具体描述
《安全技术大系iOS取证分析》介绍了针对苹果公司iPhone、iPad和iPod Touch设备的取证调查步骤、方法和工具，主要内容包括苹果移动设备的历史、iOS操作系统和文件系统分析、搜索与获取及时间响应、iPhone逻辑获取、逻辑数据分析、Mac和Windows计算机中的证据、地址位置信息分析、媒体注入与分析、网络分析等。本书中介绍的取证步骤和方法在美国是可以被法庭所接受的。
《安全技术大系iOS取证分析》适合计算机取证专业人士、执法人员、律师、安全专家，以及对此感兴趣的人员和教育工作者阅读。本书也可供执法培训机构，以及开设有计算机取证、信息安全和电子物证等相关专业的高等院校作为教材使用。
作者简介
Sean Morrissey现在是联邦政府机构的计算机取证和手机取证分析师，Digital Forensics Magazine杂志的特约编辑。Sean和他的妻子Dawn结婚23年，他们的儿子Robert目前正在美国军队服役。Sean从克瑞顿大学毕业后进入美国军队服役，退役之后他转向执法部门，成为马里兰的警官和副警长。之后Sean开设了培训课程，这成为他人生发展的重要部分。他曾在非洲做过军队教官并在美国国防部网络犯罪中心做过取证教员。这期间，他获得了CDMC（Certified Digital Media Collector）和CDFE（Certified Digital Forensic Examiner）资格认证，并且是Mac OS X,iPod and iPhone Forensic Analysis（Syngress，2008）的主要作者。
Sean根据他就职于执法部门的经历，创建了Katana Forensics公司，为那些因为资金不足而不能购买昂贵取证工具的部门提供帮助。Katana公司建立的目的，就是为了研发不同层次的执法人员都可以使用的专业取证工具。
郭永健（Sprite Guo，中国计算机法证技术研究会（CCFC）执行会长，香港资讯保安及法证公会（ISFS）中国联络官，国际高科技犯罪调查协会（HTCIA）亚太区分会会员，中国电子学会计算机取证专家委员会委员，中国政法大学法务会计研究中心客座研究员，北京市富华技术开发有限公司副总经理兼技术总监，从事信息安全和电子数据取证研究二十余年。于2005年创办中国计算机法证技术研究会（CCFC）和CCFC计算机法证技术峰会，对推动中国计算机取证技术的国际交流和发展起到了重要作用。多年来针对国内外计算机法证产品进行全面测试和研究，与国际诸多计算机法证产品的作者及厂商有密切的合作，近年来受软件作者官方委托汉化了大量取证工具，包括德国X-Ways Forensics数据分析软件、澳大利亚Nuix Desktop综合数据分析软件、韩国FinalData和Final Forensic软件、俄罗斯Passware软件、俄罗斯Oxygen Forensic Suite手机取证软件、ICS SOLO3、Logicube公司Talon E / Dossier硬盘复制机等，同时也是X-Ways、Oxygen、Nuix、Elcomsoft、Belkasoft、MacForensicsLab等公司在中国地区唯一授权的官方培训讲师。
韩晟，中国计算机法证技术研究会（CCFC）会员，香港资讯保安及法证公会（ISFS）会员，长期从事网络安全应急响应和计算机取证技术研究工作。曾就职于CNCERT/CC国家计算机网络应急技术处理协调中心，2008年创办安世盾信息技术（北京）有限公司，提供网络安全与计算机取证专业技术服务。
钟琳，中国计算机法证技术研究会（CCFC）会员，香港资讯保安及法证公会（ISFS）会员。曾为中科院高能物理所计算中心网络安全实验室及香港大学CICS实验室成员，师从国家计算机网络入侵防范中心首席科学家许榕生研究员，研究方向为信息安全与数字取证。
目录信息
1.1 iPod 2
1.2 iPhone的演变 2
1.2.1 ROCKR 2
1.2.2 苹果iPhone 2G简介 3
1.2.3 3G的iPhone 4
1.2.4 iPhone 3G[S] 5
1.2.5 iPhone 4 6
1.3 苹果iPad 6
1.4 内部构造：iPhone和iPad的硬件 7
1.4.1 2G版iPhone的内部构造 7
1.4.2 iPhone 3G的内部构造 9
1.4.3 iPhone 3GS内部构造 11
1.4.4 iPhone 4的内部构造 12
1.4.5 iPad 内部构件 13
1.5 苹果App Store应用程序商店 15
1.6 iPhone黑客的兴起 18
1.7 小结 18
第2章 iOS操作系统和文件系统分析 19
2.1 iOS特性的演变 19
2.1.1 iOS 1 19
2.1.2 iOS 2 21
2.1.3 iOS 3 22
2.1.4 iOS 4 23
2.2 应用软件的发展 25
2.3 iOS文件系统 26
2.3.1 HFS+ 文件系统 26
2.3.2 HFSX 28
2.4 iPhone分区和卷信息 28
2.4.1 OS分区 31
2.4.2 iOS系统分区 32
2.4.3 iOS数据分区 35
2.5 SQLite数据库 37
2.5.1 通讯录数据库 37
2.5.2 短信数据库 37
2.5.3 通话记录数据库 38
2.6 分析数据库 38
2.6.1 提取SQLite 数据库中的数据 39
2.6.2 Plist 属性列表文件 45
2.6.3 查看Plist属性列表文件 45
2.7 小结 48
第3章 搜索、获取和事件响应 49
3.1 美国宪法第四修正案 50
3.2 通过手机追踪 51
3.3 逮捕中的手机搜查 51
3.4 技术进步和苹果iPhone 52
3.5 如何搜查苹果设备 53
3.6 隔离设备 56
3.7 开机口令 57
3.8 识别越狱的iPhone 58
3.9 收集iPhone中的信息 59
3.10 对iPhone连接过的Mac/Windows计算机进行响应 61
3.11 小结 62
3.12 参考文献 62
第4章 iPhone逻辑获取 64
4.1 从iPhone、iPod Touch、iPad中获取数据 64
4.1.1 使用mdhelper软件获取数据 65
4.2 可用的工具和软件 68
4.2.1 Lantern 68
4.2.2 Susteen Secure View 2 82
4.2.3 Paraben Device Seizure 89
4.2.4 Oxygen Forensic Suite 2010 91
4.2.5 Cellebrite 98
4.3 比较工具和结果 101
4.3.1 购买软件需要考虑的因素 102
4.3.2 Paraben Device Seizure软件的结果 102
4.3.3 Oxygen Forensic Suite 2010软件的结果 102
4.3.4 Cellebrite的结果 103
4.3.5 Susteen Secure View 2软件的结果 103
4.3.6 Katana Forensics Lantern软件的结果 103
4.3.7 有关支持的问题 104
4.4 小结 104
第5章 逻辑数据分析 105
5.1 搭建一个取证工作站 105
5.2 资源库（Library）域 110
5.2.1 通讯录 111
5.2.2 缓存（Caches） 114
5.2.3 通话记录 116
5.2.4 配置概要 117
5.2.5 Cookie 117
5.2.6 键盘 118
5.2.7 日志 120
5.2.8 地图 122
5.2.9 地图历史记录 122
5.2.10 备忘录 123
5.2.11 系统偏好设置 123
5.2.12 Safari 浏览器 124
5.2.13 记忆休眠状态 125
5.2.14 短信和彩信 126
5.2.15 语音信箱 128
5.2.16 网络应用程序 129
5.2.17 WebKit 129
5.3 系统配置数据 132
5.4 媒体域（Media Domain） 134
5.4.1 媒体文件目录 134
5.4.2 Photos.sqlite数据库 139
5.4.3 PhotosAux.sqlite 数据库 139
5.4.4 语音备忘 139
5.4.5 iPhoto相片 140
5.4.6 多媒体 141
5.5 第三方软件 142
5.5.1 社交网络分析 142
5.5.2 Skype 143
5.5.3 Facebook 145
5.5.4 AOL AIM 146
5.5.5 LinkedIn 146
5.5.6 Twitter 147
5.5.7 MySpace 147
5.5.8 Google Voice 148
5.5.9 Craigslist 151
5.5.10 具备分析和挖掘功能的软件 152
5.5.11 iDisk 152
5.5.12 Google Mobile 153
5.5.13 Opera 154
5.5.14 Bing 154
5.5.15 文档和文档恢复 155
5.6 反取证软件和过程 157
5.6.1 图片储藏库 159
5.6.2 Picture Safe 159
5.6.3 Picture Vault 160
5.6.4 Incognito Web Browser 161
5.6.5 Invisible Browser 162
5.6.6 tigertext 162
5.7 越狱 166
5.8 小结 166
第6章 Mac和Windows计算机中的证据 167
6.1 Mac计算机中的证据 167
6.1.1 属性列表文件 167
6.1.2 MobileSync数据库 168
6.1.3 苹果备份文件的演变 168
6.1.4 密码锁定证书 170
6.2 Windows计算机中的证据 170
6.2.1 iPodDevices.xml 170
6.2.2 MobileSync备份 171
6.2.3 密码锁定证书 172
6.3 苹果移动设备备份文件分析 172
6.3.1 iPhone Backup Extractor 172
6.3.2 JuicePhone 173
6.3.3 mdhelper 175
6.3.4 Oxygen Forensics Suite 2010手机取证套件 176
6.4 Windows的取证工具和备份文件 177
6.4.1 FTK Imager 178
6.4.2 FTK 1.8 178
6.4.3 技巧和诀窍 180
6.5 小结 181
第7章 地理位置信息分析 182
7.1 地图应用程序 182
7.2 图片和视频的地理标记 189
7.3 基站数据 198
7.3.1 GeoHunter 202
7.4 导航应用程序 205
7.4.1 Navigon 206
7.4.2 Tom Tom 209
7.5 小结 210
第8章 媒体注入 211
8.1 什么是数字版权管理（DRM） 211
8.1.1 数字版权管理的法律要素 212
8.1.2 案例分析：手机越狱 214
8.1.3 案例分析：苹果与Psystar 215
8.1.4 案例分析：在线音乐下载 217
8.1.5 案件分析：索尼BMG案件 217
8.1.6 DRM的未来 218
8.2 媒体注入 219
8.2.1 媒体注入工具 219
8.3 验证镜像 225
8.4 小结 227
8.5 参考文献 229
第9章 媒体注入分析 231
9.1 使用Mac分析注入媒体 231
9.2 邮件 234
9.2.1 IMAP 234
9.2.2 POP邮件 235
9.2.3 Exchange 236
9.3 数据恢复（碎片重组） 238
9.3.1 MacForensicsLab 238
9.3.2 Access Data取证分析套件 241
9.3.3 FTK和图片 244
9.3.4 EnCase 249
9.4 间谍软件 252
9.4.1 Mobile Spy 252
9.4.2 FlexiSpy 255
9.5 小结 256
第10章 网络分析 257
10.1 关于证据链的考虑 257
10.2 网络101：基础知识 258
10.3 网络201：高级部分 264
10.3.1 DHCP 264
10.3.2 无线加密和身份认证 265
10.3.3 取证分析 266
10.3.4 网络流量分析 268
10.4 小结 272
· · · · · · (收起)
读后感
用户评价
说实话，我对技术书籍的期望值通常都很高，因为很多号称“干货满满”的书籍读起来却味同嚼蜡，充满了各种教科书式的陈词滥调。但这本书完全打破了我的刻板印象。它的叙述方式非常活泼且富有洞察力，作者仿佛在和我面对面交流，分享着他踩过的那些“坑”和总结出的独家秘诀。最让我印象深刻的是，它并没有停留在工具的使用层面，而是深入探讨了底层协议和架构设计如何影响最终的取证结果。这种对事物本质的追溯，是区分一本好书和一本优秀书籍的关键所在。我特别喜欢其中关于时间戳分析的部分，它细致地阐述了不同区域时间标准对证据链完整性的潜在影响，这一点在许多其他资料中都被轻易略过了。这本书的行文流畅自然，即便是面对复杂的技术概念，作者也能用非常形象的比喻来辅助理解，极大地提升了阅读体验，让人欲罢不能。
这本书的结构设计简直是艺术品。它并非是简单地罗列技术点，而是构建了一个清晰、逻辑严密的学习路径。从基础的概念引入，逐步过渡到复杂的场景分析和深度挖掘，整个阅读过程就像是进行一次有条不紊的探险。作者巧妙地运用案例研究来串联起各个知识点，使得原本枯燥的理论知识变得生动起来。比如，书中对特定应用数据残留的剖析，简直是教科书级别的演示，每一步骤都经过了精心的设计和验证。我发现，仅仅是学习了书中介绍的几种数据关联分析技巧，我的问题解决效率就得到了显著提升。它教会我的不是“怎么做”，而是“为什么这么做”，这种底层逻辑的掌握，才是真正实现“融会贯通”的基础。对于新手来说，它提供了稳固的基石；对于老手而言，它提供了重新审视和优化自己方法的绝佳视角。
坦白说，我平时工作节奏很快，很少有时间能坐下来精读一本厚厚的专业书籍。但这本书有一种魔力，能让人静下心来，沉浸其中。它的排版和图文搭配做得非常考究，大量的流程图和架构示意图，有效地降低了理解复杂流程的认知负荷。我尤其欣赏作者在行文风格上保持的专业与谦逊的平衡。他没有故作高深，而是用一种非常务实的态度来探讨技术难题，承认了许多方法的局限性，这让读者感到更加亲近和信赖。书中对一些“灰色地带”的处理也十分到位，既阐述了技术上的可能性，又清晰地指明了在法律和伦理上的边界。这种对专业操守的重视，让这本书的权威性又上了一个台阶。读完之后，我感觉自己不仅是技术能力得到了提升，在职业素养上也有了更深一层的领悟。这绝对是一部值得反复研读的案头宝典。
作为一名长期在安全领域摸爬滚打的从业者，我深知“知识迭代”是多么重要。新技术、新系统层出不穷，一套过时的取证流程可能导致功亏一篑。这本书的更新速度和内容的覆盖面着实让我感到惊喜。它并没有固步自封于旧有框架，而是积极地引入了对最新系统特性和安全机制的分析，这对于保持我们实践技能的先进性至关重要。我尤其赞赏作者在数据完整性和证据可信度验证方面所花费的心血，这些环节往往是法庭质证的关键点。书中详细对比了不同方法学在应对新兴加密技术时的优劣势，并给出了实用的规避或应对策略。这种前瞻性和批判性的视角，让这本书的价值远超出了普通的技术参考书，它更像是一个持续更新的智库。每次阅读都能从中汲取到新的思路，帮助我优化现有的工作流程，减少不必要的弯路。
这本书简直是为那些想深入了解移动设备安全领域的人量身定制的利器！我花了大量时间在研究这个领域，市面上很多资料要么过于理论化，要么就是零散的片段，根本无法系统地构建起一个完整的知识体系。但拿到这本书后，我立刻感受到了它的深度和广度。作者显然在实际操作中积累了丰富的经验，书中不仅涵盖了基础的原理分析，更重要的是，它详细拆解了在真实取证场景下，我们应该如何高效地收集和解析数据。特别是关于文件系统结构和应用程序数据存储的章节，讲解得极其透彻，每一个技术点都有清晰的图示和步骤说明，让我这个在某些领域感到吃力的读者也能迎刃而解。它不仅仅是一本操作手册，更像是一份兼具理论高度和实战价值的指南，读完之后，我感觉自己对移动设备内部的运作机制有了更深层次的理解，那些过去模糊的概念如今都变得清晰可见。强烈推荐给所有希望从“会用”到“精通”的同行们。
