技术分享——Mac OS 取证信息源

macOS是类 UNIX操作系统，所以从取证角度上与Windows有很大的不同，与UNIX/Linux操作系统的取证存在一些相似点，但作为图形用户界面的操作系统，其与一般用于服务器中时命令行界面的UNIX/Linux操作系统取证操作又有很多差异。

从文件系统目录结构看，macOS一部分目录是UNIX通用目录，如/bin(UNIX命令存放目录)、/sbin(UNIX系统管理类命令存放目录)、/usit(第三方程序安装目录)、/dev(设备文件存放目录)、/etc(系统配置文件存放目录)、/tmp(临时文件存放目录)、/var(存放经常变化的文件)。其中，/etc、/tmp、/var目录在取证中是需要重点关注的地方，此3个目录实际上分别为指向/private/etc、/private/tmp和/private/var的链接。

macOS还有一部分目录是其特有的目录，从概念上讲，包括User 域(Domain)、Local域、Network域、Syetem域等，

User域包含特定用户的资源，是用户的主目录。本地主目录的位置为“IUsers/用户名/”(注:用户名不同，位置也不同。若用户名为bob，则主目录位置为/Users/bobl，下同)。若为网络用户，则主目录的位置为“/Network/Users/用户名/”。用户主目录存有用户的个人资料和配置,在取证中是需要重点关注的地方。该目录下几个常见的标准目录是取证时的重要信息资源，如Trash、Applications、Desktop、Documents、Library、Movies、Music、PicturesSites等。

与UNIX/Linux操作系统的取证类似,“/Users/用户名/.bash_history”“Users/用户名/.bash_profile”“/Users/用户名/.bashre”等文件存有使用记录、Shell的配置。根据用户使用的Shell不同，相应的文件也不同。如Zsh的配置文件、历史记录文件一般位于“/Users/用户名/.zshrc”“/Users/用户名/.zsh_history”。

Local域包含可供单个系统上所有用户使用的资源和共享的应用程序。/Applications目录为Local域，它是应用程序目录，默认所有的GUI应用程序都安装在这里。

Network域包含可供局域网用户使用的资源，其目录位置为/Network/、其下的子目录常包含Applications、Library、Servers.Users。

System域包含属于macOS的库、程序、脚本和配置,其目录位置为/System/。/System/Library目录存有操作系统的大部分组件，如各种Framework 以及内核模块。

挂载在根目录下的还有Library、/Volumes、/cores、/private，分别用来存放系统数据文件和文档，文件系统挂载点,内核转储，/tmp、/var、/etc等链接目录的目标目录。其中，/private目录在取证中是需要重点关注的地方。

macOS中存储配置等信息一般使用 Property List文件，即扩展名为.plist 的文件。也有一些程序使用 SQLite 数据库存储数据。应用程序的配置及数据一般存储在资源库,即“/Users/用户名/Library”中。

macOS中的钥匙串功能保存着操作系统中的各种密钥、应用程序密码、网站密码、无线网络密码、证书文件，往往会存有一些对案件调查有利的信息。

macOS操作系统中提供了很多便利的程序，如邮件客户端、备忘录、便笺、提醒事项、信息等，往往在这些应用中会存有一些关键信息，对调查取证有很大的帮助。

产品咨询

技术工程师

贺   佳：13908073212

王高阳：18513400125

微信助手

关于我们

北京天宇宁达科技有限公司创建于 2016 年，前身为 2009 年的北京天宇宁科技有限公司。历经十余年的发展与积累，天宇宁达已成为国内电子数据取证行业卓越领先的产品与解决方案供应商，同时也是国内知名的电子数据专业取证服务与培训机构。