《电子数据取证技术》课件-第6章

6.

macOS系统取证技术目录CONTENTS01macOS操作系统6.1.1

macOS操作系统特点6.1.2

不同版本macOS的差异6.1.3

macOS取证主要信息源02macOS系统取证6.2.1macOS支持的文件系统及特点6.2.2macOS日志文件、配置文件分析6.2.3macOS网络信息分析6.2.4macOS浏览器信息分析6.2.5macOS邮件客户端信息分析6.2.6其他信息源分析6.1macOS操作系统6.1.1macOS操作系统特点macOS是苹果公司针对苹果电脑系列产品推出的计算机操作系统，2012年7月发布10.8版本后由MacOSX更名为OSX，2016年9月发布10.12版本后更名为macOS，目前（截止至2018年10月）的最新版本为2018年9月发布的macOSMojave（版本号10.14）与苹果公司其他知名的产品iPhone、iPad搭载的操作系统iOS类似，macOS也是结合苹果电脑产品的硬件深度定制的，在2005年之前，苹果计算机使用的大多还是PowerPC架构的微处理器，与常见的x86架构的个人计算机产品互不兼容，直到2006年，苹果公司推出了他们的第一款搭载Intelx86微处理器的MacBook，在同步发行的BootCamp的帮助下，苹果计算机也支持了Windows操作系统的安装。目前常见的苹果计算机产品主要是苹果的笔记本电脑MacBook、一体机iMac、工作站MacPro、小型主机Macmini。早期搭载PowerPC架构处理器的电脑例如PowerBook、iBook、iMacG系列等现在基本已经不再使用。MacOSX体系结构包括Darwin、核心框架、应用框架层、用户体验层等几部分，整个层次结构如图6-1所示。这些层次中，Darwin层是整个系统的基础，它是开源的，提供了底层的API，而其上的三层都是闭源的，属于苹果私钥的知识产权。见图6-1：图6-1MacOSX架构图6.1.1macOS操作系统特点Darwin是一个开发源代码、符合POSIX标准的类Unix系统，操作系统的内核为XNU(XisNotUnix的缩写)，最早是由NeXT公司为了NeXTSTEP操作系统开发的，这是一种混合式的核心，结合了Mach微内核、BSD和称为DriverKit的驱动程序接口。在苹果公司收购NeXT公司后，XNU的Mach内核部分被替换为开放软件基金会（OpenSoftwareFoundation）创建的社区版的Mach内核OSFMK，BSD部分替换为FreeBSD，DriverKit改名为I/OKit，开发语言也由ObjectiveC变为C++。XNU内核源代码基于苹果开源许可（ApplePublicSourceLicense）发布，可于苹果公司的网站获取（/source/xnu/）。核心框架，有时候也称为图形和多媒体层，该层包括OpenGL、Quartz、QuickTime、应用程序服务等。应用框架层，包括Classic、Cocoa、Carbon和java等。用户体验层，用来提供用户界面，包括aqua、Quicklook、spotlight等组件。6.1.1macOS操作系统特点2001推出的MacOSX10.0是macOS系列操作系统版本之间的一个明显的分界点、在这之前苹果电脑搭载的还是现在已经被称为“ClassicMacOS”的SystemSoftware7、MacOS8、MacOS9等操作系统，“ClassicMacOS”的最后一个版本是MacOS9.2.2。在这之后的MacOSX则是由名为Darwin的操作系统部分和名为Aqua的图形界面部分结合而成。早期的MacOSX10.0到MacOSX10.3中仍然保留了对经典环境的兼容性，通过一个模拟环境，用户可以将MacOS9作为一个程序来运行，在其中可以执行为MacOS9设计的程序。OSX10.9往后的版本均在应用商店中免费为苹果电脑用户提供，所以市面上主流的苹果电脑中运行的操作系统基本都是最近发布的一两个版本。MacOSX10.0发布于2001年3月，内部代号为Cheetah，由于相对于之前的MacOS，MacOSX是完全重写的操作系统，功能并不是十分齐全。MacOSX10.1发布于2001年9月，内部代号为Puma，在前一代之后不久就推出，增加了对DVD播放的支持。MacOSX10.2发布于2002年8月，代号为Jaguar，苹果公司第一次公开地使用了猫科动物的名称作为操作系统的商标，一直延续到了MacOSX10.8。该版本中首次加入了日志式文件系统的支持，加入了Bonjour协议用于发现网络上的设备和服务，比如打印机或其他电脑。新增了即时通讯客户端iChat。6.1.2不同版本macOS的差异MacOSX10.3发布于2003年10月，代号为Panther，加入了对用户目录进行加密的功能FileVault，苹果公司推出了新的Web浏览器Safari代替了之前和微软合作使用的InternetExplorerforMac。系统中的卷默认使用了被称为HFSJ的日志式文件系统MacOSX10.4发布于2005年4月，代号为Tiger，在这个版本中加入了基于索引的搜索工具Spotlight。除了标准的Unix文件系统权限控制，HFS+的文件系统中还加入了基于访问控制列表（accesscontrollist）的权限管理机制MacOSX10.5发布于2007年10月，代号为Leopard，自动备份工具TimeMachine就是随着这个版本发布的。在Finder中直接按空格键快速预览文件的特性也是在这个版本中加入了MacOSX。同时推出的还有BootCamp软件，可以用于在搭载Intel处理器的苹果电脑上安装微软的Windows操作系统MacOSX10.6发布于2009年6月，代号为SnowLeopard，这个版本起，苹果公司完全放弃了PowerPC架构处理器的支持，仅支持安装在使用Intel处理器的苹果电脑上。这个版本主要做了性能的改进，大部分系统应用程序都进行了重新编译以支持64位架构6.1.2不同版本macOS的差异MacOSX10.7发布于2011年7月，代号为Lion，这是第一个通过应用商店MacAppStore发行的MacOS操作系统，系统中新增了Mac间文件共享的工具AirDrop，只要简单的拖动就可以在设备间传输文件。随系统发行的还有FaceTime，可以用于Mac、iPhone、iPad之间的视频通话。新版本的加密工具FileVault2提供了全盘加密的功能，添加了对外部硬盘的支持。可用于修复系统的恢复分区也是在这个版本中加入OSX。在MacOSX10.7.2的更新中推出了iCloud功能，支持邮件、日历和联系人的同步。OSX10.8发布于2012年7月，代号为MountainLion。苹果公司将MacOSX重命名为OSX，去掉了开头的Mac。在这个版本中iChat应用被Messages替换，新增了对iMessage的支持，可以与运行iOS的设备互通消息，用户iPhone、iPad上的iMessage消息也会同步到MacOS上。系统中新增的备忘录、提醒事项、通知中心、游戏中心等也多是源于iOS中的功能。OSX10.9发布于2013年10月，代号为Mavericks。从这个版本起，苹果公司不再按惯例使用猫科动物的名称作为系统的代号，而是使用了景点的名字，系统也不再需要付费升级，在MacAppStore中即可免费获取。与上一个版本类似，这个版本中加入了同样先在iOS系统中搭载的iBooks电子书程序和地图程序，Finder中加入了文件标签功能和标签页浏览模式。在这个版本中iCloud的功能得到了增强，可以在设备间同步钥匙串中存储的密钥。6.1.2不同版本macOS的差异OSX10.10发布于2014年10月，代号为Yosemite。随之推出的iCloudDrive云存储兼容OSX、iOS，Windows三大操作系统平台，支持存储应用数据、音乐、照片、视频等各类数据，用户可以方便的跨平台存取自己的文件。新增的Continuity功能可以将iOS的内容同步至OSX，例如使用Mac收发iPhone的短信、通过Mac拨打和接听电话，AirDrop也支持了iOS和OSX之间的文件传输OSX10.11发布于2015年9月，代号为ElCapitan。这是一次小的系统更新，主要增强了OSX的设计和可用性，同时包括性能改进和安全更新。新增的系统完整性保护（SystemIntegrityProtection）禁止软件以root身份在OSX上运行，并且目录/System、/sbin、/usr仅供系统使用，系统会阻止用户在这些目录的操作macOS10.12发布于2016年9月，代号为Sierra，苹果公司将OSX重命名为macOS以匹配公司的其他操作系统（iOS、watchOS、tvOS）的命名体系。苹果公司对之前版本的Continuity功能进行了扩展，当用户佩戴配对的AppleWatch靠近电脑时，电脑系统会自动解锁，同一AppleID附件的macOS和iOS设备的剪贴板可以互通，用户可以很方便地在不同设备见拷贝、剪切和粘贴。iCloudDrive新增了可以自动同步文稿和桌面中的文件的选项。Siri语音助手也被添加进了这个版本的macOS。在macOSSierra中，苹果发布了名为AppleFileSystem（APFS）的新文件系统，该文件系统面向固态存储介质设计，原生支持多种加密方式（如全盘加密、单密钥加密、多密钥加密），在当时的系统中并没有成为默认的文件系统，只是增加了支持。6.1.2不同版本macOS的差异macOS10.13发布于2017年9月，代号为HighSierra。在该版本中，Apple文件系统（APFS）成为了默认的文件系统，取代了之前已使用多年的文件系统HFS+，新增的高效视频编码（HEVC）支持对数字视频相关的取证提出了新的挑战。macOS10.14，代号为Mojave，发布于2018年9月。这是最后一个可运行32位应用的macOS版本。该版本新增了与iOS系统中的股市、语音备忘录和家庭app类似的应用程序。Mac和iPhone的互通功能进一步加强，用户可以用iPhone就近拍张照片或扫描文档，然后让它自动出现在Mac上。macOS10.15，代号为Catalina，发布于2019年6月。6.1.2不同版本macOS的差异6.1.3macOS取证主要信息源macOS是类Unix系统，所以从取证角度上与Windows有很大的不同，与Unix/Linux操作系统的取证存在一些相似点，但作为图形用户界面的操作系统，与一般用于服务器中时命令行界面的Unix/Linux操作系统取证操作又有不少的差异。从文件系统目录结构看，macOS一部分目录是Unix通用目录，例如，/bin（unix命令存放目录）、/sbin（unix系统管理类命令存放目录）、/usr（第三方程序安装目录）、/dev（设备文件存放目录）、/etc（系统配置文件存放目录）、/tmp（临时文件存放目录）、/var（存放经常变化的文件）。其中，/etc、/tmp、/var目录在取证中是需要重点关注的地方，此三个目录实际上分别为指向/private/etc、/private/tmp和/private/var的链接。macOS还有一部分目录是其特有的目录，从概念上讲，包括User域（Domain）、Local域、Network域、System域等。User域包含特定用户的资源，是用户的主目录。本地主目录的位置为“/Users/用户名/”（注：用户名不同，位置不同。若用户名为bob，则主目录位置为/Users/bob/，下同）。若为网络用户则主目录的位置为“/Network/Users/用户名/”。用户主目录存放有用户的个人资料和配置，在取证中是需要重点关注的地方。在该目录下有几个常见的标准目录是取证时的重要信息资源，如.Trash、Applications、Desktop、Documents、Library、Movies、Music、Pictures、Sites，见表6-1。另外，与Unix/Linux系统的取证类似，/Users/用户名/.bash_history、/Users/用户名/.bash_profile、/Users/用户名/.bashrc等文件存有使用记录、Shell的配置。这里根据用户使用的Shell不同，相应的文件也不同，例如Zsh的配置文件、历史记录文件一般位于/Users/用户名/.zshrc、/Users/用户名/.zsh_history。见表6-1所示：6.1.3macOS取证主要信息源表6-1废纸篓/Users/用户名/.Trash/共享/Users/Shared/下载/Users/用户名/Downloads/桌面/Users/用户名/Desktop/文稿/Users/用户名/Documents/影片/Users/用户名/Movies/音乐/Users/用户名/Music/图片/Users/用户名/Pictures/公共/Users/用户名/Public/资源库/Users/用户名/Library/6.1.3macOS取证主要信息源Local域包括可供单个系统上所有用户使用的资源，包括共享的应用程序。“/Applications”目录为Local域，它是应用程序目录，默认所有的GUI应用程序都安装在这里。Network域包含可供局域网用户所使用的资源，其目录位置为“/Network/”，其下的子目录常包含Applications、Library、Servers、Users。System域包含属于MacOS的库、程序、脚本和配置。其目录位置为“/System/”。/System/Library目录存放了操作系统的大部分组建，如各种framework，以及内核模块。另外挂载在根目录下的还有/Library、/Volumes、/cores、/private，分别用来存放系统数据文件和文档、文件系统挂载点、内核转储、“/tmp,/var,/etc”。等链接目录的目标目录。其中/private目录在取证中是需要重点关注的地方。macOS中存储配置等信息一般使用PropertyList文件，即扩展名为.plist的文件。也有一些程序使用SQLite数据库存储数据。应用程序的配置及数据一般就存储在资源库，即/Users/用户名/Library中。6.1.3macOS取证主要信息源macOS中的钥匙串功能中保存有操作系统中的各种密钥、应用程序密码、网站密码、无线网络密码、证书文件，往往会存有一些对案件调查有利的信息。钥匙串界面见图6-2。图6-26.1.3macOS取证主要信息源macOS系统中提供了很多便利的程序，如邮件客户端、备忘录、便笺、提醒事项、信息等，往往这些应用中会存有一些关键信息，对调查取证有很大的帮助。6.1.3macOS取证主要信息源6.2macOS系统取证6.2.1macOS支持的文件系统及特点1.HFS+macOS10.12及之前版本的macOS主要使用HFS+的文件系统，是HFS（HierarchicalFileSystem）文件系统的更新版本。又名HFSPlus、HFSExtended、MacOSExtended。HFS+改进了HFS文件系统的结构和对数据管理中存在的不足。HFS+文件系统的主要特点体现在以下几个方面[HFSPlusVolumeFormat，/library/archive/technotes/tn/tn1150.html，2004年3月5日]：（1）采用32位数记录分配块数量HFS和HFS+文件系统对磁盘卷采用分块进行分配，将一个卷分成等大的分配块（allocationblocks）。HFS文件系统采用16位数来记录分配块的数量，最多只能记录216（即65,536个）个分配块。而对于HFS+文件系统，采用32位数来记录分配块的数量，最多能记录232（即4,294,967,296个）个分配块。对于macOS系统上的非空数据，都必须占用整数个分配块，也就是说，即使一个数据只有一个字节，也要占用一个分配块。而HFS+文件系统增大了每个卷分配块的数量，可以使分配块的单位空间更小，从而达到减少存储空间浪费的目的。（2）目录树节点大小增加到4KBHFS文件系统的目录树节点大小为512字节，由于HFS+文件系统目录树索引节点需要存储附加指针和节点描述符两个关键值，HFS+文件系统的目录树节点大小增加到4KB。（3）单一文件大小得到提升HFS文件系统的单一文件大小上限为231bit，而HFS+文件系统的单一文件大小最大可达到263bit。（4）支持长文件名HFS文件系统对文件名最长支持到31个字符，而HFS+文件系统对文件名采用Unicode编码，最长达到255个字符。6.2.1macOS支持的文件系统及特点2.APFS苹果公司在2016年的WWDC上正式公布了全新的文件系统APFS（AppleFileSystem），macOS10.12版本中加入了实验性的APFS文件系统支持，在随后的macOS10.13中，APFS文件系统正式成为了系统默认的文件系统，苹果开发APFS的目标是修复HFS+中存在的缺陷，该文件系统针对闪存/固态存储设备优化，支持多种加密方法。该文件系统在相对较小或是很大容量的存储设备中都可以使用，在苹果公司多个平台的操作系统：macOS，iOS，tvOS，watchOS和audioOS中均使用了APFS。6.2.1macOS支持的文件系统及特点APFS的主要特点包括：（1）写入时复制（Copy-on-write）元数据，在崩溃、断电等情况下保护数据。（2）文件和目录克隆不会再重复占用一遍空间使得克隆更快，更节省存储空间，对克隆的文件所做的修改会写入到其他区域，与原始文件相同的部分在文件系统中是共享的。（3）快照功能，保存文件系统的只读实例，使备份和还原操作变得更高效，可以将文件还原到一个指定的时间点。（4）空间共享，多个APFS文件系统的卷可以共用一个APFS容器下的物理磁盘空间，每个卷的可用空间都是当前容器中的可用空间。支持快速调整卷大小而不用重新分区。6.2.1macOS支持的文件系统及特点（5）加密支持是APFS设计中重要的一部分，APFS支持全盘加密、文件加密、敏感元数据加密，根据系统和硬件的不同APFS使用AES-XTS或AES-CBC进行加密。除支持单密钥加密外，还支持多密钥加密。多密钥加密模型中，每个文件使用不同的密钥、敏感元数据使用其他密钥加密。多密钥加密确保了数据的安全，即使获取了设备密钥，依然无法解密部分文件。（6）稀疏文件存储，只有当真正需要存储空间时才会分配空间，可以节省磁盘空间存储更大的文件。（7）原子级安全存储基元（atomicsafe-saveprimitives），从用户的角度来看，事务要么完成，要么不完成。传统的文件系统一般创建在一个具有独立空间的卷或者分区上，文件系统对于卷内的空间是独占的，不会被其他的文件系统使用。而APFS改变了这一做法，多个APFS文件系统的卷可以共用一个APFS容器下的物理磁盘空间，从而可以实现快速调整卷的大小的特性。6.2.1macOS支持的文件系统及特点在终端中执行diskutilapfslist可以查看APFS容器中的卷列表，如图6-3。图6-3（一）.macOS支持的文件系统及特点3.其他除了支持HFS、HFS+、APFS这些macOS独有文件系统外，macOS还支持FAT、FAT32、ExFAT的读写，支持读取微软的NTFS文件系统，但需要安装第三方驱动程序才能实现写入的操作，所以在对macOS系统在线取证的操作中推荐使用ExFAT文件系统的外部磁盘，这样获取数据到Windows操作系统的机器中也可以方便的读取。含有HFS、HFS+文件系统的磁盘在Windows中是无法直接挂载读取的，苹果在BootCamp中包含了一个为Windows制作的HFS、HFS+文件系统的只读驱动，第三方公司的程序也能支持读写HFS、HFS+文件系统，例如ParagonSoftware公司的系列软件。取证工具对HFS、HFS+的支持也已经比较完善，例如WinHex/X-WaysForensics、FTKImagerLite都可以读取HFS、HFS+文件系统。6.2.1macOS支持的文件系统及特点目前，大多取证软件中对APFS的支持还都不是很完善，EnCaseForensics在v8.07中新增了对APFS的支持，BlackBagTechnologies公司的Blacklight2018也完全支持了APFS的分析。WinHex/X-WaysForensics目前还只能识别APFS分区不能解析文件。ParagonSoftware公司的APFSforWindows支持在Windows系统中挂载包含APFS文件系统的磁盘。6.2.1macOS支持的文件系统及特点6.2.2macOS日志文件、配置文件分析1.常见系统基本信息macOS系统的基本信息主要包括产品名称、当前系统版本、完整计算机名、主机名和最后登录用户等信息分别存放在/System/Library/CoreServices/SystemVersion.plist、/Library/Preferences/SystemConfiguration/preferences.plist、/Library/Preferences/com.apple.loginwindow.plist中。Plist（PropertyList，属性列表）文件是一种用来存储序列化后的对象的文件。属性列表文件的文件扩展名为.plist，因此通常被称为Plist文件。由于Plist文件中存储的数据是抽象的，其采用的文件格式可以不止一种，有XML格式也有二进制格式的文件。在macOS中，Plist通常用于存储配置文件、历史记录文件。在苹果公司的开发工具Xcode中包含了一个可以以树形结构查看与编辑Plist文件的工具。/System/Library/CoreServices/SystemVersion.plist中保存了当前系统版本、产品版权信息，文件内容如下。ProductBuildVersion、ProductVersion即当前版本信息。图6-46.2.2macOS日志文件、配置文件分析/Library/Preferences/SystemConfiguration/preferences.plist中保存了计算机名、主机名的信息，文件内容如下。ComputerName为完整的计算机名，LocalHostName为主机名。图6-56.2.2macOS日志文件、配置文件分析/Library/Preferences/com.apple.loginwindow.plist为最后登录的用户信息，见下图。lastUserName为最后登录的用户的用户名。图6-66.2.2macOS日志文件、配置文件分析/Library/Receipts/InstallHistory.plist中保存了系统和应用的安装记录，见下图。第一条记录item0即为macOS系统安装的记录。item1向后的记录则包含了后续的应用安装、系统更新安装记录。图6-76.2.2macOS日志文件、配置文件分析其他一些在取证中常用到的数据保存位置见下表。表6-2开机启动项/Users/用户名/Library/Preferences/com.apple.loginitems.plist最近访问的文件/Users/用户名/Library/Preferences/com.apple.recentitems.plist最后预览的文件/Users/用户名/Library/Preferences/com.apple.Preview.LSSharedFileList.plistDock图标配置/Users/用户名/Library/Preferences/com.apple.dock.plist6.2.2macOS日志文件、配置文件分析2.日志文件的取证日志文件是MacOS常见的取证信息来源，一般日志文件位于“/private/var/log”，其中有一些日志与linux或unix相同，此处不另行阐述。也有一些特殊日志或特殊格式的日志。在该目录下，常见的有system.log、system.log.0.gz文件，通过该日志可以获得开关机记录的用户名和时间，如图所示。图6-8“private/var/log”目录下系统日志6.2.2macOS日志文件、配置文件分析macOS的部分系统日志文件扩展名为.asl（AppleSystemLogger），可使用控制台程序打开，见下图。/*/documentation/os/logging*/图6-96.2.2macOS日志文件、配置文件分析另外，在macOS10.12以后，苹果采用了一种新的日志“UnifiedLog”，该文件格式苹果公司对外不公开、仅提供读写日志的接口。日志存储在/var/db/diagnostics和/var/db/uuidtext两个目录下。其中包含大量的信息，例如，网络连接、USB使用记录信息、系统启动信息、系统备份、邮件同步、iCloud连接设备等。这些信息除了专用取证工具进行自动分析外，可以使用/usr/bin/log命令或者苹果提供的应用控制台工具进行分析。图6-96.2.2macOS日志文件、配置文件分析在macOS中，计算机网络配置文件主要查看/Library/Preferences/SystemConfiguration/preferences.plist，在private/var/db/dhcpclient/leases/目录下存储有通过DHCP获取的详细网络配置信息，如图6-10所示。有关网络连接或网络行为的信息可以通过对相关应用的日志分析进行。图6-10DHCP网络配置信息6.2.3macOS网络信息分析Safari是macOS中常用的浏览器，老版本的Safari浏览记录以Plist格式的文件保存在/Users/用户名/Library/Safari目录中，文件名为History.plist。History.plist中WebHistoryDomains.v2为访问的网址的主域名、WebHistoryDates中包含访问的网址、title为页面标题、visitCount为访问次数、lastVisitedDate为最后访问时间等。新版本的Safari浏览记录以SQLite格式的数据库文件保存在/Users/用户名/Library/Safari目录中，文件名为History.db。SQLite是遵守ACID的关系型数据库管理系统，它是由D.RichardHipp使用C语言编写的开放源代码的嵌入式数据库引擎。与许多其它数据库管理系统不同，SQLite不是一个客户端/服务器结构的数据库引擎，而是被集成在用户程序中，支持大部分主流操作系统，在iOS和Android这类移动平台操作系统中使用非常广泛。有很多免费的第三方工具可以用来查看和编辑SQLite数据库文件，例如DBBrowserforSQLite（/）。图6-96.2.4macOS浏览器信息分析History.db中history_visits、history_items表中的数据为浏览器的历史记录。其中history_items表中的url为页面链接、domain_expansion为链接的部分域名、visit_count为该链接的总访问次数，history_visits表中visit_time为访问时间、title为页面标题、history_item的值对应history