用途：在文件系统 slack 空间、NTFS 主文件表（MFT）、USN 更改日志（$UsnJrnl）和备用数据流（ADS）中查找隐藏或残留数据，重建已删除文件的操作记录，属于超越常规文件恢复的深度取证分析。
主要能力：解析 MFT 获取已删除文件元数据并识别时间戳篡改（$SI 与 $FN 不一致）；解析 USN 更改日志还原文件创建、修改、重命名与删除事件；提取文件 slack 空间中的残留数据与关键字；检测并提取 ADS（如 Zone.Identifier）以及从中隐藏的数据或可执行文件。
使用方式：需准备 NTFS 取证磁盘镜像，安装 Sleuth Kit（istat、icat、fls、blkls、blkstat）、MFTECmd、MFTExplorer、analyzeMFT 或 mft 库、bulk_extractor 等。典型流程为先用 mmls 查看分区、icat 提取 $MFT、$UsnJrnl:$J、$LogFile，再用 blkls -s 提取全部 slack 空间；随后分别用 MFTECmd 或 analyzeMFT 解析 MFT、以 Python 解析 USN 记录、用 strings/grep/foremost/bulk_extractor 分析 slack 空间，并用 fls、icat 列出和提取 ADS。命令中出现的 -o 2048 等偏移需按实际分区调整。
适用场景：防取证检测（时间戳篡改）、ADS 隐藏数据排查、从 MFT 重建已删除文件、基于 USN 日志的文件活动时间线重建。
限制：需要具备 NTFS 结构（MFT、$UsnJrnl、$LogFile、ADS）知识；分析结果依赖镜像完整性与数据簇是否被覆盖；具体工具版本、许可与运行平台资料未提供。