OSForensics使您能够通过高性能的文件搜索和索引快速从计算机中提取法医证据。通过哈希匹配、驱动器签名比较、电子邮件、内存和二进制数据识别可疑文件和活动。管理您的数字调查，并根据收集的取证数据创建报告。

OSForensics可以索引各种文件格式的内容。这包括：DOC、DOCX、PDF、PPT、XLS、RTF、WPD、SWF、DJVU、JPG、GIF、PNG、TIFF、MP3、DWF、DOCX，PPTX、XLSX、MHT、ZIP、PST、MBOX、MSG、DBX、ZIP、ZIPX、RAR、ISO、TAR、7z等。还支持递归容器。因此，可以在PST文件中正确索引附加到电子邮件的DOCX文件，该文件又被压缩到ZIPX文件中。

它提供了在Windows计算机上查找文件的最快、最强大的方法之一。您可以按文件名、大小、创建和修改日期以及其他条件进行搜索。结果将返回并在几个不同的有用视图中提供。这包括时间轴视图，它允许您在时间轴上筛选匹配项，从而明确机器上的用户活动模式。

能够搜索电子邮件的第一阶段是为有问题的档案创建索引。这可能需要一些时间，但它允许以后重复快速搜索。操作系统取证允许您在许多流行的电子邮件程序（如Microsoft Outlook、Mozilla Thunderbird、Outlook Express等）使用的电子邮件档案中执行全文搜索。

OSForensics允许您恢复和搜索已删除的文件，即使这些文件已从回收站中删除。这允许您查看用户可能试图销毁的文件。找到的每个已删除文件都会显示0-1之间的相应质量指示器。值接近1意味着被删除的文件基本上是完整的，只有少数丢失的数据簇。

OSForensics扫描您的系统以查找最近活动的证据，例如访问的网站、USB驱动器、无线网络、最近的下载、网站登录和网站密码。这对于识别用户的趋势和模式，以及最近访问的任何材料或帐户特别有用。

使用该程序，您可以从Chrome、Edge、IE、Firefox和Opera恢复浏览器密码。这可以在现场机器上完成，也可以从硬盘驱动器的图像中完成。恢复的数据包括网站的URL（通常为HTTPS）、登录用户名、网站密码、用于访问网站的浏览器和Windows用户名。黑名单上的URL也被报告，显示用户已经访问了该网站，但选择不在浏览器中存储密码。

它可以发现并暴露硬盘上的HPA和DCO隐藏区域，这些区域可用于恶意目的，包括隐藏非法数据。主机保护区（HPA）和设备配置覆盖（DCO）是用于隐藏硬盘扇区以防止最终用户访问的功能。

该应用程序包括对访问卷影副本的内置支持。卷影复制提供了过去某个时间点的卷影一瞥。这将允许发现对文件的更改，甚至可以查看可能删除的文件。

它提供了一个基本的web查看器，能够从web加载网页，并将网页的屏幕截图保存到案例中。

Web浏览器可以选择性地配置为从用户指定的URL列表中捕获网页。Web浏览器可以捕获所有或部分链接页面（最高可达一个级别）