도깬리포렌식스

안녕하세요. 도깬리 포렌식스 입니다. 오늘은 구형 iOS 아티팩츠 분석의 마지막 시간입니다. 향후 최신 iOS 아티팩츠에 관한 포스팅도 계획하고 있으니 많은 관심 바랍니다. HomeDomain\Library\Preferences com.apple.preferences.datetime.plist\timezone iPad의 Settings\General\Date&Time 안의 타임존 설정에 관한 정보를 포함합니다. com.apple.accountsettings.plist\Accounts iPad에서 직접 설정된 (이메일) 계정과 관련된 정보를 포함합니다. - Type String : (이메일) 계정 종류 - Username : 사용자 이름 - DisplayName : iPad에서 보여지는 사용자 이름 - E..

안녕하세요. 도깬리포렌식스 입니다. 오늘도 계속하여 iOS의 아티팩츠에 대하여 이어가겠습니다. 예제는 아이폰 4입니다. 구형 아이폰 이므로 최신 아티팩츠와는 다소 차이가 있음을 감안하시기 바랍니다. SMS, iMessage로 받은 메시지 Raw Data\HomeDomain\Library\SMS\sms.db에서 파싱을 합니다. HomeDomain\Library의 기타 artifacts Keyboard 키보드로 입력된 단어를 저장합니다. - dynamic-text.dat : 영문 입력 - ko-kO-dynamic-text.dat : 한글 입력 - UserDictionary.sqlite - UserDictionaryWordKeyPairs.plist WebKit\Database\https_mail.google...

안녕하세요. 도깬리 포렌식스 입니다. 일요일 아침이네요. 오늘도 아이폰의 아티팩츠를 살펴 봅니다. 구형 아이폰(아이폰4)를 기준으로 한 것임을 참고하시기 바랍니다. Organizer 오그나이저 Calendar와 Note 데이터베이스에서 정보를 수집하여 여기에 저장하여 둔 것입니다. Raw Data\HomeDomain\Library\Calendar Raw Data\HomeDomain\Library\Notes Organizer의 Events와 Notes는 각각 Calendar와 Notes 데이터베이스의 내용을 파싱하여 보여주는 것입니다. Calendar 제목 뿐만 아니라, 아래와 같이 Google calendar 라는 것도 인식할 수 있다. Calendar와 관련하여 주의해야 할 점은 타임존 설정에 관한 문..

안녕하세요. 도깬리 포렌식스 입니다. 오늘도 아이폰 아티팩츠에 대한 소개를 이어갑니다. 다양한 아티팩츠를 통해 증거분석의 착안사항을 확인합시다. Thumbnails 폴더 장치에 저장된 사진에 대한 Thumbnail을 포함하고, 폴더의 이름은 썸네일의 크기를 의미하며, ithmb 확장자를 갖습니다. DCIM 폴더 Photos.sqlite 데이터베이스와 EXIF에 임베디드된 정보를 사용하면 DCIM 폴더의 실제 사진을 특정할 수 있습니다. ‘EXIF GPS Information Reader EnScript’를 사용하면 사진 파일로부터, 위도(Latitude), 경도(Longitude)를 쉽게 추출할 수 있습니다. AppDomain iOS 장치에 설치한 App은 AppDomain에서 확인 가능합니다. 사건과 ..

안녕하세요. 도깬리 포렌식스 입니다. 오늘은 iOS의 아티팩츠(Artifacts)에 대해 알아 보겠습니다. 자. 시작할까요? iOS Artifacts Raw Data 장치에서 이미징된 대부분의 데이터를 포함합니다. SQLite DB와 속성 목록을 보여줍니다. 주요 데이터 영역 도메인 경로 목적 Home Library\AddressBook 연락처 정보 Home Library\Calendar 달력 Home Library\SpringBoard 사용자 인터페이스 Home Library\Safari Safari 웹브라우징 흔적 Media Media\PhotoData GPS 등 사진 메타데이터 Media Media\DCIM 사진 SystemPreferences SystemConfiguration\com.apple...