Forensic Collector：一台 Windows 被搞了，插 U 盘点几下，10 分钟出时间线-发布版

原创

Pik安全实验室
Pik安全实验室

Pik安全实验室

2026年6月22日 09:30
广东

在小说阅读器读本章

去阅读

Pik 安全团队 ｜ 2026-06-22

做应急的都经历过——半夜电话响了，\"某台服务器有点异常，你上去看看\"。

连上去之后的操作基本是肌肉记忆：tasklist、netstat、wmic、reg query、schtasks、wevtutil、浏览器导出历史、翻 USB 注册表、找 Prefetch、挖 RDP 缓存……十几个步骤，五六个工具轮流切换，一个半小时过去了，老板问\"查得怎么样了\"，你说\"还在采数据\"。

我们把这个流程写成了一件事：一个 exe，双击，浏览器里勾选模块，点开始，几分钟后所有取证数据导出为 Excel 能开的 CSV，外加全套事件日志 evtx。

开源地址：https://github.com/Pik-sec/forensic-collector

为什么市面上没有这种东西

不是没有采集工具。KAPE 很强，但配靶标（Target）对新手来说是门槛。商业取证套件很全，但几十万授权费加 50GB 安装包，不是给个人应急用的。而且它们都不做分析标注——只把原始数据导出来，不告诉你\"这条记录可疑\"。

Forensic Collector 做的就是这个区别：不仅采，还标。

12 个采集模块，一次跑完

Web 界面打开 http://localhost:8765，左边模块列表，右边输出预览。勾选你要的模块，点开始。

登录认证分析——不只是导出日志

这是整个工具里最核心的模块。Security.evtx 动辄几十 MB，十几万条事件，不可能肉眼扫描。auth 模块做的事情是：

1. 自动提取 7 个关键 Event ID：4624（登录成功）/ 4625（登录失败）/ 4634（注销）/ 4648（显式凭据）/ 4672（特权分配）/ 4776（NTLM 验证）/ 1102（日志清除）

2. Logon Type 自动标注中文含义：Type 10 → RemoteInteractive / Type 3 → Network / Type 7 → Unlock

3. 4625 按源 IP 聚合计数：同一 IP 短时间大量 4625 → 标注\"疑似暴力破解\"

4. 源 IP 反查归属地：非企业网段 + 非工作时间登录 → 自动标记\"异常 RDP 登录\"

5. Session ID 串联事件链：4624 → 4634 / Event 24 → 25，还原攻击者\"断开不登出\"的隐身手法

输出是 Excel 直接打开的 CSV，标注列一眼就能定位异常。

输出长什么样

output/
├── process\_20240622\_093000.csv
├── network\_20240622\_093000.csv
├── persistence\_20240622\_093000.csv
├── tasks\_20240622\_093000.csv
├── events\_20240622\_093000.csv
├── events\_20240622\_093000/        ← 全部 .evtx
├── auth\_20240622\_093000.csv       ← 登录分析结果（含攻击标注）
├── powershell\_20240622\_093000/
├── browser\_20240622\_093000/       ← history + cookies + downloads
├── shellbags\_20240622\_093000.csv
├── jumplists\_20240622\_093000.csv
├── usb\_20240622\_093000.csv
└── rdp\_20240622\_093000/           ← 连接历史 + 缓存文件

全部 UTF-8 BOM CSV，Excel 打开不乱码。

外部工具联动——RDP 桌面截图还原

工具本身做采集，分析侧支持配置外部工具。在 Web 界面设好路径（留空自动找 tools\ 目录）：

RDP 缓存还原是我们最推荐的功能。攻击者清日志、删工具很勤快，但几乎没人知道要去 AppData\Local\Microsoft\Terminal Server Client\Cache\ 下面删除 Cache0000.bin。这些碎片拼接还原后就是 80%-90% 可读的桌面截图——直接看到攻击者在屏幕上做了什么。

技术栈

• Go 纯标准库 + Windows API，单文件编译，6MB

• 内置 SQLite 解析器（mattn/go-sqlite3）

- wevtutil epl + SeBackupPrivilege 双重日志导出

- GetExtendedTcpTable / GetIpNetTable 原生网络 API

• wmic 单次批量采集 + tasklist 交叉验证检测隐藏进程

需在 Windows 上编译。拷进 U 盘插上就能跑，不需要运行时、不需要 Python 环境、不需要配靶标。

什么场景用它

• 服务器被入侵 → 登录看谁连的、从哪连的、干了什么

• 内部失陷主机排查 → USB 有没有插过、浏览器有没有下过可疑文件

• 红蓝对抗复盘 → 攻击链时间线还原

• 等保/合规检查 → 一键导出所有取证数据留档

写在最后

我们自己就是做应急的。这个工具本质上是个自用工具——我们每次上去排查觉得缺什么就加什么，麻烦什么就自动化什么。开源出来让大家一起用，也方便社区反馈哪些场景还没覆盖。

GitHub：https://github.com/Pik-sec/forensic-collector

Star 不 Star 不重要，用着顺手就行。有功能需求提 Issue，有代码提交 PR。

PIK安全实验室 — 唯有热爱，不可辜负。