取證：從iOS系統TAR包中提取使用者位置資訊等

摘要： 雖然TAR只是UNIX作業系統中的未壓縮文件，但這對於移動取證專家來說，卻是非常重要的。 自從iPhone5S(蘋果第一款64位iPhone)問世來，物理取證就變得異常困難。 配備了Apple 64位處理器的所有iPhone和iPad裝置，由於它們採取了 全磁碟加密技術 ，物理取證只...

雖然TAR只是UNIX作業系統中的未壓縮文件，但這對於移動取證專家來說，卻是非常重要的。

自從iPhone5S(蘋果第一款64位iPhone)問世來，物理取證就變得異常困難。

配備了Apple 64位處理器的所有iPhone和iPad裝置，由於它們採取了 全磁碟加密技術 ，物理取證只能通過檔案系統提取進行。

即使經過越獄的裝置，也必須在裝置上執行Tarball命令才能繞過加密。由於檔案系統映像是由iOS捕獲和打包的，因此無論使用何種工具執行物理取證，無論你使用的是iOS Forensic Toolkit工具，還是GrayKey（一款破解iPhone的工具），你都會得到 與裝置檔案系統映像完全相同的TAR文件 。

經常我會被問到的一個問題是： “我們可以用獲取的TAR檔案，得到一些什麼資訊？”

到目前為止，大多數可用於分析這些TAR映像檔案資訊的工具，都只是功能齊全的取證工具包中的一個小工具。你的選擇僅限於是選擇耗時耗力的人工分析，或者是使用高度複雜的自動化取證工具套件，除此之外，你別無選擇。

不過 Elcomsoft Phone Viewer 3.70 的出現，提供了一個完美的替代手動分析和複雜工具套件的方案。使用它，資料取證人員可以訪問 通話記錄 ， 聯絡人 ， 訊息資料庫 ， 通知 ， 瀏覽記錄 ，當然還包括 使用者的位置資料 。

為什麼TAR檔案對取證很重要？

與邏輯取證相比，物理取證則提供了許多實實在在的好處。至少，除了你在備份文件中看到的內容之外，你還可以獲得以下所有的內容。

1. 通知內容：在iOS 11之前，那些未被刪除的通知也會出現在備份檔案中，但在iOS 11之後，備份檔案中是不會保留它們的。所以今天，你只能從TAR檔案中提取通知。通知可能包含一些重要的證據，而這些證據在其他情況下是無法獲得的，比如來自電子郵件賬戶、社交網路、銀行和旅行應用、計程車應用等。
2. 應用資訊：在iOS中，開發人員可以控制要備份的資訊。即使他們選擇允許備份，開發人員也可能選擇只對同一臺裝置提供資料，這意味著應用將使用硬體金鑰進行加密，即使進行越獄也不可能破解。TAR檔案可以通過允許不受限制地訪問應用程式的沙盒資料，來解決此問題。Elcomsoft Phone Viewer會顯示已安裝的軟體包列表，並顯示每個應用程式資料的確切位置。
3. 位置資訊：與備份資訊相比，你可以在TAR檔案中看到更多的位置資料。

說到位置，Elcomsoft Phone Viewer可以從大量的資訊源中提取位置資料。目前位置資訊來源包括：

1. 系統重要的位置點；
2. 3G/LTE/Wi-Fi連線快取中的位置資訊；
3. Apple地圖；
4. 谷歌地圖；
5. 媒體檔案中的EXIF，包括用於捕獲映像裝置的ID；
6. 日曆活動記錄，包括活動連結；
7. UBER應用程式

通過訪問這些從各種來源收集的位置資料，你不再僅限於從位置日誌收集的證據。不過有些資訊來源僅適用於物理提取（比如TAR檔案），並且某些資料在分析備份時可能會受到限制。

如何使Elcomsoft Phone Viewer分析TAR檔案？

有了足夠的理論後，讓我們看看如何在Elcomsoft Phone Viewer中開啟的TAR檔案。

啟動Elcomsoft Phone Viewer 3.70，與以前的舊版本相比，你會看到一個新的圖示，顯示“iOS裝置映像”，點選它，開啟一個TAR檔案。

該檔案被開啟後，Elcomsoft Phone Viewer 3.70就會開始從中發現和索引證據。這個過程可能需要幾分鐘的時間。

最後，你將能夠獲取你所需要的證據！一旦開啟相應的類別，EPV將解析條目的數量。

首先會顯示已安裝應用的列表：

位置資訊如下：

如你所想，該工具彙總了來自多個來源的位置資料，包括：日誌，媒體檔案中的地理標記甚至是來自日曆活動的：

如果你點選座標資訊，地圖將會開啟。

除此之外，你還可以分析使用者的Safari瀏覽器書籤，歷史瀏覽記錄，系統通知，通話記錄和訊息等內容，如下圖所示：

本文節選翻譯自：

https://blog.elcomsoft.com/2018/06/the-ios-file-system-tar-and-aggregated-locations-analysis/

相關軟體下載地址：

https://www.elcomsoft.com/epv.html

宣告：本文來自LBS，版權歸作者所有。文章內容僅代表作者獨立觀點，不代表安全內參立場，轉載目的在於傳遞更多資訊。如需轉載，請聯絡原作者獲取授權。