8、Python 取证脚本开发与文本文件解析

Python 取证脚本开发与文本文件解析

1. 运行首个取证脚本

usb_lookup.py 脚本需要两个参数，即目标 USB 设备的厂商 ID（vendor ID）和产品 ID（product ID）。我们可以通过查看可疑的 HKLM\SYSTEM\%CurrentControlSet%\Enum\USB 注册表项来获取这些信息。例如，若从子键 VID_0951&PID_1643 中提供厂商 ID 0951 和产品 ID 1643 ，脚本会将该设备识别为 Kingston DataTraveler G3。

不过，我们的数据源并非涵盖所有设备信息。如果提供的厂商或产品 ID 不在数据源中，脚本会提示未找到该 ID。所有脚本的完整代码可从 https://packtpub.com/books/content/support 下载。

运行步骤

1. 查找 USB 设备的厂商 ID 和产品 ID，可通过查看 HKLM\SYSTEM\%CurrentControlSet%\Enum\USB 注册表项获取。
2. 运行 usb_lookup.py 脚本，并传入厂商 ID 和产品 ID 作为参数。

2. 故障排除

在开发过程中