Analizador de Logs, Eventos y Plists de iOS

iLEAPP analiza extracciones forenses de iOS y iPadOS y produce salida en HTML, TSV, timeline, KML y LAVA. Admite iOS/iPadOS 11 hasta las versiones actuales.

Explora la lista completa de artefactos buscable en leapps.org/artifacts (filtra por herramienta LEAPP).

Inicio rápido (recomendado)

Descarga una versión precompilada: no se requiere instalar Python.

• Lanzamientos de LEAPPs — explora todas las herramientas de la familia LEAPP
• Lanzamientos de iLEAPP en GitHub — descargas directas

GUI — extrae el archivo descargado, ejecuta ileappGUI y, a continuación, selecciona el tipo de entrada, la ruta de origen, la carpeta de salida y los módulos a procesar.

CLI — extrae el archivo descargado y ejecútalo desde una terminal. La carpeta de salida debe existir de antemano.

ileapp.exe -t zip -i C:\path\to\extraction.zip -o C:\path\to\output\

En macOS y Linux, usa el binario ileapp del archivo extraído en lugar de ileapp.exe.

Tipos de entrada

Se admiten copias de seguridad cifradas de iTunes/Finder (-t itunes). La GUI solicitará una contraseña antes de procesar cuando se detecte cifrado. En la CLI, pasa la contraseña con --itunes_password (consulta Opciones de análisis opcionales a continuación).

Argumentos de la CLI

Estas opciones se aplican únicamente a la versión CLI (ileapp / ileapp.exe / python ileapp.py). La GUI (ileappGUI) expone los mismos ajustes a través de su interfaz en lugar de parámetros de línea de comandos.

Ejecuta ileapp --help (o python ileapp.py --help desde el código fuente) para obtener la referencia integrada.

Análisis de un caso

Estos tres argumentos son necesarios para una ejecución de análisis normal:

Ejemplo:

ileapp -t zip -i /path/to/extraction.zip -o /path/to/output/

Opciones de análisis opcionales

Modos de utilidad independientes

Estos modos no analizan un caso. Úsalos solos, sin -t, -i ni -o:

Ejemplos:

ileapp -p
ileapp -c /path/to/output/folder/

Contribuciones

Los módulos de artefactos se encuentran en scripts/artifacts/ y se cargan dinámicamente en tiempo de ejecución.

Módulos nuevos: comienza con la guía paso a paso en Cómo escribir un módulo de iLEAPP.

Referencias adicionales:

• Estructura del bloque de información de artefactos
• Actualización de módulos para la generación automática de salida
• Actualización de módulos complejos para incluir salida LAVA
• Pruebas de módulos

Ejecución desde el código fuente

Los lanzamientos son la forma más sencilla de ejecutar iLEAPP. Usa el código fuente si estás desarrollando módulos o necesitas cambios no publicados de main.

Requisitos

• Python 3.10 a 3.14
• Git

Configuración

git clone https://github.com/abrignoni/iLEAPP.git
cd iLEAPP
python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate
pip install -r requirements.txt

En Linux, instala tkinter para la GUI:

sudo apt-get install python3-tk

Ayuda para la configuración en Windows de Hexordia:

• Tutorial de ILEAPP (PDF)
• Tutorial de ILEAPP (vídeo)

Uso

La carpeta de salida debe existir antes de ejecutar. Las compilaciones desde el código fuente muestran una versión -dev (p. ej., 2.6.0-dev.0) para distinguirlas de las compilaciones oficiales.

CLI:

python ileapp.py -t zip -i /path/to/extraction.zip -o /path/to/output/

GUI:

python ileappGUI.py

Consulta Argumentos de la CLI más arriba, o ejecuta python ileapp.py --help.

Agradecimientos

Esta herramienta de triaje es el resultado de un esfuerzo colaborativo de muchas personas de la comunidad DFIR.

Logotipo de iLEAPP cortesía de Derek Eiri.