手机取证基础——iOS篇

iOS是苹果自己的系统，跟Android本质区别：iOS设备是加密的，密钥在硬件里，即使没设锁屏密码，直接读取闪存也极为困难。

获取iOS数据的主要途径：

iTunes备份——最简单、最常用。如果手机连接过iTunes并做过备份，直接分析备份文件。

备份包含：通讯录、通话记录、短信和iMessage、照片、Safari历史、应用数据、备忘录、位置轨迹。备份位置：

macOS：~/Library/Application Support/MobileSync/Backup/

Windows：C:\Users\用户名\AppData\Roaming\Apple Computer\MobileSync\Backup\

物理提取——比Android难得多，需要硬件漏洞或老版本iOS，个人基本做不了。

iCloud数据——通过法律程序向苹果调取，但需要授权，时间长。

备份分析实操：

用iLEAPP或iOSForensic解析。备份文件是用GUID命名的哈希文件，直接打开是乱码，必须用专门工具。

还原后重点看：

Safari历史：History.db SQLite

通话记录：CallHistory

短信和iMessage：sms.db

位置轨迹：consolidated.db

iMessage的取证价值：发送/接收时间精确到秒、发送方/接收方号码、消息内容（备份里是明文）、已删除消息残留。

注意：iOS 11及以上默认开启iCloud同步iMessage，如果不做本地备份，消息数据可能在苹果服务器上，需要走法律途径。