技术圈首页
程序员
解决方案
聚合短信
APP下载
登录
注册
首页
文章详情
浅析Mac操作系统取证
弘连网络
|
1733
2021-09-12 20:25
0
0
0
前言
Mac电脑是苹果公司开发上市的一种电子产品,在Mac电脑上通常运行的是其自研的操作系统macOS。macOS操作系统基于unix,这种架构和linux同出一门,它内置的一些规则和命令同linux是一致的,并且苹果电脑设计的简洁性和高效性深受人们喜爱,尤其是软件开发人员。
随着苹果电脑的普及,取证分析中很多情况下要考虑macOS的取证,本文以2020款intel芯片的MacBookPro为例,总结一些对于Mac电脑取证的方法,希望能起到抛砖引玉的效果。
✦ 在线取证
✦
对于案件现场处于开机登陆状态下的Mac电脑,可以在执法记录仪或录像机的拍摄下,直接对重要数据以及易失数据进行提取和固定。
在Mac系统下,许多快捷键和操作方式与Windows存在区别。
一、Mac系统下的文件复制。
Mac系统下拷贝/复制文件的快捷键是:Command-C , 粘贴的快捷键是:Command-V。如果直接右键点击文件使用复制的操作,将在同目录下生成一个副本文件。
Mac电脑中的访达,类似于Windows中“我的电脑“,如果要访问系统的其他路径,可以打开终端输入open / 的命令。或者在访达中使用快捷键 Command-Shift-G可以在窗口中输入绝对路径直达文件夹。
如果需要将文件拷贝至移动硬盘,移动硬盘的文件系统推荐使用ExFAT,可以直接进行读写。如果选择NTFS,Mac系统上若没有NTFS的软件来兼容,则不能对移动硬盘进行写入和修改文件;如果选择FAT32,虽然支持读写,但是FAT32不支持单个大于 4GB 的文件。
二、Mac系统下的屏幕录制和截图。
Mac系统下录屏的操作,可以选择Mac自带的录屏工具QuickTime Player,文件——新建屏幕录制。
截图可以用Mac自带的截图工具截屏(老版本系统叫做抓图),也可以用快捷键Command-Shift-4 截取所选屏幕区域到一个文件,或者Command-Shift-3 截取全部屏幕到文件。
三、Mac系统下如何计算哈希。
提取完数据,对数据打包进行计算哈希的工具可以使用QuickHash,打开软件,拖入需要计算的文件,即可一键计算文件哈希值。
此外,还可以使用Mac系统内置的命令来计算哈希,打开终端输入:openssl md5 filename ,计算文件md5 ,随后输入:openssl sha256 filename计算文件sha256。
✦ 离线取证
✦
处于其他状态下的Mac电脑,也可以选择离线取证。
根据Mac电脑对型号和版本,制作物理镜像,或逻辑镜像。取完镜像再使用火眼仿真软件对物理镜像仿真,或者使用火眼证据分析软件对镜像进行分析。
接下来,我们以配备T2芯片的Mac电脑制作逻辑镜像为例。
(注:不带T2芯片的mac电脑可以打物理镜像,只需将下面最后一个步骤tar命令改成dd命令即可。)
一、
使用现场复制专用机(MC110s),开机后选择主机访问,磁盘选择110s内置的硬盘。挂载模式设置为读写,设置完成后启用主机连接。这里也可以选择使用exfat格式的移动硬盘。
-复制机MC110s主机界面-
二、
选择合适的接口和连接线,将复制机与目标Mac设备连接(注:新款的Mac都用的是雷电3的接口)。
三、
开机Mac时,同时按组合键:Command+R,出现苹果标志以及进度条后松开。
四、
选择实用工具中的终端。
五、
在终端中输入命令csrutil disable,这个命令是关闭Mac的系统完整性保护。显示成功后重启电脑。
六、
选择实用工具中的磁盘工具,如果内置的磁盘开启了filevalt,需要点击装载磁盘,会需要输入开机密码。记下逻辑宗卷的挂载点(/Volumes/Macintosh HD),后面将会用到。
七、
110S内置的硬盘,如果格式不是exfat就抹除数据为exfat格式。同样记住装载点(/Volumes/S)。
八、
进入Mac内置硬盘逻辑卷的目录(注意:如果名称中有空格,就要使用引号或者\)。
九、
进入Mac内置硬盘逻辑卷的目录,(注:如果名称中有空格,就要使用引号或者\)。
十、
用tar命令把逻辑宗卷里的内容都打包放进110s内置的硬盘里。命令tar -cvf 目录/文件名.tar *,根据这里的位置是tar -cvf ../s/macOS.tar *。等待结束即可。(注:非T2芯片加密可以使用dd命令,例如:dd if=/dev/disk1 of=/Volumes/REPOSITORY/out.dd)。
往期分享:
浅谈Elasticsearch数据库的重构与取证
删库跑路?不用怕!记一次阿里云
服务器删除后恢复
【产品升级】刀锋现场快取V2.8更新发布
【
产品升级】雷电系列产品重磅升级,火眼插件更新
各位看官如果想了解仿真、证据分析等产品详情,或者有任何建议和疑问,可公众号留言或拨打服务热线400-800 3721咨询。
0
赞
0
收藏
×
添加附言
附加内容, 使用此功能的话, 会给所有参加过讨论的人发送提醒.
回复数量:
0
暂无评论~~
请注意单词拼写,以及中英文排版,
参考此页
支持 Markdown 格式,
**粗体**
、~~删除线~~、
`单行代码`
, 更多语法请见这里
Markdown 语法
支持表情,见
Emoji cheat sheet
@name 会链接到用户页面,并会通知他
上传图片, 支持拖拽和剪切板黏贴上传, 格式限制 - jp(e)g, png, gif
Ctrl+Enter
下载APP
弘连网络
76
文章
0
获赞
关注TA
NEW
相关文章推荐
Alpine?Distroless?Busybox?到底谁才是容器镜像的瑞士军刀?
Alpine?Distroless?Busybox?到底谁才是容器镜像的瑞士军刀?
Earthly 一个更加强大的镜像构建工具
Earthly 一个更加强大的镜像构建工具
Go 开源说第七期:Harbor助你玩转云原生
华为云最后30台
如何用华为云搭建一个个人项目
LWN:U-Boot的最新状态!