Analisador de Logs, Eventos e Plists do iOS

O iLEAPP analisa extrações forenses do iOS e iPadOS e produz saída em HTML, TSV, timeline, KML e LAVA. Ele suporta iOS/iPadOS 11 até as versões atuais.

Explore a lista completa e pesquisável de artefatos em leapps.org/artifacts (filtre pela ferramenta LEAPP).

Início Rápido (Recomendado)

Baixe uma versão pré-compilada — não é necessária instalação do Python.

• LEAPPs Releases — explore todas as ferramentas da família LEAPP
• iLEAPP GitHub Releases — downloads diretos

GUI — extraia o download, execute ileappGUI e selecione o tipo de entrada, o caminho de origem, a pasta de saída e os módulos a processar.

CLI — extraia o download e execute a partir do terminal. A pasta de saída já deve existir.

ileapp.exe -t zip -i C:\path\to\extraction.zip -o C:\path\to\output\

No macOS e no Linux, use o binário ileapp do arquivo extraído em vez de ileapp.exe.

Tipos de Entrada

Backups criptografados do iTunes/Finder (-t itunes) são suportados. A GUI solicitará uma senha antes do processamento quando a criptografia for detectada. Na CLI, passe a senha com --itunes_password (consulte Opções opcionais de análise abaixo).

Argumentos da CLI

Estas opções se aplicam apenas à versão CLI (ileapp / ileapp.exe / python ileapp.py). A GUI (ileappGUI) expõe as mesmas configurações por meio de sua interface, em vez de sinalizadores de linha de comando.

Execute ileapp --help (ou python ileapp.py --help a partir do código-fonte) para obter a referência integrada.

Analisando um caso

Esses três argumentos são obrigatórios para uma execução normal de análise:

Exemplo:

ileapp -t zip -i /path/to/extraction.zip -o /path/to/output/

Opções opcionais de análise

Modos utilitários independentes

Estes modos não analisam um caso. Use-os sozinhos — sem -t, -i ou -o:

Exemplos:

ileapp -p
ileapp -c /path/to/output/folder/

Contribuindo

Os módulos de artefatos ficam em scripts/artifacts/ e são carregados dinamicamente em tempo de execução.

Novos módulos: comece com o guia passo a passo em Como Escrever um Módulo iLEAPP.

Referências adicionais:

• Estrutura do Bloco de Informações de Artefato
• Atualizando Módulos para Geração Automática de Saída
• Atualizando Módulos Complexos para Incluir Saída LAVA
• Testando Módulos

Executando a partir do Código-Fonte

As versões de lançamento são a maneira mais fácil de executar o iLEAPP. Use o código-fonte se estiver desenvolvendo módulos ou precisar de alterações não publicadas do main.

Requisitos

• Python 3.10 a 3.14
• Git

Configuração

git clone https://github.com/abrignoni/iLEAPP.git
cd iLEAPP
python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate
pip install -r requirements.txt

No Linux, instale o tkinter para a GUI:

sudo apt-get install python3-tk

Ajuda de configuração para Windows da Hexordia:

• Passo a Passo do ILEAPP (PDF)
• Passo a Passo do ILEAPP (vídeo)

Uso

A pasta de saída deve existir antes da execução. As versões compiladas a partir do código-fonte relatam uma versão -dev (ex.: 2.6.0-dev.0) para distingui-las das versões oficiais de lançamento.

CLI:

python ileapp.py -t zip -i /path/to/extraction.zip -o /path/to/output/

GUI:

python ileappGUI.py

Consulte Argumentos da CLI acima ou execute python ileapp.py --help.

Agradecimentos

Esta ferramenta de triagem é o resultado de um esforço colaborativo de muitas pessoas na comunidade de DFIR.

Logo do iLEAPP cortesia de Derek Eiri.