mukul975/analyzing-slack-space-and-file-system-artifacts

检查 NTFS 松弛空间、MFT 条目、USN Change Journal 和备用数据流（ADS），以恢复隐藏或残留数据、重建已删除文件的元数据，以及根据 USN 记录重建可用的文件系统更改活动。当标准文件恢复方法不足时，例如调查隐藏在 ADS 中的数据，可用于对 NTFS 映像进行深度取证分析。

编程协作开发 Agent Agent 技能仓库问答 NTFS 取证分析文件残留数据恢复 MFT 记录解析 USN 日志审查替代数据流检测数字取证调查

技术栈: cursor3.1万+许可证: Apache-2.0开发者: mukul975

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Analyzing Slack Space and File System Artifacts

When to Use

When searching for hidden or residual data in file system slack space
For analyzing NTFS Master File Table (MFT) entries for deleted file metadata
When reconstructing file operations from the USN Change Journal
For detecting Alternate Data Streams (ADS) used to hide data or malware
During deep forensic analysis requiring examination beyond standard file recovery

Prerequisites

Forensic disk image with NTFS file system
The Sleuth Kit (TSK) tools: istat, icat, fls, blkls, blkstat
MFTECmd (Eric Zimmerman) for MFT parsing
MFTExplorer for interactive MFT analysis
Understanding of NTFS structures (MFT, $UsnJrnl, $LogFile, ADS)
Python with analyzeMFT or mft library for automated parsing

Workflow

Step 1: Identify and Extract NTFS File System Artifacts

# Determine partition layout
mmls /cases/case-2024-001/images/evidence.dd

# Extract key NTFS system files
# $MFT - Master File Table
icat -o 2048 /cases/case-2024-001/images/evidence.dd 0 > /cases/case-2024-001/ntfs/MFT

# $UsnJrnl:$J - USN Change Journal
icat -o 2048 /cases/case-2024-001/images/evidence.dd 62-128 > /cases/case-2024-0…

以下为摘要预览，完整内容请查看 GitHub 原文。

分析松弛空间和文件系统构件

适用场景

搜索文件系统松弛空间中隐藏或残留的数据
分析 NTFS 主文件表（MFT）条目，以获取已删除文件的元数据
根据 USN Change Journal 重建文件操作
检测用于隐藏数据或恶意软件的备用数据流（ADS）
在需要超出标准文件恢复范围进行审查的深度取证分析过程中

前置条件

包含 NTFS 文件系统的取证磁盘映像
The Sleuth Kit（TSK）工具：istat、icat、fls、blkls、blkstat
用于解析 MFT 的 MFTECmd（Eric Zimmerman）
用于交互式分析 MFT 的 MFTExplorer
了解 NTFS 结构（MFT、$UsnJrnl、$LogFile、ADS）
安装了 analyzeMFT 或 mft Python 库以进行自动解析

工作流程

步骤 1：识别并提取 NTFS 文件系统构件

# 确定分区布局
mmls /cases/case-2024-001/images/evidence.dd

# 提取关键 NTFS 系统文件
# $MFT - 主文件表
icat -o 2048 /cases/case-2024-001/images/evidence.dd 0 > /cases/case-2024-001/ntfs/MFT

# $UsnJrnl:$J - USN Change Journal
icat -o 2048 /cases/case-2024-001/images/evidence.dd 62-128 > /cases/case-2024-001/ntfs/UsnJrnl_J

# $LogFile - 事务日志
icat -o 2048 /cases/case-2024-001/images/evidence.dd 2 > /cases/case-2024-001/ntfs/LogFile

# 从卷中提取全部松弛空间
blkls -s -o 2048 /cases/case-2024-001/images/evidence.dd > /cases/case-2024-001/ntfs/slack_space.raw

# 获取文件系统信息
fsstat -o 2048 /cases/case-2024-001/images/evidence.dd | tee /cases/case-2024-001/ntfs/fs_info.txt

步骤 2：分析主文件表（MFT）

# 使用 MFTECmd（Eric Zimmerman）解析 MFT
MFTECmd.exe -f "C:\cases\ntfs\MFT" --csv "…

重要提示：源文件不在本站托管，请通过 GitHub 查看与下载。

索引更新于 8/25/2026, 9:18:05 PMGitHub ↗

references/

LICENSE11.0 KB在 GitHub 查看 ↗

references/api-reference.md1.9 KB在 GitHub 查看 ↗

SKILL.md14.5 KB在 GitHub 查看 ↗

相关资源

按类型、任务、场景与标签加权推荐

yair4Data/mcp-security-analyzer

MCP · 安全审计 · 配置扫描 · 权限分析 · 开发工具

Comprehensive security testing framework for Model Context Protocol (MCP) server

itsPremkumar/mcptest

MCP · Model · Context · Protocol · 测试工具 · 调试 · 开发框架

Automated MCP Server Testing Framework

Session Continuity Engine

会话续接 · 上下文压缩 · 项目交接 · 跨平台提示词 · JSON · 结构化

把一次完整 AI 对话压缩成可跨平台复用的项目续接包，保留决策、约定与当前进度。

Pay Appraisal

薪酬评估 · 职业规划 · 伦敦市场 · 提示词 · 职场分析

面向英国伦敦职场人的薪酬评估提示词，基于资历与职位推断市场薪资水平

Chat Summary and Export Instructions

对话摘要 · 聊天记录整理 · 结构化导出 · 信息归档 · Prompt

一键汇总并结构化导出整段对话里的任务、偏好、要点，支持按日期归档为代码块

Clinical Research Presentation Guidance

临床研究 · 学术汇报 · 选题指导 · 文献综述 · 演讲技巧 · 批判性思维