編者按：在手機(jī)電子數(shù)據(jù)取證領(lǐng)域，針對(duì)iPhone手機(jī)的取證一直都是行業(yè)關(guān)注的焦點(diǎn)。自從iOS9系統(tǒng)發(fā)布以來，新版本系統(tǒng)的iPhone手機(jī)已很難通過越獄來直接提取解析或者拷貝原始數(shù)據(jù)，給手機(jī)電子數(shù)據(jù)取證帶來難題。本期，數(shù)據(jù)恢復(fù)四川省重點(diǎn)實(shí)驗(yàn)室科研人員將介紹，如何利用iTunes官方備份方式獲取iPhone手機(jī)備份數(shù)據(jù)，并對(duì)其進(jìn)行解析提取。
一、背景介紹
在全球智能手機(jī)市場上，iPhone手機(jī)長期位居市場前列。根據(jù)全球市場研究機(jī)構(gòu)TrendForce官網(wǎng)發(fā)布最新報(bào)告顯示，2016年第二、三季度，iPhone手機(jī)以超過10℅的市場占有率，穩(wěn)居市場前二位。
2016年第二、三季度全球前六大手機(jī)品牌市場占有率
iPhone手機(jī)的高市場占有率和影響力，使得關(guān)于iPhone手機(jī)的電子數(shù)據(jù)提取一直是行業(yè)關(guān)注的焦點(diǎn)。但自從iOS9系統(tǒng)發(fā)布以來，新版本系統(tǒng)iPhone手機(jī)已很難通過越獄來直接提取解析或者拷貝原始數(shù)據(jù)，這使得iPhone手機(jī)電子數(shù)據(jù)提取成為行業(yè)一大難題。
針對(duì)這一難題，數(shù)據(jù)恢復(fù)四川省重點(diǎn)實(shí)驗(yàn)室科研人員研究發(fā)現(xiàn)，可以使用iTunes官方備份方式獲取iPhone手機(jī)備份數(shù)據(jù)，再使用第三方工具解密該備份數(shù)據(jù)，并進(jìn)行全面解析和展示。下面，將以iPhone 5C(iOS10.0.2)為例，詳細(xì)講解這一過程。
二、利用iTunes備份iPhone數(shù)據(jù)
1.連上iPhone手機(jī)，并授權(quán)，如圖1;
圖1
2.點(diǎn)擊繼續(xù)，如圖2;
圖2
3.點(diǎn)擊“立即備份”進(jìn)行備份，但注意備份時(shí)不要勾選“備份加密”，如圖3;
圖3
三、查找iTunes備份數(shù)據(jù)
1. 點(diǎn)擊文件夾“查看”選項(xiàng)，取消“隱藏受保護(hù)的操作系統(tǒng)文件(推薦)”勾選，選擇“顯示隱藏的文件、文件夾和驅(qū)動(dòng)器”，如圖4;
圖4
2.iTunes備份默認(rèn)路徑在 Mac系統(tǒng)中為：資源庫/Application Support/MobileSync/Backup;在XP系統(tǒng)中為：C:\Documents and Settings\用戶名\Application Data\Apple Computer\MobileSync\Backup;在Window 7及以上系統(tǒng)中為： C:\Users\用戶名\AppData\Roaming\Apple Computer\MobileSync\Backup，如圖5;
圖5
四、解密iTunes備份數(shù)據(jù)
iTunes備份數(shù)據(jù)完成以后，可以選擇第三方軟件對(duì)其解密。這里，我們選用效率源MTF 手機(jī)可視化行蹤取證系統(tǒng)對(duì)其解密。
1.打開MTF 手機(jī)可視化行蹤取證系統(tǒng)，調(diào)出功能欄，選擇“工具箱”，如圖6;
圖6
2.點(diǎn)擊“解密IOS備份文件夾”，如圖7;
圖7
3.默認(rèn)解密保存位置在C盤，點(diǎn)擊選擇iTunes備份的原始文件夾，進(jìn)行文件夾解密，如圖8;
圖8
五、壓縮解析文件夾并提取數(shù)據(jù)
1.打開解析文件夾，如圖9;
圖9
2.選中“C:\XLYMTFData\20161122112711”所有內(nèi)容，點(diǎn)擊鼠標(biāo)右鍵選擇“添加到壓縮文件”，壓縮格式選擇勾選“ZIP”，解析文件夾，如圖10;
圖10
六、解析展示iOS數(shù)據(jù)
1.打開MTF，調(diào)出功能欄選擇“數(shù)據(jù)導(dǎo)入”，如圖11;
圖11
2. 點(diǎn)擊“瀏覽”，調(diào)出功能欄選擇“數(shù)據(jù)導(dǎo)入”，選擇“iOS數(shù)據(jù)包”，如圖12;
圖12
3. 文件屬性選擇“All file”，選中之前壓縮的zip文件，如圖13;
圖13
4.數(shù)據(jù)加載成功后，鼠標(biāo)左鍵單擊該手機(jī)模型，如圖14;
圖14
5.數(shù)據(jù)解析完成以后，可以對(duì)該iPhone 5C手機(jī)中掃描到的行為信息及位置信息進(jìn)行展示，如圖15;
圖15
6.在解析結(jié)果中，可以對(duì)該iPhone 5C手機(jī)中的應(yīng)用列表信心進(jìn)行展示，如圖16;
圖16
通過以上步驟，成功實(shí)現(xiàn)了利用iTunes備份出iPhone手機(jī)數(shù)據(jù)，再利用MTF手機(jī)可視化行蹤取證系統(tǒng)進(jìn)行數(shù)據(jù)解析全過程，成功提取到iPhone 5C手機(jī)里的數(shù)據(jù)。此方法也可以適用于其它型號(hào)的iOS設(shè)備數(shù)據(jù)提取。
結(jié)語：本期，數(shù)據(jù)恢復(fù)四川省重點(diǎn)實(shí)驗(yàn)室科研人員介紹了利用iTunes備份iPhone數(shù)據(jù)到使用效率源MTF手機(jī)可視化行蹤取證系統(tǒng)對(duì)其進(jìn)行解析的全部過程。目前，在MTF手機(jī)可視化行蹤取證系統(tǒng)最新版本中，已經(jīng)可以直接使用USB提取方式對(duì)iPhone手機(jī)數(shù)據(jù)進(jìn)行備份
和解析，大幅提升了工作效率。
