用途：介绍使用 Eric Zimmerman Tools（EZ Tools）解析 Windows 取证证据。该套件是免费开源的 Windows 取证解析器集合，KAPE 的 !EZParser 模块内部即调用这些工具。
主要能力：MFTECmd 解析 $MFT、$J、$Boot、$SDS、$LogFile；PECmd 解析 Prefetch；RECmd 解析注册表；SBECmd 解析 ShellBags；AmcacheParser 解析 Amcache；AppCompatCacheParser 解析 ShimCache；LECmd/JLECmd 解析 LNK 和跳转列表；EvtxECmd 解析 EVTX 日志。输出为 CSV/JSON，可载入 Timeline Explorer 过滤、标记与交叉分析。2025 年及之后的版本基于 .NET，也可在 Linux 原生运行。
使用方式：用官方下载器更新工具，如 .\Get-ZimmermanTools.ps1 -Dest C:\Tools\EZ。常用参数：-f 单文件、-d 递归目录、--csv 输出目录、--csvf 文件名、--json、--bn（RECmd 批处理 .reb）、-i（AmcacheParser 含文件条目）。需先获得取证副本，再按工件类型解析，最后在 Timeline Explorer 中交叉关联 UTC 时间戳。
适用场景：采集后（如 KAPE）将原始工件解析为可检索证据；事件响应中确立程序执行、文件/文件夹访问与持久化；生成可输入时间线、Timesketch 或 SIEM 的 CSV。
限制：仅限授权分析，需维护证据链，须使用取证副本而非原始数据。仅解析 Windows 工件。其他功能、收费与平台细节暂未提供。