (WSL) SRUM (System Resource Usage Monitor) Table de fichiers maîtres ($MFT) Tâches BITS (base qmgr) Tâches planifiées Traces de connexions RDP UserAssist Windows Recall (instantanés des PC Copilot+) Windows Timeline (ActivitiesCache.db) Zone.Identifier (Mark of the Web)
Registry ExplorerEric Zimmerman	GUI	Amcache.hve Artefacts de stratégie de groupe Assistant Compatibilité des programmes (PCA) BAM / DAM (Background Activity Moderator) CapabilityAccessManager (caméra, micro, position) Clés Run et dossiers Démarrage Client de synchronisation OneDrive Fichiers du spouleur d'impression (.SPL et .SHD) Historique des périphériques USB Images disque montées (ISO, IMG, VHD, VHDX) Journaux du pare-feu Windows MUICache Office MRU et Trust Records OpenSaveMRU et LastVisitedMRU Périphériques Bluetooth appairés Persistance IFEO et Winlogon Pilotes noyau (.sys, services de pilote, BYOVD) Profils réseau (NetworkList) Programmes installés (clés Uninstall, MSI, AppX) RecentDocs Ruche SAM et comptes utilisateurs Ruches du registre RunMRU Services Windows Sous-système Windows pour Linux (WSL) Syscache.hve Traces de connexions RDP TypedPaths et WordWheelQuery UserAssist
RegRipper	CLI · open source	Amcache.hve Artefacts de stratégie de groupe Assistant Compatibilité des programmes (PCA) BAM / DAM (Background Activity Moderator) Clés Run et dossiers Démarrage Historique des périphériques USB MUICache Office MRU et Trust Records OpenSaveMRU et LastVisitedMRU Périphériques Bluetooth appairés Persistance IFEO et Winlogon Profils réseau (NetworkList) Programmes installés (clés Uninstall, MSI, AppX) RecentDocs Ruche SAM et comptes utilisateurs Ruches du registre RunMRU Services Windows ShellBags ShimCache (AppCompatCache) Syscache.hve Tâches planifiées Traces de connexions RDP TypedPaths et WordWheelQuery UserAssist
EvtxECmdEric Zimmerman	CLI	Fichiers du spouleur d'impression (.SPL et .SHD) Historique des périphériques USB Images disque montées (ISO, IMG, VHD, VHDX) Journal d'événements Sysmon Journaux d'événements Windows (EVTX) Journaux du pare-feu Windows Journaux et historique PowerShell Journaux et quarantaine Microsoft Defender Outils d'accès distant (RMM) Périphériques Bluetooth appairés Pilotes noyau (.sys, services de pilote, BYOVD) Programmes installés (clés Uninstall, MSI, AppX) Rapports d'erreurs Windows (WER) Référentiel WMI et SCCM RecentlyUsedApps Serveur et client OpenSSH Services Windows Tâches BITS (base qmgr) Tâches planifiées Traces de connexions RDP
RECmdEric Zimmerman	CLI	BAM / DAM (Background Activity Moderator) CapabilityAccessManager (caméra, micro, position) Clés Run et dossiers Démarrage Historique des périphériques USB Office MRU et Trust Records OpenSaveMRU et LastVisitedMRU Outils d'accès distant (RMM) Périphériques Bluetooth appairés Persistance IFEO et Winlogon Profils réseau (NetworkList) RecentDocs Ruches du registre RunMRU Services Windows TypedPaths et WordWheelQuery
Plaso	CLI · open source	Base des notifications (wpndatabase.db) Clés Run et dossiers Démarrage Corbeille Fichiers de raccourci LNK Journal USN ($UsnJrnl:$J) Jump Lists Persistance IFEO et Winlogon Sous-système Windows pour Linux (WSL) Table de fichiers maîtres ($MFT) Tâches planifiées Windows Timeline (ActivitiesCache.db)
DB Browser for SQLite	GUI · open source	Artefacts des navigateurs (Chrome, Edge, Firefox) Base des notifications (wpndatabase.db) CapabilityAccessManager (caméra, micro, position) Client de synchronisation OneDrive Historique du presse-papiers Sticky Notes (plum.sqlite et StickyNotes.snt) Windows Recall (instantanés des PC Copilot+)
MFTECmdEric Zimmerman	CLI	Attributs d'index $I30 Descripteurs de sécurité $Secure:$SDS Images disque montées (ISO, IMG, VHD, VHDX) Journal USN ($UsnJrnl:$J) Syscache.hve Table de fichiers maîtres ($MFT) Zone.Identifier (Mark of the Web)
AmcacheParserEric Zimmerman	CLI	Amcache.hve Pilotes noyau (.sys, services de pilote, BYOVD) Programmes installés (clés Uninstall, MSI, AppX) Serveur et client OpenSSH Sous-système Windows pour Linux (WSL)
AutorunsSysinternals	GUI	Clés Run et dossiers Démarrage Persistance IFEO et Winlogon Pilotes noyau (.sys, services de pilote, BYOVD) Référentiel WMI et SCCM RecentlyUsedApps Services Windows
dfir_ntfs	Bibliothèque · open source	$LogFile (journal de transactions NTFS) Attributs d'index $I30 Clichés instantanés de volume (VSS) Journal USN ($UsnJrnl:$J) Table de fichiers maîtres ($MFT)
Get-WinEventMicrosoft	CLI · intégré à Windows	Journal d'événements Sysmon Journaux de suivi d'événements (fichiers ETL) Journaux du pare-feu Windows Serveur et client OpenSSH
Hayabusa	CLI · open source	Journal d'événements Sysmon Journaux d'événements Windows (EVTX) Journaux et historique PowerShell Traces de connexions RDP
KAPEEric Zimmerman	CLI	Clichés instantanés de volume (VSS) Notepad TabState (Windows 11) Outils d'accès distant (RMM) Windows Recall (instantanés des PC Copilot+)
PECmdEric Zimmerman	CLI	Fichiers Prefetch (.pf) Images disque montées (ISO, IMG, VHD, VHDX) Serveur et client OpenSSH Sous-système Windows pour Linux (WSL)
SQLECmdEric Zimmerman	CLI	Artefacts des navigateurs (Chrome, Edge, Firefox) Base des notifications (wpndatabase.db) Sticky Notes (plum.sqlite et StickyNotes.snt) Windows Timeline (ActivitiesCache.db)
Volatility 3	CLI · open source	hiberfil.sys (fichier d'hibernation) Historique du presse-papiers Pilotes noyau (.sys, services de pilote, BYOVD) Vidages mémoire (MEMORY.DMP, minidumps)
bulk_extractor	CLI · open source	Fichiers du spouleur d'impression (.SPL et .SHD) hiberfil.sys (fichier d'hibernation) pagefile.sys et swapfile.sys
Chainsaw	CLI · open source	Journal d'événements Sysmon Journaux d'événements Windows (EVTX) Journaux et historique PowerShell
impacket	CLI · open source	DPAPI et Gestionnaire d'identifiants NTDS.dit et contrôleurs de domaine Ruche SAM et comptes utilisateurs
Arsenal Image Mounter	GUI	Clichés instantanés de volume (VSS) Sous-système Windows pour Linux (WSL)
ccl_chromium_reader	Bibliothèque · open source	Messageries de bureau (Slack, Signal, WhatsApp…) Microsoft Teams (client classique et nouveau client)
ChromeCacheViewNirSoft	GUI	Messageries de bureau (Slack, Signal, WhatsApp…) Microsoft Teams (client classique et nouveau client)
JLECmdEric Zimmerman	CLI	Images disque montées (ISO, IMG, VHD, VHDX) Jump Lists
LECmdEric Zimmerman	CLI	Fichiers de raccourci LNK Images disque montées (ISO, IMG, VHD, VHDX)
libesedblibyal	Bibliothèque · open source	Index Windows Search NTDS.dit et contrôleurs de domaine
Log Parser	CLI	Journaux du pare-feu Windows Journaux du serveur web IIS
NTFS Log Tracker	GUI	$LogFile (journal de transactions NTFS) Journal USN ($UsnJrnl:$J)
sigcheckSysinternals	CLI	Fichiers PE (exécutables Windows) Pilotes noyau (.sys, services de pilote, BYOVD)
The Sleuth Kit	CLI · open source	Sous-système Windows pour Linux (WSL) Table de fichiers maîtres ($MFT)
Thumbcache Viewer	GUI · open source	Index Windows Search Thumbcache
Timeline ExplorerEric Zimmerman	GUI	Assistant Compatibilité des programmes (PCA) Journaux du serveur web IIS
WinDbg	GUI	Rapports d'erreurs Windows (WER) Vidages mémoire (MEMORY.DMP, minidumps)
WxTCmdEric Zimmerman	CLI	Historique du presse-papiers Windows Timeline (ActivitiesCache.db)
YARA	CLI · open source	Fichiers PE (exécutables Windows) pagefile.sys et swapfile.sys
010 Editor	GUI · commercial	Notepad TabState (Windows 11)
Aid4Mail	GUI · commercial	Fichiers de données Outlook (PST et OST)
AppCompatCacheParserEric Zimmerman	CLI	ShimCache (AppCompatCache)
AppCrashViewNirSoft	GUI	Rapports d'erreurs Windows (WER)
AppResourcesUsageViewNirSoft	GUI	SRUM (System Resource Usage Monitor)
BitsParser	CLI · open source	Tâches BITS (base qmgr)
BlueScreenViewNirSoft	GUI	Vidages mémoire (MEMORY.DMP, minidumps)
BluetoothViewNirSoft	GUI	Périphériques Bluetooth appairés
bmc-tools	CLI · open source	Cache bitmap RDP
BrowsingHistoryViewNirSoft	GUI	Artefacts des navigateurs (Chrome, Edge, Firefox)
capa	CLI · open source	Fichiers PE (exécutables Windows)
CCM_RUA_Finder	CLI · open source	Référentiel WMI et SCCM RecentlyUsedApps
Community TabState parsers	—	Notepad TabState (Windows 11)
DataProtectionDecryptorNirSoft	GUI	DPAPI et Gestionnaire d'identifiants
DB Browser for SQLCipher	GUI · open source	Messageries de bureau (Slack, Signal, WhatsApp…)
Detect It Easy	GUI · open source	Fichiers PE (exécutables Windows)
dfindexeddb	Bibliothèque · open source	Microsoft Teams (client classique et nouveau client)
DHParser	—	Journaux et quarantaine Microsoft Defender
Dissect	Bibliothèque · open source	Journaux et quarantaine Microsoft Defender
driverqueryMicrosoft	CLI · intégré à Windows	Pilotes noyau (.sys, services de pilote, BYOVD)
DSInternals	Bibliothèque · open source	NTDS.dit et contrôleurs de domaine
Éditeur de texte	—	Assistant Compatibilité des programmes (PCA)
éditeur texte / grep	—	Outils d'accès distant (RMM)
EMF Spool Viewer	—	Fichiers du spouleur d'impression (.SPL et .SHD)
ESEDatabaseViewNirSoft	GUI	Index Windows Search
etl-parser	CLI · open source	Journaux de suivi d'événements (fichiers ETL)
Event ViewerMicrosoft	GUI · intégré à Windows	Journaux d'événements Windows (EVTX)
ExecutedProgramsListNirSoft	GUI	MUICache
Forensic Email Collector	GUI · commercial	Fichiers de données Outlook (PST et OST)
forensicsim	CLI · open source	Microsoft Teams (client classique et nouveau client)
Get-AppxPackageMicrosoft	CLI · intégré à Windows	Programmes installés (clés Uninstall, MSI, AppX)
gpresultMicrosoft	CLI · intégré à Windows	Artefacts de stratégie de groupe
Hibernation Recon	GUI · commercial	hiberfil.sys (fichier d'hibernation)
Hibr2Bin	CLI · open source	hiberfil.sys (fichier d'hibernation)
Hindsight	CLI · open source	Artefacts des navigateurs (Chrome, Edge, Firefox)
Indx2Csv	CLI · open source	Attributs d'index $I30
INDXParse	CLI · open source	Attributs d'index $I30
LevelDBDumper	—	Microsoft Teams (client classique et nouveau client)
liblnklibyal	Bibliothèque · open source	Fichiers de raccourci LNK
libolecflibyal	Bibliothèque · open source	Jump Lists
libsccalibyal	Bibliothèque · open source	Fichiers Prefetch (.pf)
libvshadowlibyal	Bibliothèque · open source	Clichés instantanés de volume (VSS)
libwtcdblibyal	Bibliothèque · open source	Thumbcache
Log Parser Studio	GUI	Journaux du serveur web IIS
LogFileParser	CLI · open source	$LogFile (journal de transactions NTFS)
Magnet AXIOM	Plateforme · commercial	Fichiers de données Outlook (PST et OST)
MemProcFS	CLI · open source	Vidages mémoire (MEMORY.DMP, minidumps)
mimikatz	CLI · open source	DPAPI et Gestionnaire d'identifiants
MiTeC Structured Storage Viewer	GUI	Sticky Notes (plum.sqlite et StickyNotes.snt)
module PowerShell GroupPolicy	—	Artefacts de stratégie de groupe
mplog_parser	CLI · open source	Journaux et quarantaine Microsoft Defender
ntdsutilMicrosoft	CLI · intégré à Windows	NTDS.dit et contrôleurs de domaine
odl.py	—	Client de synchronisation OneDrive
OneDriveExplorer	GUI · open source	Client de synchronisation OneDrive
pefile	Bibliothèque · open source	Fichiers PE (exécutables Windows)
PerfView	GUI · open source	Journaux de suivi d'événements (fichiers ETL)
PEStudio	GUI	Fichiers PE (exécutables Windows)
pffexportlibyal	CLI · open source	Fichiers de données Outlook (PST et OST)
PhotoRec	CLI · open source	pagefile.sys et swapfile.sys
PowerShellMicrosoft	CLI · intégré à Windows	Zone.Identifier (Mark of the Web)
python-cim	Bibliothèque · open source	Référentiel WMI et SCCM RecentlyUsedApps
python-evtx	Bibliothèque · open source	Journaux d'événements Windows (EVTX)
PyWMIPersistenceFinder	CLI · open source	Référentiel WMI et SCCM RecentlyUsedApps
RBCmdEric Zimmerman	CLI	Corbeille
RdpCacheStitcher	GUI · open source	Cache bitmap RDP
readpst	CLI · open source	Fichiers de données Outlook (PST et OST)
RecentFileCacheParserEric Zimmerman	CLI	RecentFileCache.bcf
regipy	Bibliothèque · open source	Ruches du registre
rfc.pl	—	RecentFileCache.bcf
Rifiuti2	CLI · open source	Corbeille
SBECmdEric Zimmerman	CLI	ShellBags
SharpDPAPI	CLI · open source	DPAPI et Gestionnaire d'identifiants
ShellBags ExplorerEric Zimmerman	GUI	ShellBags
ShimCacheParser	CLI · open source	ShimCache (AppCompatCache)
SIDR	CLI · open source	Index Windows Search
sigtop	CLI · open source	Messageries de bureau (Slack, Signal, WhatsApp…)
SPLViewer	GUI · open source	Fichiers du spouleur d'impression (.SPL et .SHD)
srum-dump	CLI · open source	SRUM (System Resource Usage Monitor)
SrumECmdEric Zimmerman	CLI	SRUM (System Resource Usage Monitor)
StickyParser	CLI · open source	Sticky Notes (plum.sqlite et StickyNotes.snt)
StreamsSysinternals	CLI	Zone.Identifier (Mark of the Web)
stringsSysinternals	CLI	pagefile.sys et swapfile.sys
TaskSchedulerViewNirSoft	GUI	Tâches planifiées
tg-desktop-investigation	—	Messageries de bureau (Slack, Signal, WhatsApp…)
Thumbs Viewer	GUI · open source	Thumbcache
TotalRecall	CLI · open source	Windows Recall (instantanés des PC Copilot+)
tracerptMicrosoft	CLI · intégré à Windows	Journaux de suivi d'événements (fichiers ETL)
USBDeviewNirSoft	GUI	Historique des périphériques USB
UserAssistViewNirSoft	GUI	UserAssist
VSCMountEric Zimmerman	CLI	Clichés instantanés de volume (VSS)
WifiHistoryViewNirSoft	GUI	Profils réseau (NetworkList)
Windows Performance Analyzer	GUI	Journaux de suivi d'événements (fichiers ETL)
WinPrefetchViewNirSoft	GUI	Fichiers Prefetch (.pf)
XstReader	GUI · open source	Fichiers de données Outlook (PST et OST)
yarp	Bibliothèque · open source	Ruches du registre