Hindsight 是开源浏览器取证工具，用于解析 Google Chrome 及其他 Chromium 系浏览器（Edge、Brave、Opera、Vivaldi）的取证痕迹。它从多个浏览器数据库文件中提取并关联数据，生成统一的网页活动时间线，可解析 URL、下载历史、缓存记录、收藏、自动填充、保存的密码、偏好设置、扩展、HTTP Cookie、Local Storage（HTML5 Cookie）、登录数据和会话/标签信息，并以 XLSX、JSON、SQLite 等格式输出时间线，供事件响应、内部威胁调查和刑事案件重建用户网页活动。
适用场景包括：需要浏览器取证的安全事件调查；为该领域构建检测规则或威胁狩猎查询；SOC 分析师需要结构化分析流程；验证相关攻击技术的安全监控覆盖。
前置条件：Python 3.8+ 并安装 Hindsight（pip install pyhindsight）；可访问取证镜像中的浏览器配置目录；浏览器配置数据未使用操作系统级加密；准备 Timeline Explorer 或电子表格工具用于分析。
关键痕迹文件：History（URL 访问、下载、关键词搜索）、Cookies、Web Data（自动填充、保存的信用卡）、Login Data（保存的用户名/密码，加密）、Bookmarks、Preferences、Local Storage/、Session Storage/、Network Action Predictor、Shortcuts、Top Sites。
命令行用法：hindsight.exe -i "配置文件路径" -o 输出目录；可用 -b 指定浏览器类型，--format jsonl 输出 JSON，--cache 解析缓存（较慢但更完整）。Web 界面：运行 hindsight_gui.exe，访问 http://localhost:8080 上传或指向配置目录并生成报告。
时间戳为 Chrome/WebKit 格式（自 1601-01-01 起的微秒），转换可用 datetime((visit_time/1000000)-11644473600, 'unixepoch')。限制：浏览器配置数据若被操作系统级加密则无法直接解析，缓存解析会显著变慢，且资料未提供收费、价格或平台兼容性的更多信息。