2024年3月31日发(作者：)

Ｓ　业ｎ　

一

种基于ｉＯＳ平台微信取证分析方法　

汤伟王志帅　

（盘石软件　（上海）　有限公司上海２００３３３）　

摘要随着移动通信技术．＆－ｆ－机生产技术的发展，智能手机在很多方面已经能够代替计算机处理很多日常应用。苹果公司　

基于ｉＯＳ平台的ｉＰｈｏｎｅ￣列是目前最为流行的手机产品之・，而微信则是超过三亿人使用的手机应用，在绝大多数智能手机上有　

着广泛的应用。本文首先介绍针对ｉＯＳ平台的取证做简要介绍，然后针对微信软件进行系统的分析，包括微信的账户信息、好友列　

表、聊天记录及ＱＱ离线信息等进行相应分析。　

关键词手机取证，ｉＯＳ平台，ｉＰｈｏｎｅ，微信，ＳＱＬｉｔｅ，Ｐｌｉｓｔ　

ｄｏｉ：１０．３９６９￣．ｉｓｓｎ．１６７４．７９３３．２０１４．０１．００５　

Ａ　Ｆｏｒｅｎｓｉｃｓ　ａｎｄ　Ａｎａｌｙｓｉｓ　Ｍｅｔｈｏｄ　ｏｆ　ＷｅＣｈａｔ　Ｂａｓｅｄ　

ｏｎ　ｉ０Ｓ　Ｐｌａｔｆｏｒｍ　

ＴＡＮＧ　Ｗｅｉ　ＷＡＮＧ　Ｚｈｉｓｈｕａｉ　

（Ｐａｎｓａｆｅ　Ｓｏｆｔｗａｒｅ，Ｓｈａｎｇｈａｉ　２００３３３，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ　Ｗｉｔｈ　ｔｈｅ　ｄｅｖｅｌｏｐｍｅｎｔ　ｏｆ　ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ　ａｎｄ　ｍｏｂｉｌｅ　ｐｈｏｎｅ　ｍａｎｕｆａｃｔｕｒｅ　ｔｅｃｈｎｉｑｕｅｓ，ｓｍａｒｔ　

ｐｈｏｎｅｓ　ｉｎ　ｍａｎｙ　ｗａｙｓ　ｈａｖｅ　ｂｅｅｎ　ａｂｌｅ　ｔｏ　ｒｅｐｌａｃｅ　ｔｈｅ　ｃｏｍｐｕｔｅｒ　ｉｎ　ｏｕｒ　ｄａｉｌｙ　ｌｉｆｅ．Ａｐｐｌｅ’Ｓ　ｉＰｈｏｎｅ　ｏｎ　ｉＯＳ　ｐｌａｔｆｏｒｍ　

ｉＳ　ｏｎｅ　ｏｆ　ｔｈｅ　ｍｏｓｔ　ｐｏｐｕｌａｒ　ｓｅｒｉｅｓ　ｏｆ　ｍｏｂｉｌｅ　ｐｈｏｎｅｓ，ａｎｄ　ＷｅＣｈａｔ，ｍｏｒｅ　ｔｈａｎ　３００　ｍｉｌｌｉｏｎ　ｕｓｅｒｓ　ａｒｅ　ａｂｏｕｔ　ｔｏ　ｂｅ　

ｉｎｖｏｌｖｅｄ．ａｎｄ　ＷｅＣｈａｔ　ｈａｓ　ａ　ｗｉｄｅ　ｒａｎｇｅ　ｏｆ　ａｐｐｌｉｃａｔｉｏｎｓ　ｏｎ　ｍｏｓｔ　ｓｍａｒｔ　ｐｈｏｎｅｓ．Ｔｈｉｓ　ｐａｐｅｒ　ｉｎｔｒｏｄｕｃｅｓ　ｔｈｅ　ｉＯＳ　

ｐｌａｔｆｏｒｍ　ｆｏｒｅｎｓｉｃｓ　ｂｒｉｅｆｌｙ，ａｎｄ　ｔｈｅｎ　ａｎａｌｙｚｅｓ　ＷｅＣｈａｔ　ａｐｐｌｉｃａｔｉｏｎ　ｓｙｓｔｅｍａｔｉｃａｌｌｙ，ｉｎｃｌｕｄｉｎｇ　ＷｅＣｈａｔ　ａｃｃｏｕｎｔ　

ｉｎｆｏｒｍａｔｉｏｎ．ｆｒｉｅｎｄｓ　Ｉｉｓｔ，ｃｈａｔ　ｒｅｃｏｒｄｓ　ａｎｄ　ＱＱ　ｏｆｉｉｆｎｅ　ｉｎｆｏｒｍａｔｉｏｎ．　

ＫｅｙＷｏｒｄｓ　Ｍｏｂｉｌｅ　ｆｏｒｅｎｓｉｃｓ，ｉＯＳ　ｐｌａｔｆｏｒｍ，ｉＰｈｏｎｅ，ＷｅＣｈａｔ，ＳＱＬｉｔｅ，Ｐｌｉｓｔ　

０引言　

随着移动互联网的迅猛发展和硬件平台的工业自动　

猖獗…。打击犯罪不仅是国家安全部门的义务，也是每　

位取证工作者的责任。　

“越狱”是目前国内一种通俗的说法，也就是业界术　

语——权限破解，即通过破解获得程序的最高权限。　

本文将以ｉＰｈｏｎｅ为例，探讨ｉＯＳ平台取证的方案、方　

法。利用提取的ｉＰｈｏｎｅ的备份文件及“越狱”后提取的文　

化技术日趋完善，智能手机已经俨然成为人们生活中不　

可获取的一部分。与此同时，利用手机进行诈骗、诽谤　

和伪造等犯罪活动也屡见不鲜。手机取证成为打击这类　

犯罪的一个有效手段。传统的手机取证主要着眼于电话　

本、短信，以及语音信息等基础数据的提取。随着微信　

等第三方软件的兴起，利用第三方软件的犯罪活动日益　

作者简介：汤伟，男，１９７９年１１月生，本科，工程师，研发总监，　

主要从事及研究领域：信息安全。　

王志帅，硕士／软件工程师，Ｅｍａｉｌ：ｚｈｉｓｈｕａｉｍａｉｌ＠ｇｍａｉｌ．ｃｏｒｎ。　

件，对微信的目录结构、数据库文件、Ｐｌｉｓｔ文件进行解析。　

详细探讨ｉＯＳ平台获取微信的方案。　

手机取证的定义：手机取证是指在健全的取证环境　

中，使用恰当的手段从手机及相关设备中恢复数字证据的　

Ｓ　

科学。在取证工作中必须遵守和满足电子数据取证的５　

在该备份文件夹下存在大量的４０个字符长度的文件　

个基本原则：证据能够被承认、证据具有真实性、证据　名，其中只有少数的文件拥有扩展名，其余大多数文件　

具有完整性、证据具有可靠性，证据是能够被理解和采　才是真正的备份文件，这些文件的名称均是使用ｈａｓｈ编　

集的　

码计算得到的。　

ｌｎｆｏ．Ｐｌｉｓｔ文件提供了包括ｌＭＥｌ号在内的一些本机　

ｉＯＳ系统以其特有的封闭性，对证据的提取造成了　

一

定的困难。经过越狱操作的设备，因其通过非官方途　的硬件信息。Ｓｔａｔｕｓ．Ｐｌｉｓｔ文件显示了该ｉＰｈｏｎｅ备份的　

时间、备份的状态及备份设备ＩＤ等的一些备份信息。　径获取了系统的ｒｏｏｔ权限，我们很难确定在越狱过程中　

是否对系统内部的数据进行了篡改，经过越狱的数据很　Ｍａｎｉｆｅｓｔ．Ｐｌｉｓｔ文件保存了手机安装的Ａｐｐｓ信息，主要作　

难成为法院认可的证据。因此最理想的方法是对其备份　

用是确保备份文件之间数据的完整性。Ｍａｎｉｆｅｓｔ．ｍｂｄｂ　

信息进行分析。如果手机本身是越狱过的，手机获取到　

的有用信息会更多，对取证有更大的帮助。因此我们在　

的文件包含了备份的文件名、路径等信息。在之前的　

ｌＯＳ版本中，其备份的文件中有一个后缀名为ｍｂｄｘ的文　

件，在这个文件中列出了真实文件路径和它对应的ｈａｓｈ　

值的对应列表。　

取证的过程中需要对是否“越狱”做权衡。　

１．１未“越狱”情况下。备份文件的提取　

免费应用软件，能管理和播放多媒体文件、备份数据信　

关注的就是官方备份功能。　

ｉＴｕｎｅｓ可以自动备份ｉＰｈｏｎｅ中的以下内容：文字短　

２越狱后，更大权限，更方便地取证　

ｉＴｕｎｅｓ是苹果公司发布的供Ｍａｃ和ＰＣ使用的一款　

１．

由于ｉＰｈｏｎｅ为保持系统的稳定性、省电、删除文　

息、下载第三方软件、配置你的设备等等，而我们最为　

件不产生垃圾等优势，用户只有读没有写的权限。笔者　

认为依靠现在的技术完全可有这样一套强大的手机取证　

系统，可以稳妥地解决“越狱”难题。比如上海盘石公　

司研制的ＳａｆｅＭｏｂｉｌｅ手机取证分析系统，这款软件已在　

息、彩信中的图片、联系人、Ｅｌ历、备忘录、相片、最近通　

话、个人收藏、声音设置、电子邮件设置、ｓａｆａｒｉ浏览器设　

多年来的取证实践中得到认可。ＳａｆｅＭｏｂｉｌｅ可以自动对　

置、应用程序信息（如游戏存档、数据库信息、图片信息、　

ｉＯＳ设备进行备份，对于越狱后ｉＯＳ设备可以直接更快　

软件配置信息等）、网络配置信息（Ｗｉ－Ｆｉ、蜂窝数据网、　

速地提取，这些操作都是一键提取，方便易行，降低了　

ＶＰＮ等），以及一些其他配置信息，本文我们最为关注的　

用户的操作难度。其次ＳａｆｅＭｏｂｉｌｅ可以对通过ｉＴｕｎｅｓ对　

是微信这款软件的应用程序信息。　

ｉＯＳ设备做的备份文件直接解析，并且支持对越狱后的　

通过ｉＴｕｎｅｓ可以创建ｉＯＳ设备的备份【３］：　

用）；　

手机做镜像，进而获取到更多的手机信息。ＳａｆｅＭｏｂｉｌｅ　

时的障碍，使得ｉＰｈｏｎｅ取证变得更加简单［４】。　

通过第三方软件将ｉＰｈｏｎｅ越狱后，将获得系统的最　

大权限。越狱后可以通过工具对手机进行ｄｄ镜像制作，　

制作的镜像是数据的基础，可用于数据的删除恢复，能　

得到更多的数据，对于手机取证具有重要的意义。　

・与ｉＴｕｎｅｓ同步（如果已打开ｉＣＩｏｕｄ备份，请停　

屏蔽了系统权限的束缚，解决了“越狱”在ｉＰｈｏｎｅ取证　

・在ｉＴｕｎｅｓ中右键点按（或按住Ｃｏｎｔｒｏｌ并点按）　

“设备”下方的ｉＯＳ设备，然后选取备份。　

使用以下步骤通过ｉＴｕｎｅｓ手动备份ｉＯＳ设备：　

・将ｉＯＳ设备连接到装有最新版本ｉＴｕｎｅｓ的电脑；　

・点按文件菜单，并选择设备＞备份。　

ｉＰｈｏｎｅ手机数据可以通过ｉＴｕｎｅｓ备份以及对备份文　

２　ｉＯＳ平台微信应用　

微信是腾讯公司于２０１１年１月２１　Ｅｌ推出的一款通过　

网络快速发送语音短信、视频、图片和文字，支持多人　

群聊的手机聊天软件。用户可以通过微信与好友进行形　

件加密，备份文件由于操作系统的不同保存的路径也各　

２．１微信简介　

不相同。表１列出了不同操作系统备份文件存储位置。　

表１备份文件在不同操作系统下的路径　

操作系统　存储路径　

Ａｐｐｌｅ　Ｃｏｍｐｕｔｅｒ＼ＭｏｂｉｌｅＳｙｎｃ＼ＢａｃｋｕＤ、　

Ｗｉｎｄｏｗｓ　７Ｎｉｓｔａ　ｃ：、ｕｓｅ　‘用户名＞、ＡｐｐＤａｔａ＼Ｒｏａｍｉｎｇ＼　

Ｗｉｎｄｏｗｓ　ＸＰ　

Ｍａｃ０ＳＸ　

式上更加丰富的类似于短信、彩信等方式的联系。微信　

软件本身完全免费，使用任何功能都不会收取费用，微　

信时产生的上网流量费由网络运营商收取。　

ｔ　

Ｃ：＼Ｄｏｃｕｍｅｎｔｓ　ａｎｄ　Ｓｅｔｔｉｎｇｓ＼＜用户名＞￣，Ａｐｐｌｉｃａｔｉｏｎ　Ｄａｔａ＼　

Ａｐｐｌｅ　Ｃｏｍｐｕｔｅｒ＼ＭｏｂｉｌｅＳｙｎｃ＼Ｂａｃｋｕｐ＼　

￣／Ｌｉｂｒａｒｙ／Ａｐｐｌｉｃａｔｉｏｎ　ＳｕｐｐｏｒｔｌＭｏｂｉｌｅＳｙｎｃｌＢａｃｋｕｐｌ　

Ｓ　业ｎ　

＜ｋｅｙ＞Ｕｉｎ＜／ｋｅｙ＞　

的目录结构。ｉＰａｄ与ｉＰｈｏｎｅ类似，可以通过相似的方法　

＜／ｉｎｔｅｇｅｒ＞　《ｉｎｔｅｇｅｒ＞９８４￣

《ｄｉｃｔ’　

＜ｋｅｙ＞ＷＸＡｌｉａｍＮａｍｅ＜／ｋｅｙ＞　

获取数据。通过越狱获得更高的权限，拉取文件更加方　

便。通过以上两种方式提取了硬盘中的信息，然后，对　

ｉＯＳ平台的微信的好友列表、聊天记录等数据库表结构　

ｌｔｒｙ　／ｋｅｙ　

《ｋｅｙ　嗣ｊ【ｃｉｔｙｔ，ｋｅｙ＞　

《ｄｉｃ七　

《ｋｅｙ＞嗣　【Ｉ：咄

｛ｄｉｃ七’　

进行了分析。并给出了一种播放微信语音文件（ａｕｄ）　

记录的方法。最后，对Ｐｌｉｓｔ文件格式的微信账户信息、　

ＱＱ好友列表信息等信息进行分析，得到了更多有用的　

信息。　

随着ｉＯＳ平台微信版本的不断更新，它将具有更多　

＜ｋｅｙ＞ＷＸ￣ｉｃｋＮａｍｅ＜／ｋｅｙ＞　

《ｄｉｃｔ＇　

＜ｋｅｙｍＷＸＰｒｏｖｉｎｃｅ＜／ｋｅｙ＞　

０　ｊ＜ｄｉｃｔ＞　

＜ｋｅｙｍＷＸＳｅｘ＜／ｋｅｙ＞　

０　

的新功能，因此对ｉＯＳ平台取证将会非常有价值。但是　

由于新技术的运用和对个人隐私的不断重视和保护，这　

些有价值的信息将会被保护起来，如安卓平台的微信已　

经对数据进行了加密，无法明文看到对应数据的信息。　

《／ｄｉｃｔ＞　

《璺ｔｒｉＪ１ｇ　狮子座—＿＿＿＿ｌ＿ｋ／ｇｔｒｉｎｇ’　

《暑ｃｒｉＴ　蠖美＜Ｉｓ￣ｒｉｎｇ＞　

图５　ＱＱ好友列表　

相信微信在ｉＯＳ平台也会加强对于数据的保护。如何获　

取这些隐秘保护后有用的数据信息，是未来研究的方向　

之一，也是取证工作的挑战。　

通过对ｑｑｆｒｉｅｎｄ．ａｒｈ文件的分析可以得到通过ＱＱ离线助　

手查看的所有ＱＱ好友信息，在对微信取证的同时也能　

获取与微信关联紧密的ＱＱ信息。　

参考文献　

【１】杜江，王聪．ｉＰｈｏｎｅ第三方软件取证的研究［Ｊ】．计算机光盘　

软件与应用，２０１３，（１３）．　

其分组信息对应文件ｑｑｇｒｏｕｐｌｉｓｔ．ａｒｈ，与此类似，　

故不再赘述。　

【２】高峰．ｉＰｈｏｎｅ手机取证的应用研究［Ｊ】．警察技术，２０１１，（３）．　

［４】李毅，皮浩．两大诉讼法实施后在检察工作中的新问题破　

解［Ｊ１．检察装备技术新动态，２０１３．（８）．　

【５】腾讯官网－微信产品专区．　

ｈｔｔｐ：／／ｋｆ．ｑｑ．ｃｏｍ／ｆａｑ／１２０３２２ｆｕ６３ＹＶ１３０４２２Ａｂ２ＹｖＱ．ｈｔｍＩ．　

３］ｌＯＳ：如何备份和恢复内容．ｈｔｔｐ：／／ｓｕｐｐｏｒｔ．ａｐｐｌｅ．ｃｏｍ．　

通过微信的分析能够得到ＱＱ的部分重要信息，也　

【

是ｉＯＳ取证的重要取证内容。　

４结语　

本文通过对ｉＰｈｏｎｅ备份文件进行提取，ｉＰｈｏｎｅ　

手机的基本结构进行了深入分析，并分析了第三方应用　

【６】ＳＱＬｉｔｅ．维基百科．ｚｈ．ｗｉｋｉｐｅｄｉａ．ｏｒｇｌｚｈ－ｃｎ／ＳＱＬｉｔｅ．　

【７】Ｐｌｉｓｔ．维基百科．ｚｈ．ｗｉｋｉｐｅｄｉａ．ｏｒｇ／ｚｈ—ｃｎ／Ｐｌｉｓｔ．