M.E.A.T. - مجموعة أدوات الحصول على الأدلة المحمولة

تعرف على M.E.A.T!

من جاك فارلي - BlackStone Discovery

تهدف هذه المجموعة من الأدوات إلى مساعدة خبراء الطب الشرعي في إجراء أنواع مختلفة من عمليات الاستحواذ على أجهزة iOS (ونظام Android في المستقبل).

متطلبات التشغيل من المصدر

• ويندوز أو لينكس
• بايثون 3.7.4 أو 3.7.2
• حزم Pip الموجودة في requirements.txt

أنواع عمليات الاستحواذ المدعومة

أجهزة iOS

منطقي

باستخدام علامة الاستحواذ المنطقي في MEAT سيوجه الأداة لاستخراج الملفات والمجلدات التي يمكن الوصول إليها عبر AFC على الأجهزة المقيدة. المجلد المحدد الذي يسمح بالوصول هو: \private\var\mobile\Media، والذي يتضمن مجلدات مثل:

• AirFair
• Books
• DCIM
• Downloads
• general_storage
• iTunes_Control
• MediaAnalysis
• PhotoData
• Photos
• PublicStaging
• Purchases
• Recordings

نظام الملفات

المتطلبات الأساسية لجهاز iOS

• جهاز iOS مكسور الحماية
• تثبيت AFC2 عبر Cydia

باستخدام علامة الاستحواذ على نظام الملفات في MEAT سيوجه الأداة لبدء خدمة AFC2 ونسخ جميع الملفات والمجلدات مرة أخرى إلى الجهاز المضيف.

تتطلب هذه الطريقة أن يكون الجهاز مكسور الحماية مع تثبيت الحزمة التالية:

• Apple File Conduit 2

يمكن للمستخدم أيضًا تغيير هذه الطريقة باستخدام علامة -filesystemPath لتوجيه MEAT لاستخراج محتويات مجلد محدد فقط، وهو مفيد إذا كنت تقوم بتحليل التطبيقات وتريد فقط بيانات التطبيق.

تعليمات MEAT

usage: MEAT.py [-h] [-iOS] [-filesystem] [-filesystemPath FILESYSTEMPATH]
               [-logical] [-md5] [-sha1] -o OUTPUTDIR [-v]

MEAT - Mobile Evidence Acquisition Toolkit

optional arguments:
  -h, --help            show this help message and exit
  -iOS                  Perform Acquisition on iOS Device
  -filesystem           Perform Filesystem Acquisition - 
  -filesystemPath FILESYSTEMPATH
                        Path on target device to acquire. Only use with --filesystem argument
                        Default will be "/"
  -logical              Perform Logical Acquisition
                        iOS - Uses AFC to gain access to jailed content
  -md5                  Hash pulled files with the MD5 Algorithm. Outputs to Hash_Table.csv
  -sha1                 Hash pulled files with the SHA-1 Algorithm. Outputs to Hash_Table.csv
  -o OUTPUTDIR          Directory to store results
  -v                    increase output verbosity

الأجهزة التي تم الاختبار عليها

iPhone X iOS 13.3 iPhone XS iOS 12.4

المشكلات المعروفة

• الحفاظ على الطابع الزمني للمجلد
• لا يمكن الحفاظ على وقت إنشاء الملفات على لينكس فقط
• أخطاء iOS 9 - لا يوجد جهاز لذلك لا يمكن الاختبار مباشرة

أمور للمستقبل - مرتبة

• إضافة معالجات لاحقة
• إضافة القدرة على التجميع في حاويات - ZIP, TAR, AFF4
  • حاولت التجميع أثناء المعالجة، لكن zipfile و tar لا يسمحان لي بإضافة كتل باستمرار إلى الملفات الفردية
• إضافة البحث عن الكلمات المفتاحية أثناء المعالجة أو بعدها
• إضافة مطابقة التجزئة أثناء المعالجة أو بعدها
• إضافة دعم Android (بعض الكود يمكنه فعل ذلك بالفعل، لكن ليس لدي جهاز للاختبار)
• إضافة قدرة المستخدم على تحديد جهاز الكتلة لعمليات الاستحواذ الفيزيائي على Android
• إضافة دعم للنسخ الاحتياطي لـ iTunes
• إضافة دعم MacOS (راسلني إذا كنت ترغب في ذلك!)

شكر خاص

• BlackStone Discovery
• pymobiledevice
• Mathieu Renard لإصلاح خطأ iOS 13
• شكرًا W.E.