lutianyi018/Forensic-USB-Harness

改装自**免安装的便携 AI 助手**的取证工作站：
独立签入（姓名 + 身份证 + 密码）、工作区与**固证区**分离（固证区 AI 只读）、内置取证角色与技能、
可一键发放带独立设备身份的新盘。
> **声明**：本仓库是社区**改装层（overlay + 脚本 + 文档）**，不含上游任何源码
>
> **使用前准备**（本仓库不含动辄数百 MB 的便携运行时）：
> 到 USB-Harness Releases 下载
> USB-Harness-with-runtime.zip，解压后放到本目录同级，成为 \USB-Harness-with-runtime。
>
> 上游致谢：便携基座 USB-Harness（MIT）·
> AI 框架 DeepSeek Harness。
---
一、工具定位
**具体功能**
- 一个可放到 U 盘里、免安装运行的**本地 AI 取证工作站**。
- 面向「现场/主机取证 + 镜像分析」的**辅助**工具。
- 可**复制发放**，可复制出任意多枚带独立设备编号的新盘。
**能力边界**
- **辅助工具无法代替取证人员做最终裁决**：须由持证人员复核、按法定程序固定证据。
- 非「开箱即用的一体机」：需要自备便携基座；本仓库只提供改装层。
- 固证区的「只读」有只读防护，但**管理员/SYSTEM 可绕过**；请自备加密盘或移动硬盘与规范流程使用。
**适用场景**：现场快速固证、提取、Windows 现场快速排查、注册表/日志/浏览器痕迹解析、磁盘镜像的初步检视、案件时间线整理。
---
二、目录结构
盘上布局（运行时侧）：
---
三、快速开始
> 建议 U 盘为 **NTFS**（模块链接与固证区 ACL 都依赖它）。
---
四、使用教程
4.1 制作母盘（做一次）
按上面「快速开始」1–4 步即可。母盘 = 装好取证层 + 建好操作员名单的那枚盘，**是后续复制的唯一真源**。
- install.ps1 会把 overlay/ 拷贝进基座，并把取证 bundle 挂进 profile；
- prepare-stick.ps1 建立 固证区/案件区/device、写盘标记，并给 固证区 与 device 加**只读 ACL**。
4.2 建操作员（可多人）
- 身份证号与密码**只存哈希**（PBKDF2-SHA256），名单在 config/operators.json；
- 中文参数请经脚本传入（已处理编码）；
- **名单为空时登录门禁自动关闭**（防止把人锁死），母盘请至少建一名。
4.3 发放新盘
- **软件复制、身份不复制**：不复制 device/、会话密钥、固证区、会话数据；
- 新盘自动获得**全新设备编号**（形如 FRS-2026-000001）；
- 发放后会自动校验并**重建模块链接**。若你改用资源管理器整盘拷贝，先让复制 100% 完成，再跑一次
Repair-Stick.ps1 -StickRoot 。
> **放工具只需放一次**：工具目录 forensic\tools\ 在 runtime 内，属于「软件」，复制母盘时会**自动带过去**，
> 无需每盘再放（详见 4.5）。
4.4 日常使用
1. 双击 launch.bat → 浏览器打开 → 输入**姓名 + 身份证 + 密码**登录；
2. 用自然语言下达任务，例如「分析这台机器的 USB 使用记录并生成时间线」；
（设备编号 / 三区路径 / 已就绪工具可从数据接口 GET /forensic/info 查看。）
3. 往固证区投放证据前临时解锁、投完立即上锁：
4.5 添加取证工具（重点）
工具总线在启动时扫描 forensic\tools\**\manifest.json，把每个工具注册为模型可见的 forensic_ 。
**参数按清单声明顺序拼成命令行、不经 shell**。
**放哪里**
- **开发/源**：overlay/harness/forensic/tools/external/ /（install.ps1 会拷到盘上）；
- **盘上**： \USB-Harness-with-runtime\forensic\tools\external\ /（直接生效）。
- 由于该目录在 runtime 内，**母盘放一次，之后复制的新盘都会带上**。
**清单最小形态**
**参数三种写法**（args 里每一项）
| 写法 | 效果 | 例 |
|---|---|---|
| 位置参数（默认） | | fls image.dd |
| 带值选项 "flag": "--csv" | --csv | MFTECmd -f a.bin --csv out |
| 等号选项 "flag":"--json","style":"equals" | --json= | tool --json=x |
| 开关 "type":"boolean" | 为 true 时输出该名（或 "flag"） | -accepteula、-r |
**多个工具共用一套二进制**（省空间）：把公共二进制放一个 bin/，各清单用 .. 指过去：
**加完后**：重启 launch.bat 即可；工具出现在侧栏面板，模型可调用 forensic_ 。
只放清单、缺二进制时，会显示在「待投放二进制」里，不会被注册。
4.6 添加取证技能
技能是给 AI 的方法论提示，放在 harness/forensic/skills/ / /SKILL.md，随 runtime 复制。
4.7 更新已发出的盘
工具/插件有更新时，把改动并入母盘后重新复制；或对单枚盘：
install.ps1 -Target \USB-Harness-with-runtime 覆盖插件层，再 Repair-Stick.ps1 -StickRoot 。
---
五、内置与可扩展工具
**仓库内置（可直接用，均为可再分发许可，见 docs/THIRD_PARTY.md）**
| 工具 | 用途 | 形态 |
|---|---|---|
| **osquery** | 本机实时状态 SQL 查询（进程/服务/网络/用户/自启/计划任务…），--json 输出 | 单 exe，Apache-2.0 |
| **Sleuth Kit CLI**（fls/mmls/fsstat/icat） | 磁盘/文件系统与镜像检视 | exe+DLL（共享 bin/），CPL/IPL |
| **WinPmem** | 物理内存采集（需管理员） | 单 exe，Apache-2.0 |
**已备清单、需自行投放二进制**
| 工具 | 用途 | 许可/说明 |
|---|---|---|
| **EZ Tools**（MFTECmd/EvtxECmd/PECmd/JLECmd） | NTFS/事件日志/Prefetch/JumpList 解析 | MIT；需 .NET，见 external/ez-tools/README.md |
**仅给链接（许可不允许随仓库再分发）**
| 类别 | 推荐 | 链接 |