智能手机APP取证脚本编写续—iPhone数据提取与解析

xlysoft

【文章来源：效率源科技（微信号）】微信号：xiaolvyuantec

编者按:在《技术视界》第11期中，数据恢复四川省重点实验室科研人员以途牛软件为例子，介绍了一种编写手机APP取证脚本的方法。该技术方案扩展性强，可助力一线取证人员有效应对暂不支持的APP数据提取问题。文章投放后，受到极大关注，很大一部分读者微信留言、致电询问Iphone手机APP取证脚本的编写方法。本期，针对本问题，以Iphone手机APP数据为例讲解正常数据与删除数据的提取。相比正常数据，删除数据的提取与解析难度非常大，脚本编写步骤也更复杂，除了填写分析文档、插件智能匹配、定义数据结构和数据处理方法，还需要配置特征库文件才能实现。

       随着手机互联网的进步，手机APP应用越来越多，APP应用数据的分析就愈加重要。要实现APP数据分析，首先需要建立一个分析规范，因此分析人员应该更深入、更透彻、更全面地研究各类手机的各类应用APP，探索更多有效方法，抓取到更多有效信息，实现精准数据分析。做好APP应用数据的分析规范，可以较大地提高相关取证产品在实际应用中提取出更多、更全的数据。在第11期中，数据恢复四川省重点实验室科研人员已经详细讲解了APP取证脚本的编写流程与方法，这其实就是一种分析规范。对于暂不兼容的APP，一线人员可根据这种分析规范（或方法）自行编写取证脚本，提升兼容性。

一、数据提取

1、解析应用APP

       解析应用APP时，首先需要熟悉功能，了解数据存储结构。通过APP应用的主页，大致就能分析出数据的存储雏形，所以目测即可完成。下面，以APP“百度贴吧”为例详细讲解。

       熟悉“百度贴吧”结构以后，可根据数据的重要性排列出提取顺序，以最重要的数据为最高点，依次降序处理。如图1，在分析时，可以首先把“我的好友”确定为重要数据（对于取证来说，所有数据都可能重要），将这个数据确定分析的入口，优先分析。当然，也可以选择“浏览历史”。

       这里要注意，数据分析一定要全面、透彻，数据结构要严谨、层次。数据层次最好按照APP应用的呈现结构来处理，清晰明了，比如“百度贴吧”，就按照本身的数据结构来进行。

       打开数据库，我们可以看到里面的各种信息，包括浏览历史、我的收藏、关注的人、我的粉丝、我的好友、好友动态、我的吧动态等等，下一步工作就是对这些信息进行解析。

      这一步，我们可以使用科研人员为效率源SPF9139量身定制的脚本编辑器XLYScriptVisualStudio进行脚本开发。插件的配置包括name（插件的名称）“百度贴吧”、group（插件分组）“社交聊天”、icon（插件图标）“百度贴吧”图标，devicetype（插件所适应的手机系统类型）“IOS”、pump（插件所支持的数据泵类型）“USB、WIFI、mirror、bluetooth”、app（插件所解析的应用app名称）“com.baidu.tieba”、version（应用app的版本）“7.4.0”、description（插件描述信息）“百度贴吧”等。

3、定义数据结构和数据处理方法

【图7：定义数据结构】

       插件配置完毕后，继续在脚本编辑器XLYScriptVisualStudio中定义数据结构，使和用户相关信息展现出来，如好友数据结构、群组数据结构、会话数据结构等（如图7）。然后，定义数据处理方法，利用js语言展现数据库内容（如图8）。

【图8：定义数据处理方法】

       效率源Sqlite手机数据恢复工具，是一款针对智能手机删除数据恢复、数据解密的软件，功能强大、准确率高。基于sqlite数据库文件，能够实现正常数据快速全面导出、删除丢失数据快速恢复导出、加密数据快速解密还原成可读信息。经验证（如图12），该特征库能够实现删除数据提取（红色框部分）。

总结：通过以上介绍我们已经大概了解了IOS“百度贴吧”恢复数据的脚本开发过程，如果想熟练掌握还需要多动手练习，最主要的是需要了解应用数据的数据库储存结构以及对js语言的掌握，同时，也需要借助SPF9139物理镜像、脚本编辑器XLYScriptVisualStudio等软件。有一点必须注意，配置特征库文件是提取删除数据的必要步骤，如果只是解析正常数据，就不需要这个步骤。无论是Android还是iOS系统手机里的应用，基本都可以通过脚本插件载入SPF9139的方式，快速提取正常数据及恢复删除数据，且能导出相应的报告，以便于快速方便地取证。