WinHex 16.9 (2013) Английский

Что нового?
Возможность использования GREP синтаксис специально для некоторых поисковых запросов только, а другие ключевые слова в естественном языке. Для этой установки убедитесь, что коробка GREP синтаксис наполовину проверили, и добавляем GREP выражения с "GREP".

Точно так же, когда вы не используете GREP синтаксис, теперь вы можете искать только некоторые поисковые термины, как целые слова, а также путем проверки соответствующей половине окна только, и с помощью отступов поисковые термины, которые вы хотите найти, как только целые слова, т. е. предварять их с символ табуляции.

Простая в использовании настройки для алфавита, которая определяет границы слов при поиске только целые слова в латинской основе языках. Установка для самого тщательного результаты поиска остаются по умолчанию. Пользователи, которые перегружены мусором хиты для коротких ключевых слов в нетекстовых данных, таких как Base64 или двоичный мусор можете попробовать другие два варианта. Эти два других варианта может привести к действительным хиты поиска были упущены в некоторых созвездий (в зависимости от формата файла), но все еще может быть оправдана как значительно сэкономить время для поиска в текстовых документах.

Вариант для работы с виртуальными скорректированный свободный файл пространстве, за вычетом кластеров, которые были идентифицированы как принадлежащие к ранее существующим файлам, чтобы свести к минимуму количество пространства в файловых системах, что читается дважды для логического поиска и индексации. После изменения опции (в Options | Snapshot Volume) виртуальный файл обновляется при его открытии в следующий раз, например, выбранный в файловом режиме или когда настала очередь этот файл во время логического поиска. Относительные смещения поиска хиты в этот виртуальный файл стать неправильным, когда изменения файлов, поэтому они не могут быть использованы, чтобы перейти к поиску хитов в файловом режиме.

Сортировка по пути ускорился.

Также теперь можно "Unsort" Каталог браузера, нажав на заголовок столбца, который представляет основной критерий сортировки, удерживая клавишу Shift.

Возможность изображение физического устройства (например, жесткий диск или удаленного жесткого диска или оперативной памяти открыт через F-Response) автоматически с помощью командной строки. Первый параметр должен начинаться с двоеточия, а затем указать количество устройств в Windows (например, ": 1" жесткий диск номер 1). Это приведет к тому, что устройство будет автоматически открывается при запуске. Второй параметр должен начинаться с трубой, а затем либо e01 или сырья, чтобы указать предпочтительный формат файла изображения, а затем другая труба и путь и имя файла образа (например, "| e01 | G: выход filename.e01"). Третий параметр может быть "авто" для автоматического выхода X-Ways Forensics после съемки. (Эта команда всегда была доступна в WinHex и X-Ways Forensics, как вы всегда были в состоянии открыть файлы с помощью командной строки или выполнить. WHS WinHex сценарии.)

При подключении внешнего каталога снимка тома, как правило, X-Ways Forensics создает виртуальные файлы в новый виртуальный каталог. Теперь есть возможность разместить файлы в существующие каталоги в объеме моментальных снимков одного и того же названия на той же позиции в дереве каталогов. Полезно, если вы копируете всей структуры каталогов от изображения, чтобы преобразовать / дешифрования / перевод / ... файлы вне X-Ways Forensics, а затем хотят принести результаты обратно в объем снимка и просмотра файлов рядом с их оригинальных экземплярах в той же оригинальной подкаталоги. Это может помочь, например, если вы хотите OCR и конвертировать PDF документы, X-Ways Forensics счел не-поиска использованием Adobe Acrobat.

При подключении внешнего каталога к объему снимок, который вы сейчас запрос, является ли выбранный каталог сам по себе также должны быть приложены (это было стандартное поведение в более ранних версиях) или только ее содержимое.

Предварительный просмотр. PF файлы предвыборки улучшилось.

Пересмотренный обработки PLists.

Возможность отображения определенных нестандартных GIF изображений в галерее и в режиме предварительного просмотра с помощью внутреннего графика просмотре библиотеки, которая вызвала исключение ошибок в v16.7 и раньше, и не пытался отобразить, v16.8.

В галерее режим прокрутки с помощью колеса мыши теперь всегда прокручивается ровно на одну страницу миниатюр из соображений удобства. Во всех остальных свитков колесо мыши по столько линий, сколько указано в Панели управления Windows, так как v16.7. В v16.6 и выше, что был вариант в общих настройках.

Меню опции для отображения текста в колонке в старшего к младшему UCS-2/UTF-16 Unicode. Полезные особенности правильно видеть восточно-азиатских языков, например, в системах HFS файл * и в двоичной PLists.

Печать команды в контекстное меню браузера каталога теперь имеет удобный вариант, чтобы распечатать все дочерние объекты после выбранного файла (ов), например, вложения электронной почты вместе с их электронной почты.

X-Напряженность API: новые флаги XWF_SEARCH_WHOLEWORDS2 и XWF_SEARCH_GREP2, чтобы отразить новые параметры поиска. Новая функция поддерживается XT_PrepareSearch, которая позволяет X-Напряженность, которые контролируют результатах поиска также контролировать некоторые параметры поиска и настройки поиска.

Возможность создать список событий из метки, которые можно найти на уровне файловой системы, а также внутри в файлах и в основной памяти, когда извлечение метаданных. Возможная источники включают в истории браузера, журналов событий Windows, Windows кустов реестра, электронной почты и т.д. Список событий работает точно так же, как список хит поиска и может быть отображена нажатием новой кнопки, которая расположена рядом со списком кнопку хит поиска, с иконкой часов на нем. Так же, как список хит поиска, список событий поставляется с дополнительными колоннами. Случае метка времени, типу события, категории событий, и, возможно, смещение в файле,
когда список событий в хронологическом порядке, по метки, он работает как график, который может позволяет выяснить последовательность событий различных видов хранятся в разных местах (например, электронной почты, полученные, привязанность сохранены, запуска приложения, распечатанный документ, файл удален), которые в противном случае не могли быть замечены вместе в контексте. Вы можете видеть события с разных объектов доказательств в то же время, как правило, из окна корень случае, изучить рекурсивно или по пути, сортировать по типу события или события категорию, все обычные свойства файлов, просмотр файлов, перейдите к определению события в файл (если относительное смещение имеется) и фильтр для определенных диапазонов.
Event-анализа на основе вместо файла на основе анализа является прогрессивным новый подход с совершенно другой точки зрения, что может привести к знанию о деятельности, записанные на компьютерах, в противном случае не могли быть получены. Вы можете увидеть соединений (деятельность, связанную), которые в противном случае могли остаться незамеченными, и, возможно, смогут лучше объяснить логику того, что произошло. Источники событий, которые эксплуатируются извлечения метаданных в этом предварительный релиз все еще ограничены (тип файловой системы, index.dat, электронная почта, процессы в дампы памяти). Подробнее будут рассмотрены в будущих выпусках.

Теперь легче вводить даты в метку фильтр диалогов. Вы можете нажать кнопку, чтобы получить календаря, в котором выбрать дату с помощью щелчков мыши.

Файл проверки типа и заголовка файла подписи поиск пересмотрены.

Новый флаг U для файла заголовка подписи, что приведет к файлам (или записи) этого типа, чтобы быть вырезаны только в чистой свободного пространства. Полезно, особенно для внутреннего учета Zip файлы, RAR архивы, Internet Explorer index.dat файлы и записи Firefox URL, чтобы избежать многочисленных повторений.

Извлечение метаданных для файлов index.dat (HTML поколения предварительного просмотра и извлечения событий) теперь также применяется к резные фрагменты файлов index.dat (Internet записи Проводник URL).

Максимальное количество содержащегося поиск терминов, перечисленных в поле поиска столбце каталога браузера теперь 25 вместо 10.

Новая опция многословия: Если полностью снят в Options | Security, единственное исключение ошибок с потенциально серьезные последствия (например, значительно неполных результатов анализа) будут доведены до вашего сведения в окне сообщения. Если полностью проверил, все из них будут выводиться, как и прежде, даже те, которые происходят обычно с поврежденных файлов и не имеют негативного влияния на другие результаты. Новая опция по умолчанию является разумным компромиссом.

Резные файлов теперь определены, чтобы иметь слабину пространство, если они, случается, начинаются границы кластера.

Наложение секторов на вершине дисков или интерпретировать образы, которые открываются только для чтения. Полезно, когда вам нужно внести незначительные временные изменения в данные сектора в рамках программы, чтобы получить его правильно толковать внутренне, но не хотят или не могут изменить секторов на диске или в само изображение (или не может, потому что это Не сырые изображения, но. e01 доказательств файл), а также не хотят, чтобы сделать еще один полный рабочий экземпляр изображение, например, 2 ТБ в размере, если только 1 байт должно быть изменено. Такие корректировки могут быть необходимы, например, в случае разбиения на разделы или метаданные файловой системы коррупции, где просто отсутствует магическое число продолжает WinHex от обнаружения в файловой системе или только один перевернутый бит держит WinHex от нахождения $ MFT в NTFS или просто один неверный клев в Таблица разделов держит WinHex от признания раздела как LVM2 разделов контейнер и т.д. и т.п. В этих случаях вы можете вручную обеспечивать и наложить скорректированные данные, а затем, мы надеемся работать с диском или изображения без дальнейших проблем, получая все разделы и файлы, перечисленные немедленно как будто ничего не случилось. Эта функция предназначена для опытных пользователей, которые не легко сдаваться когда сначала они видят "ничего" и иметь некоторое представление о низком уровне структур данных и знаем, как их исправить.
вы можете включать и отключать наложение на диск или раздел в активного окна данных с помощью Edit | Наложить секторов команды меню. Эта команда позволяет вам выбрать любой файл с сыром содержимое секторов диска. Например, вы можете создать такой файл, выбрав один или несколько секторов, как блок, копирование блока в новый файл, внося необходимые корректировки (возможно даже в X-Ways Forensics, потому что в отличие от обычных файлов диска или интерпретировать изображения могут быть отредактированы ) и сохранения этого файла. При применении, содержимое этого файла накладываются на секторы, начиная с сектора, в котором находится курсор, или если файл с именем "*. N.superimposition", где п есть число, оно будет применяться к секторов, начиная с сектора п, а все остальные файлы в той же папке для той же маской с тем же именем базы будет также применяться к сектору номера, как указано в имени файла. Вы сразу увидите, наложенных данных при переходе на пострадавших секторов, и может продолжать делать коррективы в навязанной файл исходных данных, если вы держите его открыть в отдельном окне. Как только вы сохраните изменения в этом окне, они вступят в силу в окне данных, который представляет диск или раздел, данные которого вы пытаетесь исправить, когда вы обновите представление, принять новый снимок объеме, определить начало раздела , попробуйте еще раз, чтобы открыть файл с коррумпированными записи файла и т.д. и т.п.
Обратите внимание, что только полное секторах, а не частичную секторах, могут быть наложены. Наложение может быть активным только один диск или раздел диска или изображений одновременно. При желании, вы можете сделать копию (образ или клонировать диск) из фактически отремонтировано диска или изображений с обычной команды, наложения, по сути, так что копия будет накладываться отрасли, непосредственно встроенные.

Сообщает общее количество ошибок CRC в доказательствах свойств объекта для каждого вычисления хэша, если кусок ЗПК в настоящее время проверяется при чтении e01 доказательств файлов (см. Options | Security)..

Тип файла проверке подписей и алгоритмы обновляются.

Новый тип хэша в наличии: Adler32

Значения битов в объеме атрибутов системы HFS + файл теперь выход в технический отчет Подробнее.

Возможность копирования до ~ 4 ГБ данных во внутренний буфер обмена (~ 2 ГБ раньше).

Добыча всех таблиц (все столбцы, кроме двоичных данных) от всех других баз данных SQLite помимо уже поддерживает различные интернет-браузер баз данных в рамках извлечения метаданных. Впервые выделен стол будет также служить в качестве предварительного просмотра файлов SQLite базе данных.

Возможность копирования до ~ 4 ГБ данных во внутренний буфер обмена в 64-разрядной версии (~ 2 ГБ до и еще в 32-разрядной версии).

Кнопки, которые позволяют расширить или свернуть все категории в фильтре диалогового типа файла. Расширение всех категорий может быть полезно, если вы хотите быстро найти определенный тип файла, введя свои письма в то время как окна дерево имеет фокус ввода.

Вариант только сделать копии отмеченных файлов для включения в доклад случае вместо того, чтобы все или ничего. Полезно, если вы хотите, чтобы ссылки на все файлы с заметным их метаданные в отчете, но показывают только часть из них.

Если новый отчет таблицы ассоциаций для выбранных файлов, созданные для только для выбранных файлов или же для своего ребенка предметами или дубликатов и т.д. Теперь параметр, который является индивидуальный для каждого отчета таблице.

Новая иконка для переименовании / перемещении каталогов в FAT, и ExFAT томах.
Поддержка PC-совместимых разбиения BSD метки диска.

Вид | Обновить меню Вид команду теперь также пополняет каталог браузера, если каталог браузер имеет фокус ввода. Полезно, например, когда фильтр для отмеченных элементов является активным и удаления тегов знаки некоторых из перечисленных файлов, если вы хотите обновить список в каталоге браузера и избавиться от тех файлов, которые больше не помечены.

Возможность проверки наличия обновлений иногда (Options | Security). Это может сообщают о наличии или более поздней версии новых релизов службы в настоящее время используется версия и позволить, чтобы начать загрузку. Не отправляет данные из программы в Интернете, например, не система или информация пользователя или ID ключа, ни прямо, ни зашифрованные ни анонимно, конечно, ни при каких обстоятельствах данные, даже не используемые в настоящее время номер версии, ничего. Эта опция активна по умолчанию только в том случае, если программа определяет, что он работает на собственной системы экспертизы (если она выполнена из C: диск или если она была установлена с помощью программы установки). Проверка не происходит при запуске программы в первый раз, так что вы определенно есть шанс, чтобы выключить эту опцию, прежде чем что-либо произойдет. Учитывая тот факт, что большинство систем, на которых X-Ways следователь и X-Ways Forensics выполняются не имеют подключение к Интернету, эта функция имеет ограниченное влияние только.

Файл резьбы флаги B (для байта детализации) и г (для жадных выделения) теперь могут быть объединены. Полезно, когда резьба записей из файлов, таких как $ UsnJrnl: $ J. За $ UsnJrnl: $ J, в частности, внутренний алгоритм доступны, которые могут объединять несколько смежных записей в одном резные файл. Флаг г убеждается, что те записи, которые были включены уже не будут найдены и резные раз отдельно. Такие резные файл, который состоит из нескольких записей может быть приятно смотреть в режиме предварительного просмотра и просмотра файлов, что является гораздо более эффективным, чем просмотр индивидуально резными записей.

Возможность печати нескольких выбранных файлов возможно в отдельных заданий печати, как и в v16.3 и выше.

Одновременное создание 2 экземплярах. E01 файлы доказательства были неудачными, если они были даны разные названия. Это было исправлено.

Некоторые элементы пользовательского интерфейса улучшилось.

Еще немного статистики в свойствах доказательств объекта.

использовать серийный номер из файла key.txt вставить в программу Help-->Register...

Воспользоваться кейгеном keygen.exe сгенерировать серийный номер вставить в программу Help-->Register...