数字取证通用操作查找器
一个小脚本，用于尝试将创建的数字工件与可疑系统中的一般用户活动相关联。 此脚本收集在特定时间范围内创建/访问/修改的文件的所有关键字。 这些关键字可用于开始了解在指定时间发生了什么动作。
需要
Sleuthkit（fls 和 mactime）
用法：
./genericActions.sh -b /tmp/body.txt -D "Apr 27 2015" -t "12:58" -d 5 -w 20
此命令将在 2015 年 4 月 27 日从 12:58 到 13:02 (-d 5) 搜索 mactime 正文文件中的所有条目，并将在这 5 分钟内输出 20 个最常见的关键字。
创建
安装 sleuthkit 后：
fls -r -m / [目标驱动器]
fls -m "C:/" -o 63 -r images/disk.dd > body.txt
fl
