溯源取证-iphone取证-高难度篇

本文主要是介绍溯源取证-iphone取证-高难度篇，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

摘要：

本次内容主要讲解iphone8取证，算是年前最后一篇了，大家将就着看哈

本次使用的工具：

ileappGUI.exe
github一款开源且免费的移动介质取证工具
Magnet Axiom Cyber
一款付费的移动介质取证工具
DB.Browser.for.SQLite-3.12.2-win64
一款免费的数据库查看工具
DCode v5.5
一款适用于多种格式解码的小工具

正式开始：

帕特里克的购物清单上有多少件商品？

使用两款工具都可以对这道题进行解答
在这里插入图片描述

答案：4个

手机的地图里最后一个定位的经纬度是什么？

参考：
https://theforensicscooter.com/2021/09/22/iphone-device-speeds-in-cache-sqlite-zrtcllocationmo/
在ileappGUI工具上找到了map地图信息，但是输入后发现都不对，于是在上网查找关于iphone位置信息的内容的时候，发现了上述的文章，原来iphone的位置信息在这里

在这里插入图片描述
Jess_CTF_iPhone8\fb028ddefa8af7df5b12d3e729f075d150637a31_files_full\private\var\mobile\Library\Caches\com.apple.routined\Cache.sqlite
使用sqlite工具打开这个数据库文件

直接选中ZRTCLLOCATIONMO 表而后拉到最下面的就是最后的位置信息了
38.84412765, -77.28686523

手机上一次重新启动的时间是什么？

在这里插入图片描述
2022-02-14 11:44:13

帕特里克的 Reddit 帐户是什么时候创建的？

这个不得不借助Magnet Axiom Cyber取证工具了
在这里插入图片描述
2022-01-21 21:59:38

帕特里克最近卸载了哪个应用程序？

在这里插入图片描述

WeChat

帕特里克从 Reddit 收到的最后一条通知中的消息内容是什么？

在这里插入图片描述
Kornbread and Jorgeous are still Making Fun of Cynthia’s Car Crash…
不知道为什么， Axiom搜索不到这个消息

帕特里克对工作标签标记的颜色所对应的十六进制是什么？

这个题就有点烦人了，因为新版本的取证工具已经把颜色和标题选项给合并到一起了，那么我又如何得知他的十六进制代码是啥
在这里插入图片描述

#CC73E1FF

帕特里克有多少封促销类别的电子邮件未读？

这个是真没找到

帕特里克的提示铃声是什么？

在这里插入图片描述

帕特里克的蜂窝服务即将到期了，你知道他具体的到期时间吗？

在这里插入图片描述
05/02/22

哪个应用程序的屏幕使用时间最多？

在这里插入图片描述
直接按照软件是不行的，因为这个屏幕使用时间他没有做统计，所以需要把数据导出来，然后单独计算求和

选择导出后直接打开，此处使用wps打开，因为wps有一个叫数据透视表的功能，简单来说就是它可以将重复的项目合并到一个，然后用来求和，但是不知道为啥，我说啥也求不出来和
在这里插入图片描述

最后还是TM的手动求和算出来的，com.moxco.bumble的使用时间为2686，所以他才是最多的