iOS 日志、事件和 Plist 解析器

iLEAPP 解析 iOS 和 iPadOS 取证提取数据，并生成 HTML、TSV、时间线、KML 和 LAVA 输出。它支持 iOS/iPadOS 11 到当前版本。

在 leapps.org/artifacts 浏览完整可搜索的工件列表（按 LEAPP 工具筛选）。

快速入门（推荐）

下载预构建的发行版 — 无需安装 Python。

• LEAPPs 发行版 — 浏览所有 LEAPP 系列工具
• iLEAPP GitHub 发行版 — 直接下载

GUI — 解压下载文件，运行 ileappGUI，然后选择输入类型、源路径、输出文件夹以及要处理的模块。

CLI — 解压下载文件并在终端中运行。输出文件夹必须已存在。

ileapp.exe -t zip -i C:\path\to\extraction.zip -o C:\path\to\output\

在 macOS 和 Linux 上，请使用解压后归档中的 ileapp 可执行文件，而不是 ileapp.exe。

输入类型

支持加密的 iTunes/Finder 备份（-t itunes）。检测到加密时，GUI 会在处理前提示输入密码。在 CLI 上，使用 --itunes_password 传递密码（参见下文 可选解析选项）。

CLI 参数

这些选项仅适用于 CLI 版本（ileapp / ileapp.exe / python ileapp.py）。GUI（ileappGUI）通过其界面提供相同的设置，而不是命令行标志。

运行 ileapp --help（或从源码运行 python ileapp.py --help）以查看内置参考。

解析案件

常规解析运行需要以下三个参数：

示例：

ileapp -t zip -i /path/to/extraction.zip -o /path/to/output/

可选解析选项

独立工具模式

这些模式不解析案件。请单独使用它们 — 不带 -t、-i 或 -o：

示例：

ileapp -p
ileapp -c /path/to/output/folder/

贡献

工件模块位于 scripts/artifacts/ 中，并在运行时动态加载。

新模块： 从 如何编写 iLEAPP 模块 的逐步指南开始。

其他参考资料：

• 工件信息块结构
• 更新模块以自动生成输出
• 更新复杂模块以包含 LAVA 输出
• 测试模块

从源码运行

发行版是运行 iLEAPP 最简单的方式。如果你正在开发模块或需要 main 分支中尚未发布的更改，请使用源码。

环境要求

• Python 3.10 至 3.14
• Git

安装

git clone https://github.com/abrignoni/iLEAPP.git
cd iLEAPP
python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate
pip install -r requirements.txt

在 Linux 上，为 GUI 安装 tkinter：

sudo apt-get install python3-tk

来自 Hexordia 的 Windows 安装帮助：

• ILEAPP 演练（PDF）
• ILEAPP 演练（视频）

使用方法

运行前输出文件夹必须存在。源码构建会报告 -dev 版本（例如 2.6.0-dev.0），以区分于官方发行版构建。

CLI：

python ileapp.py -t zip -i /path/to/extraction.zip -o /path/to/output/

GUI：

python ileappGUI.py

参见上文 CLI 参数，或运行 python ileapp.py --help。

致谢

这个分类工具是 DFIR 社区许多人协作努力的成果。

iLEAPP 徽标由 Derek Eiri 提供。