- A+
From：https://github.com/SekoiaLab/Fastir_Collector
项目简介：
FastIR Collector是一款不折不扣的神器，要说唯一的缺点也许就是体积太大了，不过因为其实python编写的，所以导致了体积的过大，但是却又因为他是python写的所以对其进行二次开发和修改的门槛会比用C开发的相对较低。
FastIR Collector是一个Windows下的信息收集工具，收集的东西揽括了所有你能想到的东西，不限于内存，注册表，文件信息等，等看完下面的列表你就能意识到为何称它为神器，说他是神器的原因还有一个，就在他名字上“fast”，他的速度也是非常快的，对一个FileCatcher进行捕获也只需要1-2分钟时间！，具体列表如下：
文件系统 (fs)
IE浏览记录
命名管道
Prefetch
回收站
health
ARP 表
驱动器列表
网络驱动器
网卡
进程
路由表
任务
计划任务
服务
会话
网络共享
Sockets
v注册表 (reg)
安装目录
OpenSaveMRU
最近打开的文档
服务
Shellbags
自启动
USB历史纪录
Userassists
内存 (memory)
剪切板
已加载的DLL
已打开的文件
dump
MFT we use AnalyseMFT for https://github.com/dkovar/analyzeMFT
MBR
RAM
DISK
FileCatcher
based on mime type
搜索规则
Yara Rules
安装：
如果你需要进行二次开发，需要安装python并且还要安装以下模块
Requirements
pywin32
python WMI
python psutil
python yaml
construct
distorm3
hexdump
pytz
如果你只是简单的使用，直接下载
https://github.com/SekoiaLab/Fastir_Collector/tree/master/build
这个目录下文件即可适用。
使用方法：
./fastIR_x64.py -h for help
./fastIR_x64.py --packages all 包含所有模块
./fastIR_x64.py --packages (dump|fs|registry|memory|FileCatcher) 这里可以自定义选择模块，模块就是之前列表中介绍的，大家可以对应起来按照自己的需要进行dump
./fastIR_x64.py --packages all --ouput_dir 输入的文件夹
