什么是 NTFS USN 日志?
USN (Update Sequence Number) 日志是 NTFS 为卷上每次文件创建、删除、重命名和元数据修改维护的变更记录。它位于备用数据流 \$Extend\$UsnJrnl:$J 中,是 Windows 取证中最丰富的时间线证据来源之一。
阅读完整的 NTFS USN 日志指南 →USN Journal Parser · NTFS $UsnJrnl:$J · 浏览器内 DFIR卷上的每一次文件变更,尽在一条时间线。
在浏览器中完整解析 Windows NTFS 的 USN 日志 ($UsnJrnl:$J) 文件。文件永远不会离开您的设备。
- 100% 在浏览器中运行
- 无需上传,无需账号
- 开源 · Apache-2.0
拖入 $J — 或整个采集包$UsnJrnl:$J(可附带 $MFT)、ZIP 格式的分诊采集包(KAPE、Velociraptor…)或文件夹。
示例：虚构入侵事件（主机 FIN-WKS-07）的合成文件，不含任何真实数据。
文件永远不会离开您的设备。
如何获取数据
完整提取指南 →$J 是一个隐藏且被锁定的 NTFS 数据流：资源管理器、copy 和 robocopy 只会得到空文件或访问错误。按第一个选项卡操作，大约两分钟即可拿到真实数据。
- 采集
$J（+$MFT） - 将文件、文件夹或 ZIP 拖到这里
- 在浏览器中解析，不上传任何内容
KAPE，一条命令（在线 Windows 主机）
推荐准备: 在主机或 U 盘上解压 KAPE（免费，Kroll 提供），并在 KAPE 文件夹中以管理员身份打开控制台。
命令提示符（cmd.exe）
kape.exe --tsource C: --tdest C:\triage --target $J,$MFTPowerShell：同一命令，目标列表需用单引号括起（否则
$J 会被当作变量）.\kape.exe --tsource C: --tdest C:\triage --target '$J,$MFT'结果：C:\triage\C\$Extend\$J / C:\triage\C\$MFT。将 C:\triage\C 文件夹（或其 ZIP）拖到这里。
KAPE：完整分诊
kape.exe --tsource C: --tdest C:\triage --target KapeTriage复合目标 KapeTriage 已包含 $J 和 $MFT。将输出文件夹打包为 ZIP 并拖入：只会读取其中的日志和 $MFT，其余内容会被忽略。
Velociraptor
使用 Velociraptor Triage 项目的 Windows.Triage.Targets 工件（旧版本中为 Windows.KapeFiles.Targets）构建离线采集器，并选择 J 和 MFT 目标（或 KapeTriage）。在主机上以管理员身份运行，然后将生成的采集 ZIP 原样拖到这里。
Windows.Forensics.Usn 则是在终端上直接解析日志：输出的是记录表格，而不是本解析器读取的原始 $J。
FTK Imager（Windows，免费）
File → Add Evidence Item → Image File，然后打开 .E01 / .dd。- 在证据树中将 NTFS 分区展开到
[root] → $Extend → $UsnJrnl。 - 右键单击
$J行（不是$Max）→Export Files…。用同样方法导出[root] → $MFT。
已挂载的镜像（Arsenal Image Mounter 等）
以只读方式挂载，然后对挂载后的盘符（此处为 E:）运行 KAPE 命令：
kape.exe --tsource E: --tdest C:\triage --target $J,$MFTThe Sleuth Kit（Linux、macOS、Windows）
1. 列出
$Extend（MFT 记录 11），记下 $UsnJrnl:$J 前显示的地址，例如 64-128-4fls image.dd 11 | grep UsnJrnl2. 提取
$J：将 <address> 替换为该地址icat image.dd <address> > UsnJrnl-J.bin3. 提取
$MFT（记录 0）以解析完整路径icat image.dd 0 > MFT.bin如果是整盘镜像而非单个卷：在每条命令中加上 -o 和分区起始扇区（由 mmls image.dd 给出）。然后将两个 .bin 文件一起拖到这里。
- 系统卷上的日志记录（
$J数据流）：所有 Windows 版本路径相同C:\$Extend\$UsnJrnl:$J - 其他任意 NTFS 卷或已挂载的镜像，相对于其根目录：每个卷都有自己的日志
\$Extend\$UsnJrnl:$J $MFT（可选，同一卷）：把单独的文件名还原为完整路径C:\$MFT
将 $J 和 $MFT 一起拖入，或拖入它们所在的文件夹或 ZIP（不支持 7z / RAR / gzip）。采集包含多个卷时，可自行选择要打开的日志；$Max 会被识别并跳过。
日志是否启用？内置检查，需以管理员身份运行
fsutil usn queryjournal C:Maximum Size 不为零表示日志处于启用状态。如果 fsutil 报告日志未激活，该卷上就没有可采集的内容。
常见陷阱
- 资源管理器、
copy或robocopy永远拿不到日志：$J需要原始 NTFS 读取工具（见上文），在在线主机上还需要管理员权限。 - 日志是固定大小的环形缓冲区：在繁忙的卷上可能只能追溯几天甚至几小时。请优先采集，以免后续操作覆盖最早的记录。
- 只有几个字节的文件是
$Max而不是$J；fsutil usn readjournal的输出是文本，不是日志。$J开头有大段零字节是正常的。
$UsnJrnl_$J · 412,908 records
为分诊而生
从原始 $J 到答案,只需几秒
将久经考验的 Rust 解析器移植为 WebAssembly,并放进一个专为 USN 日志真实分析问题设计的工作区。
活动时间线
一眼看出活动高峰,点击任意柱形即可把表格筛选到该时间窗口。
借助 $MFT 获取完整路径
加入该卷的 $MFT,每条记录都会得到解析后的完整路径,而不只是文件名。
原因筛选与预设
一键筛选创建、重命名、覆盖或删除;可与文本和时间范围筛选组合使用。
勒索软件启发式检测
标记持续出现的 DataOverwrite + RenameNewName 突发,这是加密过程的典型特征。
CSV、JSON 与 bodyfile
按当前筛选结果导出 — 直接用于 Timeline Explorer、SIEM 或 mactime。
本地处理数百万条记录
解析过程中记录持续流入,虚拟化渲染让表格始终流畅。
自动保存的会话
每次分析连同筛选条件都保存在此浏览器中。命名后明天回来,从上次停下的地方继续。
分诊采集包
拖入 KAPE 或 Velociraptor 的 ZIP 或文件夹:按卷找到并配对 $J 与 $MFT,并说明无法使用的文件原因。
使用方法
三步完成,无需安装
- 01
采集 $J
使用 KAPE、FTK Imager 或 RawCopy 提取 \$Extend\$UsnJrnl:$J;如需完整路径,再加上 $MFT。
- 02
拖放到这里
解析器在您本机的 Web Worker 中运行。不上传,不记录。
- 03
展开调查
筛选、在时间线上切换视角、打开任意记录并导出所需片段。
何时使用?
事件响应、入侵时间线重建、勒索软件分析、内部威胁调查——任何需要在文件被删除后仍能追溯文件活动历史的场景。
为何在浏览器中解析?
日志文件包含卷上每个操作的痕迹,本质上是敏感数据。本工具将 WebAssembly 解析器直接传送到您的设备;文件从不到达我们的服务器,也没有任何记录可供保留。