Parser di log, eventi e plist iOS

iLEAPP analizza estrazioni forensi di iOS e iPadOS e produce output HTML, TSV, timeline, KML e LAVA. Supporta iOS/iPadOS 11 fino alle versioni correnti.

Sfoglia l'elenco completo e ricercabile degli artifact su leapps.org/artifacts (filtra per strumento LEAPP).

Avvio rapido (consigliato)

Scarica una release precompilata — non è richiesta l'installazione di Python.

• LEAPPs Releases — sfoglia tutti gli strumenti della famiglia LEAPP
• iLEAPP GitHub Releases — download diretti

GUI — estrai il download, esegui ileappGUI, quindi seleziona tipo di input, percorso di origine, cartella di output e moduli da elaborare.

CLI — estrai il download ed esegui da un terminale. La cartella di output deve già esistere.

ileapp.exe -t zip -i C:\path\to\extraction.zip -o C:\path\to\output\

Su macOS e Linux, usa il binario ileapp dall'archivio estratto invece di ileapp.exe.

Tipi di input

Sono supportati i backup iTunes/Finder crittografati (-t itunes). La GUI richiederà una password prima dell'elaborazione quando viene rilevata la crittografia. Nella CLI, passa la password con --itunes_password (vedi Opzioni di analisi facoltative sotto).

Argomenti CLI

Queste opzioni si applicano solo alla build CLI (ileapp / ileapp.exe / python ileapp.py). La GUI (ileappGUI) espone le stesse impostazioni tramite la sua interfaccia invece che tramite flag da riga di comando.

Esegui ileapp --help (o python ileapp.py --help dal sorgente) per la guida integrata.

Analisi di un caso

Questi tre argomenti sono obbligatori per un'analisi normale:

Esempio:

ileapp -t zip -i /path/to/extraction.zip -o /path/to/output/

Opzioni di analisi facoltative

Modalità utilità standalone

Queste modalità non analizzano un caso. Usale da sole — senza -t, -i o -o:

Esempi:

ileapp -p
ileapp -c /path/to/output/folder/

Contribuire

I moduli degli artifact si trovano in scripts/artifacts/ e vengono caricati dinamicamente in fase di esecuzione.

Nuovi moduli: inizia con la guida passo-passo su Come scrivere un modulo iLEAPP.

Riferimenti aggiuntivi:

• Struttura del blocco informazioni sugli artifact
• Aggiornamento dei moduli per la generazione automatica dell'output
• Aggiornamento dei moduli complessi per includere l'output LAVA
• Test dei moduli

Esecuzione dal sorgente

Le release sono il modo più semplice per eseguire iLEAPP. Usa il sorgente se stai sviluppando moduli o se ti servono modifiche non ancora pubblicate da main.

Requisiti

• Python 3.10 fino a 3.14
• Git

Configurazione

git clone https://github.com/abrignoni/iLEAPP.git
cd iLEAPP
python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate
pip install -r requirements.txt

Su Linux, installa tkinter per la GUI:

sudo apt-get install python3-tk

Guida all'installazione su Windows di Hexordia:

• ILEAPP Walkthrough (PDF)
• ILEAPP Walkthrough (video)

Utilizzo

La cartella di output deve esistere prima di eseguire. Le build dal sorgente riportano una versione -dev (es. 2.6.0-dev.0) per distinguerle dalle build ufficiali.

CLI:

python ileapp.py -t zip -i /path/to/extraction.zip -o /path/to/output/

GUI:

python ileappGUI.py

Vedi Argomenti CLI sopra, oppure esegui python ileapp.py --help.

Riconoscimenti

Questo strumento di triage è il risultato dello sforzo collaborativo di molte persone nella comunità DFIR.

Logo iLEAPP per gentile concessione di Derek Eiri.