TScopy和RawCopy的區別是什么

這篇文章主要講解了“TScopy和RawCopy的區別是什么”，文中的講解內容簡單清晰，易于學習與理解，下面請大家跟著小編的思路慢慢深入，一起來研究和學習“TScopy和RawCopy的區別是什么”吧！

關于TScopy

在事件響應（IR）過程中，研究人員通常需要訪問或分析文件系統上的文件。有時這些文件會因為正在使用而被操作系統（OS）鎖定，這就很尷尬了。TScopy允許以管理員權限運行的用戶通過解析文件系統中的原始位置并在不詢問操作系統的情況下復制文件來訪問鎖定的文件。

當然了，社區還有很多能夠執行類似任務的其他工具，比如說RawCopy，而我們的TScopy也是基于該工具開發出來的。然而，RawCopy也有一些缺點，這也是我們開發TScopy的原因，并且提升了工具性能和集成擴展性。

TScopy是一個Python腳本，可以用于解析NTFS $MFT文件以定位和復制特定文件。通過分析主文件表（MFT），腳本繞過了文件上的操作系統鎖。此前的RawCopy是用AutoIT編寫的，很難修改，因此我們才決定將RawCopy移植到Python上。

TScopy被設計成可以作為一個獨立的程序運行或作為一個python模塊導入使用。

TScopy和RawCopy的區別

TScopy是用Python編寫的，并且被組織成類，以使它比AutoIT更易于維護和可讀。而AutoIT可能會被反病毒產品標記為惡意組件，因為現在有很多惡意軟件已經開始利用它來實現攻擊了。

TScopy和RawCopy的主要區別在于每次執行時可以復制多個文件，并且可以緩存文件結構。TScopy提供了下載單個文件、多個逗號分隔文件、目錄內容、通配符路徑（單個文件或目錄）和遞歸目錄的選項。TScopy在迭代目標文件的完整路徑時緩存每個目錄和文件的位置。然后，它使用此緩存優化對任何其他文件的搜索，確保以后的文件拷貝執行得更快。與RawCopy相比，這是一個顯著的優勢，RawCopy則會迭代每個文件的整個路徑。

工具下載

廣大研究人員可以使用下列命令將該項目源碼克隆至本地：

git clone https://github.com/trustedsec/tscopy.git

TScopy運行選項

.\TScopy_x64.exe -h

 

usage:

    TScopy_x64.exe -r -o c:\test -f c:\users\tscopy\ntuser.dat

        Description: Copies only the ntuser.dat file to the c:\test directory

    TScopy_x64.exe -o c:\test -f c:\Windows\system32\config

        Description: Copies all files in the config directory but does not copy the directories under it.  

    TScopy_x64.exe -r -o c:\test -f c:\Windows\system32\config

        Description: Copies all files and subdirectories in the config directory.  

    TScopy_x64.exe -r -o c:\test -f c:\users\*\ntuser*,c:\Windows\system32\config

        Description: Uses Wildcards and listings to copy any file beginning with ntuser under users accounts and recursively copies the registry hives.

    

 

Copy protected files by parsing the MFT. Must be run with Administrator privileges

 

optional arguments:

  -h, --help            show this help message and exit

  -f FILE, --file FILE  Full path of the file or directory to be copied.

                        Filenames can be grouped in a comma ',' seperated

                        list. Wildcard '*' is accepted.

  -o OUTPUTDIR, --outputdir OUTPUTDIR

                        Directory to copy files too. Copy will keep paths

  -i, --ignore_saved_ref_nums

                        Script stores the Reference numbers and path info to

                        speed up internal run. This option will ignore and not

                        save the stored MFT reference numbers and path

  -r, --recursive       Recursively copies directory. Note this only works with

                        directories.

其中還有一個隱藏的“--debug”選項，該選項可以啟用調試模式輸出。

工具使用樣例

下列命令會將SYSTEM注冊表信息拷貝至e:\outputdir，新文件路徑為“e:\outputdir\windows\system32\config\SYSTEM”：

TScopy_x64.exe -f c:\windows\system32\config\SYSTEM -o e:\outputdir

下列命令會將SYSTEM注冊表信息拷貝至e:\outputdir，但是會忽略之前緩存的文件，并且不會將當前緩存保存至磁盤中：

TScopy_x64.exe -f c:\windows\system32\config\SYSTEM,c:\windows\system32\config\SOFTWARE -o e:\outputdir

下列命令會將SYSTEM和SOFTWARE注冊表信息拷貝至e:\outputdir：

TScopy_x64.exe -f c:\windows\system32\config\ -o e:\outputdir

下列命令可以將目錄配置內容拷貝至e:\outputdir：

TScopy_x64.exe -r -f c:\windows\system32\config\ -o e:\outputdir

下列命令可以將目錄配置內容遞歸拷貝至e:\outputdir：

TScopy_x64.exe  -f c:\users\*\ntuser.dat -o e:\outputdir

下列命令可以將每一個用戶NTUSER.DAT文件拷貝至e:\outputdir：

TScopy_x64.exe  -f c:\users\*\ntuser.dat* -o e:\outputdir

針對每一個用戶，拷貝所有以NTUSER.DAT開頭的文件至e:\outputdir：

TScopy_x64.exe  -f c:\users\*\AppData\Roaming\Microsoft\Windows\Recent,c:\windows\system32\config,c:\users\*\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt -o e:\outputdir

感謝各位的閱讀，以上就是“TScopy和RawCopy的區別是什么”的內容了，經過本文的學習后，相信大家對TScopy和RawCopy的區別是什么這一問題有了更深刻的體會，具體使用情況還需要大家實踐驗證。這里是億速云，小編將為大家推送更多相關知識點的文章，歡迎關注！