iOS取证系列：快速提取

发布时间：2020-04-15 13:51:08 所属分类：技术分享

[![](/pic/156/877/0bb692ccd4faeb0ef3ffa4556fe0d70c2c.png)](/pic/156/877/0bb692ccd4faeb0ef3ffa4556fe0d70c2c.png)
随着手机容量的增加和数据几何级数的增长，在案件中采用全盘镜像或者备份一次的时间也是越来越长。特别是针对现场办案的特殊环境下，如何能在有限的时间内，快速高效地获取并恢复所需的数据，也就变得至关重要。

对于取证工作者来说，苹果手机无疑是常常遇到的。对于iOS设备的数据处理，多数取证厂家会采用的取证策略方式是：先通过iTunes备份协议备份后，再使用不同的软件工具进行数据的解析、恢复，以及深度分析等。传统的iTunes协议备份方案中存在的一个问题：无法进行选择性数据的快速提取，用户只能在备份完成之后再进行数据的解析，即使用户想要直接选择性提取某一特定app数据，也束手无策。

盘古石手机取证分系统针对iOS设备，利用动态提取技术，动态地获取系统权限，选择性提取用户急需的数据，极大地解决了快速和高效的问题。具体操作如下（本文以微信为例）： 
**1. 选择“快速提取” **
[![](/pic/156/877/a282fb1d9074f6c7aed5b7a5a678d4e559.png)](/pic/156/877/a282fb1d9074f6c7aed5b7a5a678d4e559.png) 
**2. 选择所需要提取的应用程序数据**
[![](/pic/156/877/e35ea1a1123a90886adc45df00665939a1.png)](/pic/156/877/e35ea1a1123a90886adc45df00665939a1.png) 
**3. 接下来就是快速提取微信数据了**
[![](/pic/156/877/139e1ed38e865765e3a0d9d8a0c0799d1e.png)](/pic/156/877/139e1ed38e865765e3a0d9d8a0c0799d1e.png) 
提取完后直接使用盘古石手机取证分析软件解析即可。
 
下面图中，笔者特别针对一部iPhone手机进行了测试对比，左边为快速提取（针对微信）模式，右边为备份提取模式。
[![](/pic/156/877/dffe51b639b6fd5897fffb66592d1bad20.png)](/pic/156/877/dffe51b639b6fd5897fffb66592d1bad20.png)
通过结果对比可以看出快速提取模式可以提取并恢复出比备份模式更多的数据。为了找到数据差别的原因，打开对应的数据库文件夹后（如下图所示），可以看到提取出的文件数量是有所差别的。其中标识出的*.sqlite-shm和*.sqlite-wal是通过提权后才能获取到的。通过资料的查询。
[![](/pic/156/877/3bcb4845c144a1214ada0a90fafe00ad67.png)](/pic/156/877/3bcb4845c144a1214ada0a90fafe00ad67.png)
 “-wal” (全称为write-AheadLog)文件是预写日志文件，随着数据库的首次打开而被创建，用于记录数据库的修改。对于数据库的修改不会直接写入数据库文件”.sqlite”，而是暂存写入”.sqlite-wal”文件，在适当的时候会回滚写入到数据库中。

“-shm”（全称为shared-memory files）文件是共享内存文件，用于提供一块共享内存给多个进程在WAL模式中访问相同的数据库，如同-wal文件的索引一样，随-wal文件生成，当wal文件被删除时，shm文件也将被删除。

因此，wal和shm文件中还有大量关键数据可用来进行恢复，这也是两种模式下微信恢复数据的有差别的原因。

总结一下，当遇到ios设备的时候，在时间紧迫的现场或是特定场合下，可以使用盘古石手机分析系统的快速提取模式进行一个或多个特定应用程序的提权获取。这样操作，即节省时间，又可获取并恢复更多数据。当然，有条件的时候，强烈建议做全盘逻辑镜像的提取。 
**下面，敲黑板划重点:**
[![](/pic/156/877/b93c88e0d2b90a67605bfb06fec20d6ef3.png)](/pic/156/877/b93c88e0d2b90a67605bfb06fec20d6ef3.png) 
**另外，友情提示：
最新的盘古石取证分析系统已经加入iOS12.4的逻辑镜像提取和提权提取（无需专家服务）。**