Contents Menu Expand Light mode Dark mode Auto light/dark mode
Dissect 3.4-7-g29fa135 documentation
Light Logo Dark Logo
  • Home
  • Overview
  • Projects
    • acquire
    • dissect.cim
    • dissect.clfs
    • dissect.cstruct
    • dissect.esedb
    • dissect.etl
    • dissect.eventlog
    • dissect.evidence
    • dissect.executable
    • dissect.extfs
    • dissect.fat
    • dissect.ffs
    • dissect.hypervisor
    • dissect.ntfs
    • dissect.ole
    • dissect.regf
    • dissect.shellitem
    • dissect.sql
    • dissect.squashfs
    • dissect.target
    • dissect.thumbcache
    • dissect.util
    • dissect.vmfs
    • dissect.volume
    • dissect.xfs
    • flow.record
  • Usage
    • Introduction
    • First steps
      • Next steps as an Incident Handler
      • Next steps as a Security Analyst
    • Use-cases
    • Disk encryption (FVE)
  • Tools
    • acquire
    • target-query
    • target-shell
    • target-fs
    • target-reg
    • target-dump
    • target-dd
    • target-mount
    • rdump
  • Advanced
    • Python API
    • Targets
    • Loaders
    • Containers
    • Volumes
    • Filesystems
    • Plugins
  • API Reference
    • dissect.cim
      • dissect.cim.c_cim
      • dissect.cim.cim
      • dissect.cim.classes
      • dissect.cim.exceptions
      • dissect.cim.index
      • dissect.cim.mappings
      • dissect.cim.objects
      • dissect.cim.utils
    • dissect.clfs
      • dissect.clfs.blf
      • dissect.clfs.c_clfs
      • dissect.clfs.container
      • dissect.clfs.exceptions
    • dissect.cstruct
      • dissect.cstruct.types
        • dissect.cstruct.types.base
        • dissect.cstruct.types.bytesinteger
        • dissect.cstruct.types.chartype
        • dissect.cstruct.types.enum
        • dissect.cstruct.types.flag
        • dissect.cstruct.types.instance
        • dissect.cstruct.types.packedtype
        • dissect.cstruct.types.pointer
        • dissect.cstruct.types.structure
        • dissect.cstruct.types.voidtype
        • dissect.cstruct.types.wchartype
      • dissect.cstruct.bitbuffer
      • dissect.cstruct.compiler
      • dissect.cstruct.cstruct
      • dissect.cstruct.exceptions
      • dissect.cstruct.expression
      • dissect.cstruct.parser
      • dissect.cstruct.utils
    • dissect.esedb
      • dissect.esedb.tools
        • dissect.esedb.tools.impacket
        • dissect.esedb.tools.sru
        • dissect.esedb.tools.ual
      • dissect.esedb.c_esedb
      • dissect.esedb.compression
      • dissect.esedb.cursor
      • dissect.esedb.esedb
      • dissect.esedb.exceptions
      • dissect.esedb.index
      • dissect.esedb.lcmapstring
      • dissect.esedb.page
      • dissect.esedb.record
      • dissect.esedb.sorting_table
      • dissect.esedb.table
    • dissect.etl
      • dissect.etl.headers
        • dissect.etl.headers.event
        • dissect.etl.headers.headers
        • dissect.etl.headers.logfile
        • dissect.etl.headers.system
        • dissect.etl.headers.utils
      • dissect.etl.manifests
      • dissect.etl.etl
      • dissect.etl.exceptions
      • dissect.etl.manifest
      • dissect.etl.utils
    • dissect.eventlog
      • dissect.eventlog.bxml
      • dissect.eventlog.evt
      • dissect.eventlog.evtx
      • dissect.eventlog.exceptions
      • dissect.eventlog.utils
      • dissect.eventlog.wevt
      • dissect.eventlog.wevt_object
      • dissect.eventlog.wevtutil
    • dissect.evidence
      • dissect.evidence.asdf
        • dissect.evidence.asdf.asdf
        • dissect.evidence.asdf.streams
      • dissect.evidence.tools
        • dissect.evidence.tools.asdf
          • dissect.evidence.tools.asdf.dd
          • dissect.evidence.tools.asdf.meta
          • dissect.evidence.tools.asdf.repair
          • dissect.evidence.tools.asdf.verify
      • dissect.evidence.ad1
      • dissect.evidence.ewf
      • dissect.evidence.exceptions
    • dissect.executable
      • dissect.executable.elf
        • dissect.executable.elf.c_elf
        • dissect.executable.elf.elf
      • dissect.executable.macho
      • dissect.executable.pe
      • dissect.executable.exception
    • dissect.extfs
      • dissect.extfs.c_ext
      • dissect.extfs.c_jdb2
      • dissect.extfs.exceptions
      • dissect.extfs.extfs
      • dissect.extfs.journal
    • dissect.fat
      • dissect.fat.c_exfat
      • dissect.fat.c_fat
      • dissect.fat.exceptions
      • dissect.fat.exfat
      • dissect.fat.fat
    • dissect.ffs
      • dissect.ffs.c_ffs
      • dissect.ffs.exceptions
      • dissect.ffs.ffs
    • dissect.hypervisor
      • dissect.hypervisor.backup
        • dissect.hypervisor.backup.c_vma
        • dissect.hypervisor.backup.c_wim
        • dissect.hypervisor.backup.vma
        • dissect.hypervisor.backup.wim
        • dissect.hypervisor.backup.xva
      • dissect.hypervisor.descriptor
        • dissect.hypervisor.descriptor.c_hyperv
        • dissect.hypervisor.descriptor.hyperv
        • dissect.hypervisor.descriptor.ovf
        • dissect.hypervisor.descriptor.vbox
        • dissect.hypervisor.descriptor.vmx
      • dissect.hypervisor.disk
        • dissect.hypervisor.disk.c_qcow2
        • dissect.hypervisor.disk.c_vdi
        • dissect.hypervisor.disk.c_vhd
        • dissect.hypervisor.disk.c_vhdx
        • dissect.hypervisor.disk.c_vmdk
        • dissect.hypervisor.disk.qcow2
        • dissect.hypervisor.disk.vdi
        • dissect.hypervisor.disk.vhd
        • dissect.hypervisor.disk.vhdx
        • dissect.hypervisor.disk.vmdk
      • dissect.hypervisor.tools
        • dissect.hypervisor.tools.envelope
        • dissect.hypervisor.tools.vma
      • dissect.hypervisor.util
        • dissect.hypervisor.util.envelope
        • dissect.hypervisor.util.vmtar
      • dissect.hypervisor.exceptions
    • dissect.ntfs
      • dissect.ntfs.attr
      • dissect.ntfs.c_ntfs
      • dissect.ntfs.exceptions
      • dissect.ntfs.index
      • dissect.ntfs.mft
      • dissect.ntfs.ntfs
      • dissect.ntfs.secure
      • dissect.ntfs.stream
      • dissect.ntfs.usnjrnl
      • dissect.ntfs.util
    • dissect.ole
      • dissect.ole.c_ole
      • dissect.ole.exceptions
      • dissect.ole.ole
    • dissect.regf
      • dissect.regf.c_regf
      • dissect.regf.exceptions
      • dissect.regf.regf
    • dissect.shellitem
      • dissect.shellitem.lnk
        • dissect.shellitem.lnk.c_lnk
        • dissect.shellitem.lnk.lnk
      • dissect.shellitem.tools
        • dissect.shellitem.tools.lnk
    • dissect.sql
      • dissect.sql.c_sqlite3
      • dissect.sql.exceptions
      • dissect.sql.sqlite3
      • dissect.sql.utils
    • dissect.squashfs
      • dissect.squashfs.c_squashfs
      • dissect.squashfs.compression
      • dissect.squashfs.exceptions
      • dissect.squashfs.squashfs
    • dissect.target
      • dissect.target.containers
        • dissect.target.containers.asdf
        • dissect.target.containers.ewf
        • dissect.target.containers.qcow2
        • dissect.target.containers.raw
        • dissect.target.containers.split
        • dissect.target.containers.vdi
        • dissect.target.containers.vhd
        • dissect.target.containers.vhdx
        • dissect.target.containers.vmdk
      • dissect.target.filesystems
        • dissect.target.filesystems.ad1
        • dissect.target.filesystems.cb
        • dissect.target.filesystems.dir
        • dissect.target.filesystems.exfat
        • dissect.target.filesystems.extfs
        • dissect.target.filesystems.fat
        • dissect.target.filesystems.ffs
        • dissect.target.filesystems.itunes
        • dissect.target.filesystems.ntfs
        • dissect.target.filesystems.tar
        • dissect.target.filesystems.vmfs
        • dissect.target.filesystems.xfs
        • dissect.target.filesystems.zip
      • dissect.target.helpers
        • dissect.target.helpers.cache
        • dissect.target.helpers.config
        • dissect.target.helpers.descriptor_extensions
        • dissect.target.helpers.docs
        • dissect.target.helpers.fsutil
        • dissect.target.helpers.hashutil
        • dissect.target.helpers.keychain
        • dissect.target.helpers.lazy
        • dissect.target.helpers.loaderutil
        • dissect.target.helpers.localeutil
        • dissect.target.helpers.mount
        • dissect.target.helpers.network_managers
        • dissect.target.helpers.record
        • dissect.target.helpers.regutil
        • dissect.target.helpers.shell_folder_ids
        • dissect.target.helpers.ssh
        • dissect.target.helpers.utils
      • dissect.target.loaders
        • dissect.target.loaders.ad1
        • dissect.target.loaders.asdf
        • dissect.target.loaders.cb
        • dissect.target.loaders.dir
        • dissect.target.loaders.ewf
        • dissect.target.loaders.hyperv
        • dissect.target.loaders.itunes
        • dissect.target.loaders.kape
        • dissect.target.loaders.local
        • dissect.target.loaders.ovf
        • dissect.target.loaders.phobos
        • dissect.target.loaders.profile
        • dissect.target.loaders.raw
        • dissect.target.loaders.remote
        • dissect.target.loaders.res
        • dissect.target.loaders.tanium
        • dissect.target.loaders.tar
        • dissect.target.loaders.target
        • dissect.target.loaders.vb
        • dissect.target.loaders.vbox
        • dissect.target.loaders.velociraptor
        • dissect.target.loaders.vma
        • dissect.target.loaders.vmx
        • dissect.target.loaders.xva
      • dissect.target.plugins
        • dissect.target.plugins.apps
          • dissect.target.plugins.apps.containers
            • dissect.target.plugins.apps.containers.docker
          • dissect.target.plugins.apps.remoteaccess
            • dissect.target.plugins.apps.remoteaccess.anydesk
            • dissect.target.plugins.apps.remoteaccess.remoteaccess
            • dissect.target.plugins.apps.remoteaccess.teamviewer
          • dissect.target.plugins.apps.vpns
            • dissect.target.plugins.apps.vpns.wireguard
          • dissect.target.plugins.apps.webservers
            • dissect.target.plugins.apps.webservers.apache
            • dissect.target.plugins.apps.webservers.caddy
            • dissect.target.plugins.apps.webservers.iis
            • dissect.target.plugins.apps.webservers.nginx
            • dissect.target.plugins.apps.webservers.webservers
        • dissect.target.plugins.browsers
          • dissect.target.plugins.browsers.browser
          • dissect.target.plugins.browsers.chrome
          • dissect.target.plugins.browsers.chromium
          • dissect.target.plugins.browsers.edge
          • dissect.target.plugins.browsers.firefox
          • dissect.target.plugins.browsers.iexplore
        • dissect.target.plugins.child
          • dissect.target.plugins.child.esxi
          • dissect.target.plugins.child.hyperv
          • dissect.target.plugins.child.virtuozzo
          • dissect.target.plugins.child.vmware_workstation
          • dissect.target.plugins.child.wsl
        • dissect.target.plugins.filesystem
          • dissect.target.plugins.filesystem.ntfs
            • dissect.target.plugins.filesystem.ntfs.mft
            • dissect.target.plugins.filesystem.ntfs.mft_timeline
            • dissect.target.plugins.filesystem.ntfs.usnjrnl
            • dissect.target.plugins.filesystem.ntfs.utils
          • dissect.target.plugins.filesystem.unix
            • dissect.target.plugins.filesystem.unix.capability
            • dissect.target.plugins.filesystem.unix.suid
          • dissect.target.plugins.filesystem.acquire_handles
          • dissect.target.plugins.filesystem.acquire_hash
          • dissect.target.plugins.filesystem.icat
          • dissect.target.plugins.filesystem.resolver
          • dissect.target.plugins.filesystem.walkfs
          • dissect.target.plugins.filesystem.yara
        • dissect.target.plugins.general
          • dissect.target.plugins.general.default
          • dissect.target.plugins.general.example
          • dissect.target.plugins.general.loaders
          • dissect.target.plugins.general.plugins
          • dissect.target.plugins.general.scrape
          • dissect.target.plugins.general.users
        • dissect.target.plugins.os
          • dissect.target.plugins.os.unix
            • dissect.target.plugins.os.unix.linux
              • dissect.target.plugins.os.unix.linux.android
              • dissect.target.plugins.os.unix.linux.debian
                • dissect.target.plugins.os.unix.linux.debian.vyos
                • dissect.target.plugins.os.unix.linux.debian.apt
                • dissect.target.plugins.os.unix.linux.debian.dpkg
              • dissect.target.plugins.os.unix.linux.esxi
              • dissect.target.plugins.os.unix.linux.fortigate
              • dissect.target.plugins.os.unix.linux.redhat
                • dissect.target.plugins.os.unix.linux.redhat.yum
              • dissect.target.plugins.os.unix.linux.suse
                • dissect.target.plugins.os.unix.linux.suse.zypper
            • dissect.target.plugins.os.unix.log
              • dissect.target.plugins.os.unix.log.atop
              • dissect.target.plugins.os.unix.log.audit
              • dissect.target.plugins.os.unix.log.auth
              • dissect.target.plugins.os.unix.log.btmp
              • dissect.target.plugins.os.unix.log.lastlog
              • dissect.target.plugins.os.unix.log.messages
              • dissect.target.plugins.os.unix.log.utmp
              • dissect.target.plugins.os.unix.log.wtmp
            • dissect.target.plugins.os.unix.cronjobs
            • dissect.target.plugins.os.unix.datetime
            • dissect.target.plugins.os.unix.generic
            • dissect.target.plugins.os.unix.history
            • dissect.target.plugins.os.unix.locale
            • dissect.target.plugins.os.unix.packagemanager
            • dissect.target.plugins.os.unix.services
            • dissect.target.plugins.os.unix.shadow
            • dissect.target.plugins.os.unix.ssh
          • dissect.target.plugins.os.windows
            • dissect.target.plugins.os.windows.exchange
              • dissect.target.plugins.os.windows.exchange.exchange
            • dissect.target.plugins.os.windows.log
              • dissect.target.plugins.os.windows.log.amcache
              • dissect.target.plugins.os.windows.log.etl
              • dissect.target.plugins.os.windows.log.evt
              • dissect.target.plugins.os.windows.log.evtx
              • dissect.target.plugins.os.windows.log.pfro
            • dissect.target.plugins.os.windows.regf
              • dissect.target.plugins.os.windows.regf.7zip
              • dissect.target.plugins.os.windows.regf.auditpol
              • dissect.target.plugins.os.windows.regf.bam
              • dissect.target.plugins.os.windows.regf.cit
              • dissect.target.plugins.os.windows.regf.clsid
              • dissect.target.plugins.os.windows.regf.firewall
              • dissect.target.plugins.os.windows.regf.mru
              • dissect.target.plugins.os.windows.regf.muicache
              • dissect.target.plugins.os.windows.regf.nethist
              • dissect.target.plugins.os.windows.regf.recentfilecache
              • dissect.target.plugins.os.windows.regf.regf
              • dissect.target.plugins.os.windows.regf.runkeys
              • dissect.target.plugins.os.windows.regf.shellbags
              • dissect.target.plugins.os.windows.regf.shimcache
              • dissect.target.plugins.os.windows.regf.trusteddocs
              • dissect.target.plugins.os.windows.regf.usb
              • dissect.target.plugins.os.windows.regf.userassist
            • dissect.target.plugins.os.windows.activitiescache
            • dissect.target.plugins.os.windows.adpolicy
            • dissect.target.plugins.os.windows.amcache
            • dissect.target.plugins.os.windows.catroot
            • dissect.target.plugins.os.windows.cim
            • dissect.target.plugins.os.windows.clfs
            • dissect.target.plugins.os.windows.datetime
            • dissect.target.plugins.os.windows.defender
            • dissect.target.plugins.os.windows.env
            • dissect.target.plugins.os.windows.generic
            • dissect.target.plugins.os.windows.lnk
            • dissect.target.plugins.os.windows.locale
            • dissect.target.plugins.os.windows.notifications
            • dissect.target.plugins.os.windows.powershell
            • dissect.target.plugins.os.windows.prefetch
            • dissect.target.plugins.os.windows.recyclebin
            • dissect.target.plugins.os.windows.registry
            • dissect.target.plugins.os.windows.sam
            • dissect.target.plugins.os.windows.services
            • dissect.target.plugins.os.windows.sru
            • dissect.target.plugins.os.windows.startupinfo
            • dissect.target.plugins.os.windows.syscache
            • dissect.target.plugins.os.windows.tasks
            • dissect.target.plugins.os.windows.thumbcache
            • dissect.target.plugins.os.windows.ual
            • dissect.target.plugins.os.windows.wer
      • dissect.target.tools
        • dissect.target.tools.dump
          • dissect.target.tools.dump.run
          • dissect.target.tools.dump.state
          • dissect.target.tools.dump.utils
        • dissect.target.tools.build_pluginlist
        • dissect.target.tools.dd
        • dissect.target.tools.fs
        • dissect.target.tools.info
        • dissect.target.tools.logging
        • dissect.target.tools.mount
        • dissect.target.tools.query
        • dissect.target.tools.reg
        • dissect.target.tools.shell
        • dissect.target.tools.utils
      • dissect.target.volumes
        • dissect.target.volumes.bde
        • dissect.target.volumes.disk
        • dissect.target.volumes.lvm
        • dissect.target.volumes.vmfs
      • dissect.target.container
      • dissect.target.exceptions
      • dissect.target.filesystem
      • dissect.target.loader
      • dissect.target.plugin
      • dissect.target.report
      • dissect.target.target
      • dissect.target.volume
    • dissect.thumbcache
      • dissect.thumbcache.tools
        • dissect.thumbcache.tools.extract_images
        • dissect.thumbcache.tools.extract_with_index
        • dissect.thumbcache.tools.utils
      • dissect.thumbcache.c_thumbcache
      • dissect.thumbcache.exceptions
      • dissect.thumbcache.index
      • dissect.thumbcache.thumbcache
      • dissect.thumbcache.thumbcache_file
      • dissect.thumbcache.util
    • dissect.util
      • dissect.util.compression
        • dissect.util.compression.lz4
        • dissect.util.compression.lznt1
        • dissect.util.compression.lzo
        • dissect.util.compression.lzxpress
        • dissect.util.compression.lzxpress_huffman
        • dissect.util.compression.sevenbit
      • dissect.util.encoding
        • dissect.util.encoding.surrogateescape
      • dissect.util.tools
        • dissect.util.tools.dump_nskeyedarchiver
      • dissect.util.cpio
      • dissect.util.exceptions
      • dissect.util.plist
      • dissect.util.sid
      • dissect.util.stream
      • dissect.util.ts
      • dissect.util.xmemoryview
    • dissect.vmfs
      • dissect.vmfs.c_vmfs
      • dissect.vmfs.exceptions
      • dissect.vmfs.lvm
      • dissect.vmfs.resource
      • dissect.vmfs.vmfs
    • dissect.volume
      • dissect.volume.disk
        • dissect.volume.disk.schemes
          • dissect.volume.disk.schemes.apm
          • dissect.volume.disk.schemes.bsd
          • dissect.volume.disk.schemes.gpt
          • dissect.volume.disk.schemes.mbr
        • dissect.volume.disk.disk
        • dissect.volume.disk.partition
      • dissect.volume.lvm
        • dissect.volume.lvm.lvm2
        • dissect.volume.lvm.metadata
        • dissect.volume.lvm.physical
      • dissect.volume.exceptions
      • dissect.volume.ldm
      • dissect.volume.vss
    • dissect.xfs
      • dissect.xfs.c_xfs
      • dissect.xfs.exceptions
      • dissect.xfs.xfs
    • flow.record
      • flow.record.adapter
        • flow.record.adapter.archive
        • flow.record.adapter.avro
        • flow.record.adapter.broker
        • flow.record.adapter.csvfile
        • flow.record.adapter.elastic
        • flow.record.adapter.jsonfile
        • flow.record.adapter.line
        • flow.record.adapter.mongo
        • flow.record.adapter.split
        • flow.record.adapter.splunk
        • flow.record.adapter.stream
        • flow.record.adapter.text
        • flow.record.adapter.xlsx
      • flow.record.fieldtypes
        • flow.record.fieldtypes.net
          • flow.record.fieldtypes.net.ip
          • flow.record.fieldtypes.net.ipv4
          • flow.record.fieldtypes.net.tcp
          • flow.record.fieldtypes.net.udp
        • flow.record.fieldtypes.credential
      • flow.record.tools
        • flow.record.tools.geoip
        • flow.record.tools.rdump
      • flow.record.base
      • flow.record.exceptions
      • flow.record.jsonpacker
      • flow.record.packer
      • flow.record.selector
      • flow.record.stream
      • flow.record.utils
      • flow.record.whitelist

Contributing

  • Developing for Dissect
  • Style guide
  • License

Resources

  • Dissect in Action
  • Talks and Conferences

Links

  • Try in your browser
  • GitHub
  • PyPI
  v: latest
Versions
latest
stable
Downloads
On Read the Docs
Project Home
Builds
Back to top
Edit this page

API Reference#

  • dissect.cim
  • dissect.clfs
  • dissect.cstruct
  • dissect.esedb
  • dissect.etl
  • dissect.eventlog
  • dissect.evidence
  • dissect.executable
  • dissect.extfs
  • dissect.fat
  • dissect.ffs
  • dissect.hypervisor
  • dissect.ntfs
  • dissect.ole
  • dissect.regf
  • dissect.shellitem
  • dissect.sql
  • dissect.squashfs
  • dissect.target
  • dissect.thumbcache
  • dissect.util
  • dissect.vmfs
  • dissect.volume
  • dissect.xfs
  • flow.record
Next
dissect.cim
Previous
Plugins
Copyright © 2023, Fox-IT part of NCC Group
Made with Sphinx and @pradyunsg's Furo