iOS取證分析

第1章  蘋果移動設備的歷史 1
1.1  iPod 2
1.2  iPhone的演變 2
1.2.1  ROCKR 2
1.2.2  蘋果iPhone 2G簡介 3
1.2.3  3G的iPhone 4
1.2.4  iPhone 3G[S] 5
1.2.5  iPhone 4 6
1.3  蘋果iPad 6
1.4  內部構造：iPhone和iPad
的硬件 7
1.4.1  2G版iPhone的內部構造 7
1.4.2  iPhone 3G的內部構造 9
1.4.3  iPhone 3GS內部構造 11
1.4.4  iPhone 4的內部構造 12
1.4.5  iPad 內部構件 13
1.5  蘋果App Store應用程序商店 15
1.6  iPhone黑客的興起 18
1.7  小結 18
第2章  iOS操作系統(tǒng)和文件系統(tǒng)分析 19
2.1  iOS特性的演變 19
2.1.1  iOS 1 19
2.1.2  iOS 2 21
2.1.3  iOS 3 22
2.1.4  iOS 4 23
2.2  應用軟件的發(fā)展 25
2.3  iOS文件系統(tǒng) 26
2.3.1  HFS+ 文件系統(tǒng) 26
2.3.2  HFSX 28
2.4  iPhone分區(qū)和卷信息 28
2.4.1  OS分區(qū) 31
2.4.2  iOS系統(tǒng)分區(qū) 32
2.4.3  iOS數據分區(qū) 35
2.5  SQLite數據庫 37
2.5.1  通訊錄數據庫 37
2.5.2  短信數據庫 37
2.5.3  通話記錄數據庫 38
2.6  分析數據庫 38
2.6.1  提取SQLite 數據庫中的數據 39
2.6.2  Plist 屬性列表文件 45
2.6.3  查看Plist屬性列表文件 45
2.7  小結 48
第3章  搜索、獲取和事件響應 49
3.1  美國憲法第四修正案 50
3.2  通過手機追蹤 51
3.3  逮捕中的手機搜查 51
3.4  技術進步和蘋果iPhone 52
3.5  如何搜查蘋果設備 53
3.6  隔離設備 56
3.7  開機口令 57
3.8  識別越獄的iPhone 58
3.9  收集iPhone中的信息 59
3.10  對iPhone連接過的Mac/
Windows計算機進行響應 61
3.11  小結 62
3.12  參考文獻 62
第4章  iPhone邏輯獲取 64
4.1  從iPhone、iPod Touch、iPad
中獲取數據 64
4.1.1  使用mdhelper軟件獲取數據 65
4.2  可用的工具和軟件 68
4.2.1  Lantern 68
4.2.2  Susteen Secure View 2 82
4.2.3  Paraben Device Seizure 89
4.2.4  Oxygen Forensic Suite 2010 91
4.2.5  Cellebrite 98
4.3  比較工具和結果 101
4.3.1  購買軟件需要考慮的因素 102
4.3.2  Paraben Device Seizure
軟件的結果 102
4.3.3  Oxygen Forensic Suite 2010
軟件的結果 102
4.3.4  Cellebrite的結果 103
4.3.5  Susteen Secure View 2
軟件的結果 103
4.3.6  Katana Forensics Lantern
軟件的結果 103
4.3.7  有關支持的問題 104
4.4  小結 104
第5章  邏輯數據分析 105
5.1  搭建一個取證工作站 105
5.2  資源庫（Library）域 110
5.2.1  通訊錄 111
5.2.2  緩存（Caches） 114
5.2.3  通話記錄 116
5.2.4  配置概要 117
5.2.5  Cookie 117
5.2.6  鍵盤 118
5.2.7  日志 120
5.2.8  地圖 122
5.2.9  地圖歷史記錄 122
5.2.10  備忘錄 123
5.2.11  系統(tǒng)偏好設置 123
5.2.12  Safari 瀏覽器 124
5.2.13  記憶休眠狀態(tài) 125
5.2.14  短信和彩信 126
5.2.15  語音信箱 128
5.2.16  網絡應用程序 129
5.2.17  WebKit 129
5.3  系統(tǒng)配置數據 132
5.4  媒體域（Media Domain） 134
5.4.1  媒體文件目錄 134
5.4.2  Photos.sqlite數據庫 139
5.4.3  PhotosAux.sqlite 數據庫 139
5.4.4  語音備忘 139
5.4.5  iPhoto相片 140
5.4.6  多媒體 141
5.5  第三方軟件 142
5.5.1  社交網絡分析 142
5.5.2  Skype 143
5.5.3  Facebook 145
5.5.4  AOL AIM 146
5.5.5  LinkedIn 146
5.5.6  Twitter 147
5.5.7  MySpace 147
5.5.8  Google Voice 148
5.5.9  Craigslist 151
5.5.10  具備分析和挖掘功能的軟件 152
5.5.11  iDisk 152
5.5.12  Google Mobile 153
5.5.13  Opera 154
5.5.14  Bing 154
5.5.15  文檔和文檔恢復 155
5.6  反取證軟件和過程 157
5.6.1  圖片儲藏庫 159
5.6.2  Picture Safe 159
5.6.3  Picture Vault 160
5.6.4  Incognito Web Browser 161
5.6.5  Invisible Browser 162
5.6.6  tigertext 162
5.7  越獄 166
5.8  小結 166
第6章  Mac和Windows計算機
中的證據 167
6.1  Mac計算機中的證據 167
6.1.1  屬性列表文件 167
6.1.2  MobileSync數據庫 168
6.1.3  蘋果備份文件的演變 168
6.1.4  密碼鎖定證書 170
6.2  Windows計算機中的證據 170
6.2.1  iPodDevices.xml 170
6.2.2  MobileSync備份 171
6.2.3  密碼鎖定證書 172
6.3  蘋果移動設備備份文件分析 172
6.3.1  iPhone Backup Extractor 172
6.3.2  JuicePhone 173
6.3.3  mdhelper 175
6.3.4  Oxygen Forensics Suite 2010
手機取證套件 176
6.4  Windows的取證工具和
備份文件 177
6.4.1  FTK Imager 178
6.4.2  FTK 1.8 178
6.4.3  技巧和訣竅 180
6.5  小結 181
第7章  地理位置信息分析 182
7.1  地圖應用程序 182
7.2  圖片和視頻的地理標記 189
7.3  基站數據 198
7.3.1  GeoHunter 202
7.4  導航應用程序 205
7.4.1  Navigon 206
7.4.2  Tom Tom 209
7.5  小結 210
第8章  媒體注入 211
8.1  什么是數字版權管理（DRM） 211
8.1.1  數字版權管理的法律要素 212
8.1.2  案例分析：手機越獄 214
8.1.3  案例分析：蘋果與Psystar 215
8.1.4  案例分析：在線音樂下載 217
8.1.5  案件分析：索尼BMG案件 217
8.1.6  DRM的未來 218
8.2  媒體注入 219
8.2.1  媒體注入工具 219
8.3  驗證鏡像 225
8.4  小結 227
8.5  參考文獻 229
第9章  媒體注入分析 231
9.1  使用Mac分析注入媒體 231
9.2  郵件 234
9.2.1  IMAP 234
9.2.2  POP郵件 235
9.2.3  Exchange 236
9.3  數據恢復（碎片重組） 238
9.3.1  MacForensicsLab 238
9.3.2  Access Data取證分析套件 241
9.3.3  FTK和圖片 244
9.3.4  EnCase 249
9.4  間諜軟件 252
9.4.1  Mobile Spy 252
9.4.2  FlexiSpy 255
9.5  小結 256
第10章  網絡分析 257
10.1  關于證據鏈的考慮 257
10.2  網絡101：基礎知識 258
10.3  網絡201：高級部分 264
10.3.1  DHCP 264
10.3.2  無線加密和身份認證 265
10.3.3  取證分析 266
10.3.4  網絡流量分析 268
10.4  小結 272