M.E.A.T. - 모바일 증거 수집 도구 키트

M.E.A.T를 만나보세요!

Jack Farley 제공 - BlackStone Discovery

이 도구 키트는 포렌식 분석가가 iOS 기기(향후 Android도 포함)에서 다양한 종류의 수집을 수행할 수 있도록 돕기 위해 설계되었습니다.

소스에서 실행하기 위한 요구 사항

Windows 또는 Linux
Python 3.7.4 또는 3.7.2
requirements.txt에 명시된 Pip 패키지

지원되는 수집 유형

iOS 기기

논리적

MEAT에서 논리적 수집 플래그를 사용하면 도구가 감옥에 갇힌 기기에서 AFC를 통해 접근 가능한 파일과 폴더를 추출하도록 지시합니다. 접근을 허용하는 특정 폴더는 \private\var\mobile\Media이며, 다음과 같은 폴더를 포함합니다:

AirFair
Books
DCIM
Downloads
general_storage
iTunes_Control
MediaAnalysis
PhotoData
Photos
PublicStaging
Purchases
Recordings

파일시스템

iOS 기기 전제 조건

탈옥된 iOS 기기
Cydia를 통해 설치된 AFC2

MEAT에서 파일시스템 수집 플래그를 사용하면 도구가 AFC2 서비스를 시작하고 모든 파일과 폴더를 호스트 머신으로 복사하도록 지시합니다.

이 방법은 기기가 탈옥되어 있고 다음 패키지가 설치되어 있어야 합니다:

Apple File Conduit 2

이 방법은 사용자가 -filesystemPath 플래그를 사용하여 MEAT가 지정된 폴더까지만 추출하도록 지시할 수 있습니다. 앱 분석을 수행하고 앱 데이터만 필요한 경우 유용합니다.

MEAT Help

usage: MEAT.py [-h] [-iOS] [-filesystem] [-filesystemPath FILESYSTEMPATH]
               [-logical] [-md5] [-sha1] -o OUTPUTDIR [-v]

MEAT - Mobile Evidence Acquisition Toolkit

optional arguments:
  -h, --help            show this help message and exit
  -iOS                  Perform Acquisition on iOS Device
  -filesystem           Perform Filesystem Acquisition - 
  -filesystemPath FILESYSTEMPATH
                        Path on target device to acquire. Only use with --filesystem argument
                        Default will be "/"
  -logical              Perform Logical Acquisition
                        iOS - Uses AFC to gain access to jailed content
  -md5                  Hash pulled files with the MD5 Algorithm. Outputs to Hash_Table.csv
  -sha1                 Hash pulled files with the SHA-1 Algorithm. Outputs to Hash_Table.csv
  -o OUTPUTDIR          Directory to store results
  -v                    increase output verbosity

테스트된 기기

iPhone X iOS 13.3 iPhone XS iOS 12.4

알려진 문제

폴더 타임스탬프 보존
Linux에서만 파일의 생성 시간을 보존할 수 없음
iOS 9 버그 - 해당 기기가 없어 직접 테스트할 수 없음

향후 계획 (우선순위 순)

사후 처리기 추가
컨테이너화 기능 추가 - ZIP, TAR, AFF4
- 처리 중 컨테이너화를 시도했지만, zipfile과 tar는 개별 파일에 블록을 계속 추가할 수 없음
처리 중 또는 후에 키워드 검색 추가
처리 중 또는 후에 해시 매칭 추가
Android 지원 추가 (일부 코드는 이미 가능하지만, 테스트할 기기가 없음)
Android 물리적 수집을 위해 사용자가 블록 장치를 지정할 수 있는 기능 추가
iTunes 백업 지원 추가
MacOS 지원 추가 (원한다면 메시지 보내주세요!)

특별 감사

BlackStone Discovery
pymobiledevice
iOS 13 버그를 수정해준 Mathieu Renard
W.E.님 감사합니다.

MEAT

인기