收藏推荐| MacOS取证入门直播课听课笔记

时间过的真快，不知不觉在天宇宁达直播课群学习《MacOS取证入门》已经六周。
俗话说，总结是促进学习的最好方式，在此整理了一些听课笔记，供大家收藏。也欢迎了解苹果取证的学员们在此文后留言补充您的学习笔记，让更多人受益！

1、苹果取证对工作人员基本能力的要求？
做苹果取证必须熟悉苹果设备，掌握苹果电脑的基本操作技能，掌握苹果电脑取证的注意事项。

2、勘查现场遇到苹果电脑第一步做什么？
首先，碰到苹果机不要怕，先看状态，判断机器是开机、关机、还是休眠，再看电脑底部设备编号查询出厂年代，判断是否具备T2安全芯片。查看电脑的加密状态，判断是否启用了FileVault磁盘加密。判断当前苹果电脑的Windows系统是运行在虚拟机中，还是Bootcamp下的完整Windows系统。好比治病，望闻问切，观察是分析事物的第一步，也是取证工作的前提。

3、苹果取证过程中需掌握的常用按键有哪些？
启动过程中，按Option进入启动界面，按T进入Target模式，按Command+R进入恢复模式界面。当需要强制终止运行程序时，用Command+ Option+Esc（相当于windows的Ctrl+Alt+Del）。
须知：Command是Mac里最重要的修饰键，在多数情况下相当于Windows下的Ctrl键。

4、掌握如何进入Target目标磁盘模式对于取证有什么价值？
进入Target目标磁盘模式，是获取T2加密苹果电脑的优选方法，但也不是万能的，只读加载工具和用户密码仍然是重中之重。

5、利用取证盘启动苹果电脑会遇到哪些常见问题？
用WindowsPE,FE,Linux, macOS Base System启动苹果电脑方法各不同。为了适应不同型号的苹果电脑，建议用特制的macOS Base System。

启动过程蓝屏、停滞
启动后，未发现内置硬盘
启动后，无法控制鼠标和键盘
启动过程加载了内置硬盘，造成数据改动，不能保证证据原始性
按Option键后根本无法出现启动磁盘
启动后提示输入管理员密码解密磁盘
被设置禁止从从外置磁盘启动
启动后不经过外置磁盘直接进入了macOS登陆界面
无法进入目标磁盘模式

6、苹果电脑镜像的常见格式有哪些？
DMG格式镜像，便于利用macOS平台进行后期分析；DD镜像，用于所有分析工具；KFF/KFF4格式。取证人员须根据所选择的取证工具，决定获取镜像的格式类型。

7、启动苹果电脑的方法演变是怎么样的？哪个方法目前在取证中最适用呢？
启动苹果电脑的方法有很多种，早期是通过光盘启动，随后又出现了U盘（Paladin），随着技术的发展和人们需求的变化，近十年盛行一些工具是Recon Imager、MacQuisition， 为了更方便国人的使用习惯和解决免费、兼容性、速度的问题，郭老师还研发了深度取证系统、多通道取证系统等一系列的工具。同时，在启动连接接口使用方面，苹果电脑接口少，在有多种接口（USB、FireWire、雷电3）可选的情况下，首选雷电3接口，它是最高效的，传输速度更快！

8、为了更好的保持苹果电脑数据完整属性和数据的原始性，取证分析时应该用怎样的思路？
用特制的苹果系统获取苹果电脑数据，由于底层相通，数据完整性更好，获取数据更便捷、更高效；用苹果系统分析苹果数据，分析不同文件被Spotlight保存的元数据属性；用苹果系统的APP查看对应格式文件。

9、什么是T2芯片？哪些型号苹果电脑有T2加密芯片？
T2芯片，全称为T2安全芯片，主要功能就是为Mac系列的数据安全保驾护航。与此同时，他也有着一个充当类似于M系列处理器的一个协处理器作用。近两年出产的苹果计算机基本具备T2加密芯片。

10、具有T2安全芯片的苹果电脑，FileVault文件保险箱是默认开启的吗？
从图中可以看到，新购买的苹果计算机没有默认开启文件保险箱。用户后续可能会根据自己的喜好，决定何时启用FileVault加密。

11、苹果电脑取证的准备工作有哪些？
物品准备方面：

同时，良好的判断力是准备充分的重要因素，需要知道从如下方面入手去了解苹果电脑。

12、苹果计算机取证分析技术的面临的挑战是？

取证需要分析操作系统本身的数据和各种应用的数据，macOS更新快，应用种类繁多，没有一个工具是可以完美地解决macOS数据分析问题，因此需要多种工具如法证通、取证大师、MyHex、Sumuri RECON、Blacklight、Magnet AXIOM、Belkasoft Evidence Center等取证软件相互配合，需要自动化分析和手工分析相配合。特别是很多APP的痕迹尚无取证工具支持自动解析，需要更多地借助手工分析。同时，有时只有macOS原生系统，才能对某些苹果特有的元数据进行分析

13、不同的分析方式有什么不同的侧重点？它们在取证工作中的占比一般是怎么样的？

说明：自动化的取证工具在用户熟悉的Windows环境下操作，用户易上手，但是对macOS特有格式文件、macOS自有元数据支持不好，可以处理50-60%的文档、图片和部分APP数据的分析。

14、哪里可以快速获得macOS取证的python脚本？有什么python工具推荐？
通过必应国际版，直接搜索“macOS Forensic python”，可以得到很多开源免费的资源。讲师特别推荐了免费开源的工具mac_apt,此工具具有如下特点：

支持对e01, VMDK, DD,split-DD,DMG格式镜像的分析
支持XLSX, CSV, Sqlite格式输出
可以分析文件/遗留痕迹并导出
支持zlib、lzvn、lzfse压缩文件格式
支持本地HFS&APFS解析器
可读取Spotlight数据库和统一日志文件。

15、如何构建理想的MacOS取证分析环境？

MacOS取证需要多种工具、途径相结合，理想的macOS数据分析，应该利用mocOS和Windows配合分析。因为macOS下，有一些特有的数据，只能在macOS系统下查看，一些特有的元数据，只能在macOS下过滤和搜索。虽然Windows取证工具能够解决一部分数据过滤、搜索、预览、数据库解析，但是，有些特有的元数据、Plist文件、数据库文件，仍需在macOS下进行分析。

16、讲师重点推荐了哪些取证工作中可以用的虚拟机软件？

macOS下的虚拟机软件有Virtual Box、vmware Fusion等，但是郭老师用的比较多的是Virtual Box和Parallels Desktop。

Virtual box 推荐理由：可在Windows、macOS、Linux三个系统跨平台使用，兼容性好

Parallels Desktop 推荐理由：在Windows和macOS系统中数据交换、协同分析非常方便。

而作为取证分析目标来说，这三种虚拟机磁盘都是在苹果取证分析中需要重点关注的。实操中，分析人员应该主动去发现VHD、VMDK、VDI等虚拟磁盘文件。例如Parallels Desktop，虚拟机的包文件扩展名是*.PVM。解开包文件，可发现 扩展名为*.HDD的虚拟磁盘镜像。而真正的虚拟磁盘文件，又在HDD包文件中，扩展名是*.hds。目前X-Ways Forensics尚不支持*.hds镜像格式解析。Myhex后续版本将加入对.hds镜像格式解析。


17、Macos下哪些是取证工作者需要重点关注的目录？

MacOS下值得关注的目录很多，Library、用户的和全局的分别有一个资源库。

取证工作中推荐一定要关注以下三个路径，他们包含的应用数据、痕迹数据较多。

Users/用户/Library/Application Support

Users/用户/Library/Container

/Library

18、如何查看终端程序输入的命令和时间？

熟悉Linux的朋友都是知道，可以通过分析.bash_history、.zsh_history文件查看曾经输入的终端命令。但在macOS中，如果一个用户启用了多个终端窗口，在不同时间分别在不同终端窗口中输入了不同的命令，那么如何分析命令的历史呢？利用开源工具mac_apt，可以对.bash_sessions目录下的多开终端历史痕迹进行分析。注意看看结果中的时间信息啊。

19、iMoive的视频编辑痕迹如何分析？

iMovie是一个苹果系统自带的APP，可以方便地进行视频创作。其实，用户创作视频时使用的原始素材都保留在 iMovie剪辑资源库中，包括原始视频、图片、声音文件等。当然，如果仔细分析时间属性和Plist文件，你还可以分析出用户导入原始素材、生成的剪辑视频的时间、存储位置和文件名。

20、苹果系统中的时间规则和Windows系统一样吗？

分析macOS数据，取证人员不要套用自己所熟悉的Windows中的创建、修改、访问、记录更新的时间规则。macOS的创建时间，并不等同于Windows的创建时间。因此，对于macOS时间分析，取证人员应该更多地去分析修改时间、添加时间，以及Spotlight记录的“上次打开时间”。同时需要提醒一下，大家日常使用的Windows取证工具，基本都不支持“上次打开时间”的分析。这个时间属性，是macOS的Spotlight特有的。

相关阅读

● 一堂课遍历苹果计算机30年

● 郭老师开讲啦！《MacOS取证入门》直播课等你来！