Парсер журналов, событий и plist-файлов iOS

iLEAPP анализирует криминалистические экстракции iOS и iPadOS и создаёт вывод в форматах HTML, TSV, таймлайна, KML и LAVA. Поддерживает iOS/iPadOS 11 и вплоть до текущих версий.

Просмотрите полный список артефактов с поиском на leapps.org/artifacts (фильтр по инструменту LEAPP).

Быстрый старт (рекомендуется)

Скачайте готовую сборку — установка Python не требуется.

• LEAPPs Releases — все инструменты семейства LEAPP
• iLEAPP GitHub Releases — прямые загрузки

GUI — распакуйте загрузку, запустите ileappGUI, затем выберите тип входных данных, исходный путь, выходную папку и модули для обработки.

CLI — распакуйте загрузку и запустите из терминала. Выходная папка должна уже существовать.

ileapp.exe -t zip -i C:\path\to\extraction.zip -o C:\path\to\output\

На macOS и Linux используйте бинарный файл ileapp из распакованного архива вместо ileapp.exe.

Типы входных данных

Зашифрованные резервные копии iTunes/Finder (-t itunes) поддерживаются. При обнаружении шифрования GUI запросит пароль перед обработкой. В CLI передайте пароль с помощью --itunes_password (см. Дополнительные параметры разбора ниже).

Аргументы командной строки

Эти параметры применяются только к сборке CLI (ileapp / ileapp.exe / python ileapp.py). GUI (ileappGUI) предоставляет те же настройки через свой интерфейс вместо флагов командной строки.

Запустите ileapp --help (или python ileapp.py --help из исходного кода), чтобы получить встроенную справку.

Разбор дела

Для обычного запуска разбора требуются три аргумента:

Пример:

ileapp -t zip -i /path/to/extraction.zip -o /path/to/output/

Дополнительные параметры разбора

Автономные режимы утилит

Эти режимы не выполняют разбор дела. Используйте их отдельно — без -t, -i или -o:

Примеры:

ileapp -p
ileapp -c /path/to/output/folder/

Участие в разработке

Модули артефактов находятся в scripts/artifacts/ и загружаются динамически во время выполнения.

Новые модули: начните с пошагового руководства Как написать модуль iLEAPP.

Дополнительные материалы:

• Структура информационного блока артефакта
• Обновление модулей для автоматической генерации выходных данных
• Обновление сложных модулей для включения LAVA-вывода
• Тестирование модулей

Запуск из исходного кода

Релизы — самый простой способ запустить iLEAPP. Используйте исходный код, если вы разрабатываете модули или вам нужны неопубликованные изменения из main.

Требования

• Python 3.10–3.14
• Git

Установка

git clone https://github.com/abrignoni/iLEAPP.git
cd iLEAPP
python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate
pip install -r requirements.txt

В Linux установите tkinter для GUI:

sudo apt-get install python3-tk

Справка по установке в Windows от Hexordia:

• Прохождение ILEAPP (PDF)
• Прохождение ILEAPP (видео)

Использование

Выходная папка должна существовать перед запуском. Сборки из исходного кода сообщают версию -dev (например, 2.6.0-dev.0), чтобы отличать их от официальных релизных сборок.

CLI:

python ileapp.py -t zip -i /path/to/extraction.zip -o /path/to/output/

GUI:

python ileappGUI.py

См. Аргументы командной строки выше или выполните python ileapp.py --help.

Благодарности

Этот инструмент триажа — результат совместных усилий многих людей из сообщества DFIR.

Логотип iLEAPP предоставлен Дереком Эйри.