M.E.A.T. - मोबाइल साक्ष्य अधिग्रहण टूलकिट

M.E.A.T. से मिलिए!

जैक फ़ार्ले द्वारा - BlackStone Discovery

यह टूलकिट फोरेंसिक विशेषज्ञों को iOS उपकरणों (और भविष्य में Android) पर विभिन्न प्रकार के अधिग्रहण करने में मदद करने का लक्ष्य रखता है।

स्रोत से चलाने के लिए आवश्यकताएँ

• Windows या Linux
• Python 3.7.4 या 3.7.2
• Pip पैकेज requirements.txt में देखे गए

समर्थित अधिग्रहण के प्रकार

iOS उपकरण

तार्किक

MEAT पर तार्किक अधिग्रहण फ़्लैग का उपयोग करने से उपकरण को जेल किए गए उपकरणों पर AFC के माध्यम से सुलभ फ़ाइलों और फ़ोल्डरों को निकालने का निर्देश मिलेगा। विशिष्ट फ़ोल्डर जो पहुंच की अनुमति देता है: \private\var\mobile\Media, जिसमें निम्नलिखित फ़ोल्डर शामिल हैं:

• AirFair
• Books
• DCIM
• Downloads
• general_storage
• iTunes_Control
• MediaAnalysis
• PhotoData
• Photos
• PublicStaging
• Purchases
• Recordings

फ़ाइल सिस्टम

iOS उपकरण पूर्वापेक्षाएँ

• जेलब्रोकन iOS उपकरण
• Cydia के माध्यम से स्थापित AFC2

MEAT पर फ़ाइल सिस्टम अधिग्रहण फ़्लैग का उपयोग करने से उपकरण को AFC2 सेवा शुरू करने और सभी फ़ाइलों और फ़ोल्डरों को होस्ट मशीन पर कॉपी करने का निर्देश मिलेगा।

इस विधि के लिए उपकरण को जेलब्रोकन होना आवश्यक है और निम्नलिखित पैकेज स्थापित होना चाहिए:

• Apple File Conduit 2

इस विधि को उपयोगकर्ता -filesystemPath फ़्लैग का उपयोग करके बदल सकता है ताकि MEAT को केवल एक निर्दिष्ट फ़ोल्डर तक निकालने का निर्देश दिया जा सके, यह तब उपयोगी है जब आप ऐप विश्लेषण कर रहे हों और केवल ऐप डेटा चाहते हों।

MEAT सहायता

usage: MEAT.py [-h] [-iOS] [-filesystem] [-filesystemPath FILESYSTEMPATH]
               [-logical] [-md5] [-sha1] -o OUTPUTDIR [-v]

MEAT - Mobile Evidence Acquisition Toolkit

optional arguments:
  -h, --help            show this help message and exit
  -iOS                  Perform Acquisition on iOS Device
  -filesystem           Perform Filesystem Acquisition - 
  -filesystemPath FILESYSTEMPATH
                        Path on target device to acquire. Only use with --filesystem argument
                        Default will be "/"
  -logical              Perform Logical Acquisition
                        iOS - Uses AFC to gain access to jailed content
  -md5                  Hash pulled files with the MD5 Algorithm. Outputs to Hash_Table.csv
  -sha1                 Hash pulled files with the SHA-1 Algorithm. Outputs to Hash_Table.csv
  -o OUTPUTDIR          Directory to store results
  -v                    increase output verbosity

परीक्षण किए गए उपकरण

iPhone X iOS 13.3 iPhone XS iOS 12.4

ज्ञात समस्याएँ

• फ़ोल्डर टाइमस्टैम्प संरक्षण
• केवल Linux पर फ़ाइलों के जन्म समय को संरक्षित नहीं कर सकता
• iOS 9 बग - उपकरण नहीं है इसलिए सीधे परीक्षण नहीं कर सकते

भविष्य में करने के लिए चीज़ें - क्रमबद्ध

• पोस्ट प्रोसेसर जोड़ें
• कंटेनराइज़ करने की क्षमता जोड़ें - ZIP, TAR, AFF4
  • मैंने प्रसंस्करण के दौरान कंटेनराइज़ करने का प्रयास किया, लेकिन zipfile और tar मुझे अलग-अलग फ़ाइलों में ब्लॉक जोड़ते रहने की अनुमति नहीं देते
• प्रसंस्करण के दौरान या बाद में कीवर्ड खोज जोड़ें
• प्रसंस्करण के दौरान या बाद में हैश मिलान जोड़ें
• Android समर्थन जोड़ें (कुछ कोड पहले से ही ऐसा कर सकता है, लेकिन मेरे पास परीक्षण के लिए उपकरण नहीं है)
• Android भौतिक अधिग्रहण के लिए उपयोगकर्ता को ब्लॉक डिवाइस निर्दिष्ट करने की क्षमता जोड़ें
• iTunes बैकअप के लिए समर्थन जोड़ें
• MacOS समर्थन जोड़ें (यदि आप यह चाहते हैं तो मुझे संदेश भेजें!)

विशेष धन्यवाद

• BlackStone Discovery
• pymobiledevice
• iOS 13 बग ठीक करने के लिए Mathieu Renard
• W.E. का धन्यवाद