محلل سجلات وأحداث وملفات Plist لنظام iOS

يقوم iLEAPP بتحليل الاستخراج الجنائي (forensic extractions) لأنظمة iOS وiPadOS وينتج مخرجات HTML وTSV وخط زمني (timeline) وKML وLAVA. وهو يدعم iOS/iPadOS 11 حتى الإصدارات الحالية.

تصفّح القائمة الكاملة القابلة للبحث للعناصر (artifacts) على leapps.org/artifacts (قم بالتصفية حسب أداة LEAPP).

البدء السريع (موصى به)

قم بتنزيل إصدار مُجمّع مسبقًا — لا حاجة لتثبيت Python.

• إصدارات LEAPPs — تصفّح جميع أدوات عائلة LEAPP
• إصدارات iLEAPP على GitHub — تنزيلات مباشرة

الواجهة الرسومية (GUI) — قم بفك ضغط التنزيل، ثم شغّل ileappGUI، وبعدها اختر نوع الإدخال ومسار المصدر ومجلد الإخراج والوحدات (modules) التي تريد معالجتها.

واجهة الأوامر (CLI) — قم بفك ضغط التنزيل وشغّل من الطرفية (terminal). يجب أن يكون مجلد الإخراج موجودًا مسبقًا.

ileapp.exe -t zip -i C:\path\to\extraction.zip -o C:\path\to\output\

على macOS وLinux، استخدم الملف الثنائي ileapp من الأرشيف الذي تم فك ضغطه بدلاً من ileapp.exe.

أنواع الإدخال

النسخ الاحتياطية المشفرة من iTunes/Finder (-t itunes) مدعومة. ستطلب الواجهة الرسومية كلمة المرور قبل المعالجة عند اكتشاف التشفير. أما في واجهة الأوامر، فمرّر كلمة المرور عبر --itunes_password (انظر خيارات التحليل الاختيارية أدناه).

وسائط واجهة الأوامر (CLI Arguments)

تنطبق هذه الخيارات فقط على إصدار واجهة الأوامر (ileapp / ileapp.exe / python ileapp.py). أما الواجهة الرسومية (ileappGUI) فتعرض الإعدادات نفسها من خلال واجهتها بدلاً من خيارات سطر الأوامر.

شغّل ileapp --help (أو python ileapp.py --help من المصدر) للحصول على المرجع المدمج.

تحليل قضية (Parsing a case)

وسيطات الثلاثة التالية مطلوبة لتشغيل تحليل عادي:

مثال:

ileapp -t zip -i /path/to/extraction.zip -o /path/to/output/

خيارات التحليل الاختيارية

أوضاع الأدوات المساعدة المستقلة

لا تقوم هذه الأوضاع بتحليل قضية. استخدمها بمفردها — دون -t أو -i أو -o:

أمثلة:

ileapp -p
ileapp -c /path/to/output/folder/

المساهمة

توجد وحدات العناصر في scripts/artifacts/ ويتم تحميلها ديناميكيًا في وقت التشغيل.

وحدات جديدة: ابدأ بالدليل التفصيلي خطوة بخطوة في How to Write an iLEAPP Module.

مراجع إضافية:

• Artifact Info Block Structure
• Updating Modules for Automatic Output Generation
• Updating Complex Modules to Include LAVA Output
• Testing Modules

التشغيل من المصدر

الإصدارات (Releases) هي أسهل طريقة لتشغيل iLEAPP. استخدم المصدر إذا كنت تطور وحدات أو تحتاج إلى تغييرات غير مصدرة من فرع main.

المتطلبات

• Python من 3.10 إلى 3.14
• Git

الإعداد

git clone https://github.com/abrignoni/iLEAPP.git
cd iLEAPP
python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate
pip install -r requirements.txt

على Linux، ثبّت tkinter للواجهة الرسومية:

sudo apt-get install python3-tk

مساعدة إعداد Windows من Hexordia:

• ILEAPP Walkthrough (PDF)
• ILEAPP Walkthrough (video)

الاستخدام

يجب أن يكون مجلد الإخراج موجودًا قبل التشغيل. تعرض الإصدارات المبنية من المصدر رقم إصدار بعلامة -dev (مثل 2.6.0-dev.0) لتمييزها عن إصدارات الإصدار الرسمية.

واجهة الأوامر (CLI):

python ileapp.py -t zip -i /path/to/extraction.zip -o /path/to/output/

الواجهة الرسومية (GUI):

python ileappGUI.py

انظر وسائط واجهة الأوامر أعلاه، أو شغّل python ileapp.py --help.

الإقرارات

أداة الفرز (traiging) هذه هي نتاج جهد تعاوني من العديد من الأشخاص في مجتمع DFIR.

شعار iLEAPP بإهداء من Derek Eiri.