Analyseur de journaux, événements et plists iOS

iLEAPP analyse les extractions forensiques iOS et iPadOS et produit des sorties HTML, TSV, chronologie, KML et LAVA. Il prend en charge iOS/iPadOS 11 jusqu'aux versions actuelles.

Parcourez la liste complète et consultable des artefacts sur leapps.org/artifacts (filtrez par outil LEAPP).

Démarrage rapide (recommandé)

Téléchargez une version précompilée — aucune installation de Python requise.

• LEAPPs Releases — parcourez tous les outils de la famille LEAPP
• iLEAPP GitHub Releases — téléchargements directs

GUI — extrayez le téléchargement, exécutez ileappGUI, puis sélectionnez votre type d'entrée, le chemin source, le dossier de sortie et les modules à traiter.

CLI — extrayez le téléchargement et exécutez-le depuis un terminal. Le dossier de sortie doit déjà exister.

ileapp.exe -t zip -i C:\path\to\extraction.zip -o C:\path\to\output\

Sur macOS et Linux, utilisez le binaire ileapp de l'archive extraite au lieu de ileapp.exe.

Types d'entrée

Les sauvegardes iTunes/Finder chiffrées (-t itunes) sont prises en charge. L'interface graphique demandera un mot de passe avant le traitement si un chiffrement est détecté. En CLI, transmettez le mot de passe avec --itunes_password (voir Options d'analyse facultatives ci-dessous).

Arguments CLI

Ces options s'appliquent uniquement à la version CLI (ileapp / ileapp.exe / python ileapp.py). L'interface graphique (ileappGUI) expose les mêmes paramètres via son interface plutôt que par des options de ligne de commande.

Exécutez ileapp --help (ou python ileapp.py --help depuis les sources) pour la référence intégrée.

Analyse d'une affaire

Ces trois arguments sont requis pour une analyse normale :

Exemple :

ileapp -t zip -i /path/to/extraction.zip -o /path/to/output/

Options d'analyse facultatives

Modes utilitaires autonomes

Ces modes n'analysent pas d'affaire. Utilisez-les seuls — sans -t, -i ni -o :

Exemples :

ileapp -p
ileapp -c /path/to/output/folder/

Contribuer

Les modules d'artefacts se trouvent dans scripts/artifacts/ et sont chargés dynamiquement à l'exécution.

Nouveaux modules : commencez par le guide pas à pas Comment écrire un module iLEAPP.

Références supplémentaires :

• Structure du bloc d'informations d'artefact
• Mise à jour des modules pour la génération automatique de sorties
• Mise à jour des modules complexes pour inclure la sortie LAVA
• Test des modules

Exécution depuis les sources

Les versions précompilées sont le moyen le plus simple d'exécuter iLEAPP. Utilisez les sources si vous développez des modules ou si vous avez besoin de modifications non publiées depuis main.

Prérequis

• Python 3.10 à 3.14
• Git

Installation

git clone https://github.com/abrignoni/iLEAPP.git
cd iLEAPP
python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate
pip install -r requirements.txt

Sur Linux, installez tkinter pour l'interface graphique :

sudo apt-get install python3-tk

Aide à l'installation sous Windows par Hexordia :

• ILEAPP Walkthrough (PDF)
• ILEAPP Walkthrough (video)

Utilisation

Le dossier de sortie doit exister avant l'exécution. Les versions compilées depuis les sources indiquent une version -dev (par ex. 2.6.0-dev.0) pour les distinguer des versions officielles.

CLI :

python ileapp.py -t zip -i /path/to/extraction.zip -o /path/to/output/

GUI :

python ileappGUI.py

Voir Arguments CLI ci-dessus, ou exécutez python ileapp.py --help.

Remerciements

Cet outil de triage est le fruit d'un effort collectif de nombreuses personnes de la communauté DFIR.

Logo iLEAPP avec l'aimable autorisation de Derek Eiri.