https://blog.qife122.com/tags/ios%E5%8F%96%E8%AF%81/ Recent content in IOS取证 on 办公AI智能小助手 Hugo zh-cn qife Thu, 01 Jan 2026 01:46:16 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90ios%E7%85%A7%E7%89%87%E6%95%B0%E6%8D%AE%E5%BA%93%E6%8F%AD%E7%A4%BA%E7%85%A7%E7%89%87%E4%B8%8E%E5%88%9B%E5%BB%BA%E5%BA%94%E7%94%A8%E7%9A%84%E6%8A%80%E6%9C%AF%E5%85%B3%E8%81%94/ Thu, 01 Jan 2026 01:46:16 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90ios%E7%85%A7%E7%89%87%E6%95%B0%E6%8D%AE%E5%BA%93%E6%8F%AD%E7%A4%BA%E7%85%A7%E7%89%87%E4%B8%8E%E5%88%9B%E5%BB%BA%E5%BA%94%E7%94%A8%E7%9A%84%E6%8A%80%E6%9C%AF%E5%85%B3%E8%81%94/ <h1 id="使用photossqlite展示照片与其创建应用程序之间的关系">使用Photos.sqlite展示照片与其创建应用程序之间的关系？</h1> <p>作者：斯科特·科尼格 | 更智能的取证</p> <p>首先，我要感谢希瑟·马哈利克在此过程中的帮助，并允许我在她的博客上发布内容。这是我的荣幸！此外，还要感谢贾里德·巴恩哈特在研究与测试方面给予的协助。</p> https://blog.qife122.com/p/ios14%E5%8F%96%E8%AF%81%E8%A7%A3%E6%9E%90%E6%95%B0%E6%8D%AE%E5%BA%93%E5%8F%98%E5%8C%96%E5%9C%B0%E5%9B%BE%E6%96%B0%E6%A0%BC%E5%BC%8F%E4%B8%8Eblob%E6%95%B0%E6%8D%AE%E6%8C%96%E6%8E%98/ Wed, 31 Dec 2025 19:15:48 +0800 https://blog.qife122.com/p/ios14%E5%8F%96%E8%AF%81%E8%A7%A3%E6%9E%90%E6%95%B0%E6%8D%AE%E5%BA%93%E5%8F%98%E5%8C%96%E5%9C%B0%E5%9B%BE%E6%96%B0%E6%A0%BC%E5%BC%8F%E4%B8%8Eblob%E6%95%B0%E6%8D%AE%E6%8C%96%E6%8E%98/ <h1 id="ios14取证解析数据库变化地图新格式与blob数据挖掘">iOS14取证解析：数据库变化、地图新格式与BLOB数据挖掘</h1> <p>作者：Heather Mahalik</p> <p>本文是对本周正式发布的iOS14的初步检视。延续我之前的风格，我将重点关注影响几乎所有调查的基础数据，然后深入剖析。将此博文视为一次“浅尝辄止”的探索。本次测试使用了我个人可用的工具。如果您觉得遗漏了什么，请分享。如果您是供应商并认为有遗漏，请与我分享，我将亲自尝试。目前，加密的iTunes备份似乎是最稳定的选项。我知道供应商很快就会发布支持iOS14的更新，请耐心等待。如果您<strong>不加密</strong>备份，您将无法提取通话记录、Apple Maps（部分数据库被提取但为空）、Safari浏览记录、健康数据，可能还有更多内容！</p> https://blog.qife122.com/p/ios%E8%AE%BE%E5%A4%87apple%E7%BB%9F%E4%B8%80%E6%97%A5%E5%BF%97%E7%9A%84%E6%8F%90%E5%8F%96%E5%A4%84%E7%90%86%E4%B8%8E%E6%9F%A5%E8%AF%A2%E6%8A%80%E6%9C%AF%E8%AF%A6%E8%A7%A3/ Wed, 10 Dec 2025 09:55:14 +0800 https://blog.qife122.com/p/ios%E8%AE%BE%E5%A4%87apple%E7%BB%9F%E4%B8%80%E6%97%A5%E5%BF%97%E7%9A%84%E6%8F%90%E5%8F%96%E5%A4%84%E7%90%86%E4%B8%8E%E6%9F%A5%E8%AF%A2%E6%8A%80%E6%9C%AF%E8%AF%A6%E8%A7%A3/ <h1 id="提取处理与查询ios设备上的apple统一日志">提取、处理与查询iOS设备上的Apple统一日志</h1> <p>Apple统一日志是什么？它们为何在我的数字取证检查中如此重要？</p> <h2 id="引言">引言</h2> <p>统一日志以高度细粒度的方式记录Apple设备上的“生命模式”信息。根据Apple的文档说明：</p> https://blog.qife122.com/p/ios-13%E6%BB%91%E5%8A%A8%E8%BE%93%E5%85%A5%E6%8A%80%E6%9C%AF%E8%83%8C%E5%90%8E%E7%9A%84%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E5%AE%9D%E8%97%8F/ Wed, 10 Dec 2025 00:12:54 +0800 https://blog.qife122.com/p/ios-13%E6%BB%91%E5%8A%A8%E8%BE%93%E5%85%A5%E6%8A%80%E6%9C%AF%E8%83%8C%E5%90%8E%E7%9A%84%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E5%AE%9D%E8%97%8F/ <h3 id="ios-13--滑动输入">iOS 13 – 滑动输入</h3> <p>iOS 13带来了许多有趣的新功能，其中我已开始使用的一个就是滑动输入。它的准确性给我留下了深刻印象。</p> <p>这个功能在第三方应用中早已存在，并且在安卓系统中作为原生功能也有一段时间了（我认为）。</p> https://blog.qife122.com/p/ios%E7%89%88evernote%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E6%97%A5%E5%BF%97%E6%95%B0%E6%8D%AE%E5%BA%93%E4%B8%8E%E5%9C%B0%E7%90%86%E4%BD%8D%E7%BD%AE%E4%BF%A1%E6%81%AF%E7%9A%84%E6%8C%96%E6%8E%98/ Tue, 09 Dec 2025 23:46:25 +0800 https://blog.qife122.com/p/ios%E7%89%88evernote%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E6%97%A5%E5%BF%97%E6%95%B0%E6%8D%AE%E5%BA%93%E4%B8%8E%E5%9C%B0%E7%90%86%E4%BD%8D%E7%BD%AE%E4%BF%A1%E6%81%AF%E7%9A%84%E6%8C%96%E6%8E%98/ <h3 id="概述">概述</h3> <p>在移动设备的取证检查中，新的iOS应用程序不断出现。我发现我们通常用于获取和分析移动设备数据的商业工具，无法解析大多数第三方应用的数据。这是应用程序更新周期带来的固有问题。我们实在不能责怪那些商业产品或开发者，他们确实是在打一场徒劳的仗。</p> https://blog.qife122.com/p/ios%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E8%A7%A3%E5%AF%86airtag%E4%B8%8E%E8%BF%BD%E8%B8%AA%E5%99%A8%E7%9A%84%E4%BD%8D%E7%BD%AE%E6%95%B0%E6%8D%AE/ Tue, 25 Nov 2025 12:51:53 +0800 https://blog.qife122.com/p/ios%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E8%A7%A3%E5%AF%86airtag%E4%B8%8E%E8%BF%BD%E8%B8%AA%E5%99%A8%E7%9A%84%E4%BD%8D%E7%BD%AE%E6%95%B0%E6%8D%AE/ <h1 id="野生标签与其他airtag故事">野生标签与其他AirTag故事</h1> <p>作为数字取证从业者，我通常在本博客中讨论Android相关内容，但偶尔也会涉足iOS/iPadOS领域。最近我在准备关于不需要的Google Find My Device（FMD）追踪器的演示时，在iOS统一日志中发现了一些有趣的内容：关于不需要的追踪器的信息被写入磁盘。</p> https://blog.qife122.com/p/ios%E6%90%9C%E7%B4%A2%E6%B4%BE%E5%AF%B9%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90findmy%E7%BD%91%E7%BB%9C%E5%8F%96%E8%AF%81%E4%B8%8E%E5%8A%A0%E5%AF%86%E6%95%B0%E6%8D%AE%E5%BA%93%E5%88%86%E6%9E%90/ Thu, 20 Nov 2025 01:17:34 +0800 https://blog.qife122.com/p/ios%E6%90%9C%E7%B4%A2%E6%B4%BE%E5%AF%B9%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90findmy%E7%BD%91%E7%BB%9C%E5%8F%96%E8%AF%81%E4%B8%8E%E5%8A%A0%E5%AF%86%E6%95%B0%E6%8D%AE%E5%BA%93%E5%88%86%E6%9E%90/ <p>iOS正在观察。也在判断。</p> <p>注意：本文假设您已阅读之前关于AirTags的文章，因为它引用了与iOS searchpartyd相关的项目，但几乎没有任何解释。强烈建议您在继续阅读之前先阅读之前的文章。</p> https://blog.qife122.com/p/ios-13%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90%E5%85%B3%E9%94%AE%E6%95%B0%E6%8D%AE%E4%BD%8D%E7%BD%AE%E4%B8%8E%E5%B7%A5%E5%85%B7%E6%94%AF%E6%8C%81/ Wed, 05 Nov 2025 07:29:33 +0800 https://blog.qife122.com/p/ios-13%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90%E5%85%B3%E9%94%AE%E6%95%B0%E6%8D%AE%E4%BD%8D%E7%BD%AE%E4%B8%8E%E5%B7%A5%E5%85%B7%E6%94%AF%E6%8C%81/ <h2 id="数据备份与取证方法">数据备份与取证方法</h2> <p>在测试iOS 13过程中，作者反复进行了数据备份、检查和修改的过程。苹果在此次更新中对数据存储位置做了一些调整，其中加密变得至关重要。</p> <p>目前，Physical Analyzer的Method 1和Method 2尚未支持iOS 13，因此作者使用iTunes进行备份获取。建议进行加密的iTunes备份，因为这样可以获取健康数据、钥匙串、Safari、通话记录、地图和钱包等数据。</p> https://blog.qife122.com/p/ios%E8%AE%BE%E5%A4%87%E8%8B%B9%E6%9E%9C%E7%BB%9F%E4%B8%80%E6%97%A5%E5%BF%97%E7%9A%84%E6%8F%90%E5%8F%96%E5%A4%84%E7%90%86%E4%B8%8E%E6%9F%A5%E8%AF%A2%E6%8A%80%E6%9C%AF%E6%8C%87%E5%8D%97/ Wed, 05 Nov 2025 04:07:33 +0800 https://blog.qife122.com/p/ios%E8%AE%BE%E5%A4%87%E8%8B%B9%E6%9E%9C%E7%BB%9F%E4%B8%80%E6%97%A5%E5%BF%97%E7%9A%84%E6%8F%90%E5%8F%96%E5%A4%84%E7%90%86%E4%B8%8E%E6%9F%A5%E8%AF%A2%E6%8A%80%E6%9C%AF%E6%8C%87%E5%8D%97/ <h1 id="初始化向量从ios设备提取处理和查询苹果统一日志">初始化向量：从iOS设备提取、处理和查询苹果统一日志</h1> <h2 id="什么是苹果统一日志及其重要性">什么是苹果统一日志及其重要性</h2> <p>统一日志在所有苹果设备中保存着高度细粒度的生活模式信息。根据苹果官方文档：</p> <blockquote> <p>统一日志系统提供了一个全面且高性能的API，用于捕获系统各个级别的遥测数据。该系统将日志数据集中存储在内存和磁盘中，而不是将数据写入基于文本的日志文件。您可以使用Console应用、日志命令行工具或Xcode调试控制台查看日志消息。</p> https://blog.qife122.com/p/ios%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90knowledgec%E6%95%B0%E6%8D%AE%E5%BA%93%E4%B8%AD%E7%9A%84now-playing%E8%AE%B0%E5%BD%95%E8%A7%A3%E6%9E%90/ Tue, 04 Nov 2025 01:24:27 +0800 https://blog.qife122.com/p/ios%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90knowledgec%E6%95%B0%E6%8D%AE%E5%BA%93%E4%B8%AD%E7%9A%84now-playing%E8%AE%B0%E5%BD%95%E8%A7%A3%E6%9E%90/ <p>我知道距离我上次发帖已经很久了！我已经在Magnet Forensics安顿下来，不得不说——到目前为止这是一次不可思议的经历。我继续被那些不知疲倦地工作、使Magnet AXIOM和无数其他产品尽可能做到最好的人们的奉献精神和技能所惊叹和启发。</p> https://blog.qife122.com/p/snapchat%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90%E4%BB%8E%E8%B4%A6%E6%88%B7%E6%95%B0%E6%8D%AE%E8%8E%B7%E5%8F%96%E5%85%B3%E9%94%AE%E8%AF%81%E6%8D%AE/ Mon, 03 Nov 2025 22:14:57 +0800 https://blog.qife122.com/p/snapchat%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90%E4%BB%8E%E8%B4%A6%E6%88%B7%E6%95%B0%E6%8D%AE%E8%8E%B7%E5%8F%96%E5%85%B3%E9%94%AE%E8%AF%81%E6%8D%AE/ <h1 id="不完全snapchat取证">（不完全）Snapchat取证</h1> <h2 id="概述">概述</h2> <p>对于那些无法使用GrayKey盒子或Cellebrite服务获取设备物理镜像的取证人员来说，由于法律限制等因素，我们通常只能依赖iOS设备的逻辑提取。在最近一次关于Snapchat数据及其设备存储情况的调查后，我发现Snapchat提供了类似Google Takeout的数据下载服务。</p> https://blog.qife122.com/p/ios%E7%85%A7%E7%89%87%E5%BA%94%E7%94%A8%E9%9D%A2%E9%83%A8%E8%AF%86%E5%88%AB%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90/ Mon, 03 Nov 2025 02:11:36 +0800 https://blog.qife122.com/p/ios%E7%85%A7%E7%89%87%E5%BA%94%E7%94%A8%E9%9D%A2%E9%83%A8%E8%AF%86%E5%88%AB%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90/ <h1 id="dfir峰会演讲后续lucky-ios-13---下注时刻通过-bizzybarney">DFIR峰会演讲后续：Lucky (iOS) 13 - 下注时刻（通过 @bizzybarney）</h1> <h2 id="照片中的人脸识别">照片中的人脸识别</h2> <p>我想扩展我在DFIR峰会演讲中的一个方面，即深入研究照片应用程序，以及该研究的一些衍生内容。在关注人脸识别主题时，似乎有必要简要介绍从拍摄照片到在照片应用程序中将人名放在人脸旁边的整个过程。</p> https://blog.qife122.com/p/ios%E6%90%9C%E7%B4%A2%E6%B4%BE%E5%AF%B9%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90findmy%E7%BD%91%E7%BB%9C%E6%95%B0%E6%8D%AE%E5%8F%96%E8%AF%81%E4%B8%8E%E5%8A%A0%E5%AF%86%E6%8A%80%E6%9C%AF%E6%8F%AD%E7%A7%98/ Sun, 02 Nov 2025 02:35:08 +0800 https://blog.qife122.com/p/ios%E6%90%9C%E7%B4%A2%E6%B4%BE%E5%AF%B9%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90findmy%E7%BD%91%E7%BB%9C%E6%95%B0%E6%8D%AE%E5%8F%96%E8%AF%81%E4%B8%8E%E5%8A%A0%E5%AF%86%E6%8A%80%E6%9C%AF%E6%8F%AD%E7%A7%98/ <p>iOS正在观察。也在判断。</p> <p>在过去的几个月里，我一直在探索iOS的搜索派对。正是这个东西让苹果的FindMy网络运转起来，而理解其底层机制以及哪些数据可用于取证分析花费了一些时间。主要的障碍是加密，对此我的感受很矛盾。作为用户，我欣赏数据保护。作为从业者，我则不喜欢数据保护。去年在为SANS演讲做准备时，我与之斗争了一段时间，最终才弄清楚如何获取关于不受欢迎的AirTags的信息（您可以在此处阅读相关努力）。</p> https://blog.qife122.com/p/ios-13%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E8%A6%81%E7%82%B9%E8%A7%A3%E6%9E%90/ Sat, 01 Nov 2025 13:13:50 +0800 https://blog.qife122.com/p/ios-13%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E8%A6%81%E7%82%B9%E8%A7%A3%E6%9E%90/ <h2 id="ios-13取证要点总结">iOS 13取证要点总结</h2> <p>对于没有时间阅读完整技术文档的读者，这里提供一份简要总结：</p> <h3 id="备份加密要求">备份加密要求</h3> <p>首先，如果备份未加密，您将无法获取以下数据：</p> <ul> <li>地图</li> <li>通话记录</li> <li>Safari浏览器数据</li> <li>健康数据</li> <li>钥匙串</li> <li>钱包数据</li> </ul> <p>苹果似乎加强了数据保护机制，因此必须加密备份才能提取数据。在完整博客中我使用了iTunes进行测试，同时测试了PA 7.24的方法1（启用加密），方法2仍在进行中。加密备份效果很好，得到了预期的数据。简单来说：要么加密锁定，要么获取有限数据。</p> https://blog.qife122.com/p/%E9%80%9A%E8%BF%87photos.sqlite%E5%88%86%E6%9E%90%E7%85%A7%E7%89%87%E4%B8%8E%E5%88%9B%E5%BB%BA%E5%BA%94%E7%94%A8%E7%9A%84%E5%85%B3%E7%B3%BB/ Mon, 27 Oct 2025 20:04:09 +0800 https://blog.qife122.com/p/%E9%80%9A%E8%BF%87photos.sqlite%E5%88%86%E6%9E%90%E7%85%A7%E7%89%87%E4%B8%8E%E5%88%9B%E5%BB%BA%E5%BA%94%E7%94%A8%E7%9A%84%E5%85%B3%E7%B3%BB/ <h1 id="使用photossqlite展示照片与创建应用之间的关系">使用Photos.sqlite展示照片与创建应用之间的关系</h1> <p>首先，我要感谢Heather Mahalik在此过程中的帮助，并允许我在她的博客上发布内容。这是我的荣幸！此外，还要感谢Jared Barnhart在研究与测试方面的协助。</p> https://blog.qife122.com/p/ios%E7%94%B5%E6%BA%90%E6%97%A5%E5%BF%97%E4%B8%AD%E7%9A%84%E5%8D%95%E8%B0%83%E6%97%B6%E9%92%9F%E8%A7%A3%E6%9E%90%E4%B8%8E%E6%97%B6%E9%97%B4%E6%88%B3%E8%BD%AC%E6%8D%A2%E6%8A%80%E6%9C%AF/ Mon, 27 Oct 2025 19:00:58 +0800 https://blog.qife122.com/p/ios%E7%94%B5%E6%BA%90%E6%97%A5%E5%BF%97%E4%B8%AD%E7%9A%84%E5%8D%95%E8%B0%83%E6%97%B6%E9%92%9F%E8%A7%A3%E6%9E%90%E4%B8%8E%E6%97%B6%E9%97%B4%E6%88%B3%E8%BD%AC%E6%8D%A2%E6%8A%80%E6%9C%AF/ <h1 id="doubleblak-currentpowerlog--the-monotonic-clock">DoubleBlak [CurrentPowerLog &amp; the Monotonic Clock]</h1> <h2 id="currentpowerlog与单调时钟">CurrentPowerLog与单调时钟</h2> <p>Apple电源日志时间戳一直是个容易混淆的点，这很容易理解。我承认几年前在尝试验证电源日志记录时也陷入了同样的困惑。当时，从CurrentPowerLog.PLSQL数据库中提取的一个设备事件对我的案件很重要，我试图验证所显示的时间。我像往常一样去查看源数据库，但我感兴趣的时间戳却无处可寻。</p> https://blog.qife122.com/p/ios-13%E6%BB%91%E5%8A%A8%E8%BE%93%E5%85%A5%E6%8A%80%E6%9C%AF%E7%9A%84%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90/ Sat, 25 Oct 2025 23:11:33 +0800 https://blog.qife122.com/p/ios-13%E6%BB%91%E5%8A%A8%E8%BE%93%E5%85%A5%E6%8A%80%E6%9C%AF%E7%9A%84%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90/ <h1 id="ios-13---滑动输入">iOS 13 - 滑动输入</h1> <p>iOS 13带来了许多有趣的新功能，其中一个我已开始使用的就是滑动输入。其准确性令我印象深刻。</p> <p>这项功能在第三方应用中早已存在，并且在Android中（我认为）作为原生功能已有一段时间。</p> https://blog.qife122.com/p/ios%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90airtag%E4%B8%8E-unwanted-tracker-%E6%A3%80%E6%B5%8B%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90/ Sat, 25 Oct 2025 02:05:05 +0800 https://blog.qife122.com/p/ios%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90airtag%E4%B8%8E-unwanted-tracker-%E6%A3%80%E6%B5%8B%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90/ <h1 id="ios取证分析airtag与-unwanted-tracker-检测技术解析">iOS取证分析：AirTag与 unwanted tracker 检测技术解析</h1> <h2 id="引言">引言</h2> <p>虽然我通常在此博客中讨论Android相关内容，但偶尔也会涉足iOS/iPadOS领域。最近我在准备一个关于 unwanted Google Find My Device (FMD) 追踪器的演示时，在iOS统一日志中发现了一些有趣的内容：关于 unwanted tracker 的信息被写入磁盘。</p> https://blog.qife122.com/p/%E4%BD%BF%E7%94%A8python%E5%B0%86ios%E5%BF%AB%E7%85%A7%E4%BB%8Ektx%E6%A0%BC%E5%BC%8F%E8%BD%AC%E6%8D%A2%E4%B8%BApng/ Fri, 24 Oct 2025 22:52:21 +0800 https://blog.qife122.com/p/%E4%BD%BF%E7%94%A8python%E5%B0%86ios%E5%BF%AB%E7%85%A7%E4%BB%8Ektx%E6%A0%BC%E5%BC%8F%E8%BD%AC%E6%8D%A2%E4%B8%BApng/ <h1 id="ktx到png的python转换处理ios快照">KTX到PNG的Python转换：处理iOS快照</h1> <p>iOS上的应用快照以KTX文件格式存储，这得益于Geraldine Blay（@i_am_the_gia）和Alex Brignoni（@AlexisBrignoni）的研究已经广为人知。他们甚至提出了一种收集并将其转换为PNG格式的方法。然而，该解决方案仅适用于macOS，因此有了这项研究。</p> https://blog.qife122.com/p/%E4%BD%BF%E7%94%A8ileapp%E8%A7%A3%E6%9E%90ios%E7%89%88uber%E5%BA%94%E7%94%A8%E5%9C%B0%E7%90%86%E4%BD%8D%E7%BD%AE%E6%95%B0%E6%8D%AE%E7%9A%84%E6%96%B0%E5%B7%A5%E5%85%B7/ Fri, 24 Oct 2025 16:50:32 +0800 https://blog.qife122.com/p/%E4%BD%BF%E7%94%A8ileapp%E8%A7%A3%E6%9E%90ios%E7%89%88uber%E5%BA%94%E7%94%A8%E5%9C%B0%E7%90%86%E4%BD%8D%E7%BD%AE%E6%95%B0%E6%8D%AE%E7%9A%84%E6%96%B0%E5%B7%A5%E5%85%B7/ <h1 id="使用ileapp解析ios版uber应用地理位置数据的新工具">使用iLEAPP解析iOS版Uber应用地理位置数据的新工具</h1> <p><strong>数字取证与事件响应</strong> - 信息安全全方位</p> <p>2024年4月9日，星期二</p> <h2 id="新解析器功能特性">新解析器功能特性</h2> <p>基于iLEAPP的iOS版Uber应用新解析器具备以下功能：</p> <p>🗜 <strong>LevelDB数据结构</strong> - 解析存储在LevelDB中的数据</p> https://blog.qife122.com/p/%E8%8B%B9%E6%9E%9C%E5%9C%B0%E5%9B%BE%E4%BD%8D%E7%BD%AE%E8%AE%B0%E5%BD%95%E5%88%86%E6%9E%90%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90mapssync%E6%95%B0%E6%8D%AE%E5%BA%93%E6%8A%80%E6%9C%AF/ Thu, 23 Oct 2025 20:18:21 +0800 https://blog.qife122.com/p/%E8%8B%B9%E6%9E%9C%E5%9C%B0%E5%9B%BE%E4%BD%8D%E7%BD%AE%E8%AE%B0%E5%BD%95%E5%88%86%E6%9E%90%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90mapssync%E6%95%B0%E6%8D%AE%E5%BA%93%E6%8A%80%E6%9C%AF/ <h1 id="doubleblak-苹果地图---访问过的位置">DoubleBlak [苹果地图 - 访问过的位置？]</h1> <h2 id="苹果地图---访问过的位置">苹果地图 - 访问过的位置？</h2> <p>Ian Whiffin<br> 发布于：2024年2月27日</p> <p>这篇文章将涵盖MapsSync数据库的多个技术方面，包括位置数据和数据库结构。希望我的分析能够准确且有用。让我们开始吧。</p> https://blog.qife122.com/p/ios%E7%9F%A5%E8%AF%86%E5%BA%93%E5%90%8C%E6%AD%A5%E6%95%B0%E6%8D%AE%E5%8F%96%E8%AF%81%E8%B7%A8%E8%AE%BE%E5%A4%87%E6%B6%88%E6%81%AF%E6%84%8F%E5%9B%BE%E8%A7%A3%E6%9E%90/ Thu, 23 Oct 2025 16:33:44 +0800 https://blog.qife122.com/p/ios%E7%9F%A5%E8%AF%86%E5%BA%93%E5%90%8C%E6%AD%A5%E6%95%B0%E6%8D%AE%E5%8F%96%E8%AF%81%E8%B7%A8%E8%AE%BE%E5%A4%87%E6%B6%88%E6%81%AF%E6%84%8F%E5%9B%BE%E8%A7%A3%E6%9E%90/ <h1 id="doubleblak-sync-peers">DoubleBlak [Sync Peers]</h1> <p><strong>Ian Whiffin</strong><br> 发布于：2024年9月22日</p> <p>最近发生了一件有点有趣的事情。和许多检测人员一样，特别是那些喜欢做研究的人，我拥有大量测试设备，其中绝大多数是iOS设备。</p> https://blog.qife122.com/p/ios%E5%BA%94%E7%94%A8%E7%BB%84%E4%B8%8E%E5%85%B1%E4%BA%AB%E6%95%B0%E6%8D%AE%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90/ Thu, 23 Oct 2025 13:37:21 +0800 https://blog.qife122.com/p/ios%E5%BA%94%E7%94%A8%E7%BB%84%E4%B8%8E%E5%85%B1%E4%BA%AB%E6%95%B0%E6%8D%AE%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90/ <h2 id="ios应用组与共享数据">iOS应用组与共享数据</h2> <h3 id="背景">背景</h3> <p>追踪iOS应用的数据文件夹（即沙盒路径）相对简单，只需查看位于<code>/private/var/mobile/Library/FrontBoard/</code>的applicationState.db SQLite数据库。然而，定位其应用组（AppGroups）和扩展（Extensions）的沙盒文件夹则不那么直接。</p> https://blog.qife122.com/p/safari%E6%B5%8F%E8%A7%88%E5%99%A8%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E6%97%B6%E9%97%B4%E6%88%B3%E4%B8%8D%E5%8F%AF%E9%9D%A0%E6%80%A7%E9%AA%8C%E8%AF%81%E6%8C%87%E5%8D%97/ Thu, 23 Oct 2025 13:20:03 +0800 https://blog.qife122.com/p/safari%E6%B5%8F%E8%A7%88%E5%99%A8%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E6%97%B6%E9%97%B4%E6%88%B3%E4%B8%8D%E5%8F%AF%E9%9D%A0%E6%80%A7%E9%AA%8C%E8%AF%81%E6%8C%87%E5%8D%97/ <h1 id="doubleblak-safari取证分析指南">DoubleBlak [Safari取证分析指南]</h1> <p>这是关于此取证发现的最后一篇文章。尽管之前已发布两篇文章并在庭审中进行了两次现场演示，但似乎人们仍未理解或相信这一发现。</p> https://blog.qife122.com/p/ios14%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90%E6%95%B0%E6%8D%AE%E6%8F%90%E5%8F%96%E4%B8%8E%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90/ Thu, 23 Oct 2025 13:04:14 +0800 https://blog.qife122.com/p/ios14%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90%E6%95%B0%E6%8D%AE%E6%8F%90%E5%8F%96%E4%B8%8E%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90/ <h1 id="ios14数字取证技术深度解析">iOS14数字取证技术深度解析</h1> <p>本文是对本周正式发布的iOS14系统的初步技术分析。按照以往惯例，我重点关注影响大多数调查的基础数据痕迹，并深入分析苹果系统的技术细节。本文将这部分视为初步探索。</p> https://blog.qife122.com/p/apple%E5%81%A5%E5%BA%B7%E6%95%B0%E6%8D%AE%E5%87%86%E7%A1%AE%E6%80%A7%E6%B7%B1%E5%BA%A6%E5%88%86%E6%9E%90%E6%95%B0%E6%8D%AE%E5%BA%93%E7%BB%93%E6%9E%84%E4%B8%8E%E6%B5%8B%E8%AF%95%E9%AA%8C%E8%AF%81/ Thu, 23 Oct 2025 12:38:49 +0800 https://blog.qife122.com/p/apple%E5%81%A5%E5%BA%B7%E6%95%B0%E6%8D%AE%E5%87%86%E7%A1%AE%E6%80%A7%E6%B7%B1%E5%BA%A6%E5%88%86%E6%9E%90%E6%95%B0%E6%8D%AE%E5%BA%93%E7%BB%93%E6%9E%84%E4%B8%8E%E6%B5%8B%E8%AF%95%E9%AA%8C%E8%AF%81/ <h1 id="apple健康数据准确性与可靠性">Apple健康数据准确性与可靠性</h1> <h2 id="概述">概述</h2> <p>尽管多年来一直从事Apple Health相关工作并撰写过相关博客，但我从未真正写过关于其准确性的内容。虽然已有他人发表过相关文章，且我的观点与已发布细节差异不大，但我认为这里有一些有价值的信息值得了解。</p> https://blog.qife122.com/p/ios-17%E6%B6%88%E6%81%AF%E4%BF%9D%E7%95%99%E8%AE%BE%E7%BD%AE%E7%9A%84%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90%E4%B8%8E%E5%8F%96%E8%AF%81%E6%96%B9%E6%B3%95/ Thu, 23 Oct 2025 12:30:33 +0800 https://blog.qife122.com/p/ios-17%E6%B6%88%E6%81%AF%E4%BF%9D%E7%95%99%E8%AE%BE%E7%BD%AE%E7%9A%84%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90%E4%B8%8E%E5%8F%96%E8%AF%81%E6%96%B9%E6%B3%95/ <h1 id="ios-17那个永久设置真的永久吗还是另有隐情">iOS 17：那个&quot;永久&quot;设置真的永久吗？还是另有隐情？</h1> <p>在教授SANS FOR585智能手机取证深度分析课程时，我们会深入分析iOS工件，以验证事件真相、工具报告内容以及它们遗漏的信息。消息保留设置通常能帮助检查人员理解，如果用户没有删除数据，为什么某些数据不再存在于iOS设备上。在搜索已删除消息时，我建议学生先验证com.apple.MobileSMS.plist中的当前消息保留设置，然后检查工具解析的消息，并与sms.db的消息表进行比较。</p>