Parser für iOS-Protokolle, Ereignisse und Plists

iLEAPP analysiert forensische Extraktionen von iOS und iPadOS und erzeugt HTML-, TSV-, Timeline-, KML- und LAVA-Ausgaben. Es unterstützt iOS/iPadOS 11 bis zu den aktuellen Versionen.

Durchsuchen Sie die vollständige durchsuchbare Artefaktliste unter leapps.org/artifacts (nach LEAPP-Tool filtern).

Schnellstart (empfohlen)

Laden Sie einen vorgefertigten Release herunter – keine Python-Installation erforderlich.

• LEAPPs Releases – alle LEAPP-Familien-Tools durchsuchen
• iLEAPP GitHub Releases – direkte Downloads

GUI – Entpacken Sie den Download, führen Sie ileappGUI aus, und wählen Sie dann Ihren Eingabetyp, Quellpfad, Ausgabeordner und die zu verarbeitenden Module.

CLI – Entpacken Sie den Download und führen Sie ihn über ein Terminal aus. Der Ausgabeordner muss bereits vorhanden sein.

ileapp.exe -t zip -i C:\path\to\extraction.zip -o C:\path\to\output\

Verwenden Sie unter macOS und Linux die ileapp-Binärdatei aus dem entpackten Archiv anstelle von ileapp.exe.

Eingabetypen

Verschlüsselte iTunes/Finder-Backups (-t itunes) werden unterstützt. Die GUI fragt vor der Verarbeitung nach einem Passwort, wenn eine Verschlüsselung erkannt wird. In der CLI übergeben Sie das Passwort mit --itunes_password (siehe Optionale Parsing-Optionen unten).

CLI-Argumente

Diese Optionen gelten nur für den CLI-Build (ileapp / ileapp.exe / python ileapp.py). Die GUI (ileappGUI) stellt dieselben Einstellungen über ihre Benutzeroberfläche bereit, nicht über Befehlszeilenoptionen.

Führen Sie ileapp --help (oder python ileapp.py --help aus dem Quellcode) für die integrierte Referenz aus.

Parsing eines Falls

Diese drei Argumente sind für einen normalen Parsing-Lauf erforderlich:

Beispiel:

ileapp -t zip -i /path/to/extraction.zip -o /path/to/output/

Optionale Parsing-Optionen

Eigenständige Dienstprogramm-Modi

Diese Modi parsen keinen Fall. Verwenden Sie sie allein – ohne -t, -i oder -o:

Beispiele:

ileapp -p
ileapp -c /path/to/output/folder/

Mitwirken

Artefaktmodule befinden sich in scripts/artifacts/ und werden zur Laufzeit dynamisch geladen.

Neue Module: Beginnen Sie mit der Schritt-für-Schritt-Anleitung unter So schreiben Sie ein iLEAPP-Modul.

Weitere Referenzen:

• Aufbau des Artefakt-Informationsblocks
• Aktualisieren von Modulen für die automatische Ausgabe-Generierung
• Aktualisieren komplexer Module zur Einbindung der LAVA-Ausgabe
• Module testen

Ausführen aus dem Quellcode

Releases sind der einfachste Weg, iLEAPP auszuführen. Verwenden Sie den Quellcode, wenn Sie Module entwickeln oder unveröffentlichte Änderungen aus main benötigen.

Voraussetzungen

• Python 3.10 bis 3.14
• Git

Einrichtung

git clone https://github.com/abrignoni/iLEAPP.git
cd iLEAPP
python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate
pip install -r requirements.txt

Installieren Sie unter Linux tkinter für die GUI:

sudo apt-get install python3-tk

Windows-Setup-Hilfe von Hexordia:

• ILEAPP-Walkthrough (PDF)
• ILEAPP-Walkthrough (Video)

Verwendung

Der Ausgabeordner muss vor dem Ausführen vorhanden sein. Quellcode-Builds melden eine -dev-Version (z. B. 2.6.0-dev.0), um sie von offiziellen Release-Builds zu unterscheiden.

CLI:

python ileapp.py -t zip -i /path/to/extraction.zip -o /path/to/output/

GUI:

python ileappGUI.py

Siehe CLI-Argumente oben, oder führen Sie python ileapp.py --help aus.

Danksagungen

Dieses Triage-Tool ist das Ergebnis einer gemeinsamen Anstrengung vieler Menschen in der DFIR-Community.

Das iLEAPP-Logo stammt mit freundlicher Genehmigung von Derek Eiri.