編者按：在手機電子數據取證領域，針對iPhone手機的取證一直都是行業關注的焦點。自從iOS9系統發布以來，新版本系統的iPhone手機已很難通過越獄來直接提取解析或者拷貝原始數據，給手機電子數據取證帶來難題。本期，數據恢復四川省重點實驗室科研人員將介紹，如何利用iTunes官方備份方式獲取iPhone手機備份數據，并對其進行解析提取。
一、背景介紹
在全球智能手機市場上，iPhone手機長期位居市場前列。根據全球市場研究機構TrendForce官網發布最新報告顯示，2016年第二、三季度，iPhone手機以超過10℅的市場占有率，穩居市場前二位。
2016年第二、三季度全球前六大手機品牌市場占有率
iPhone手機的高市場占有率和影響力，使得關于iPhone手機的電子數據提取一直是行業關注的焦點。但自從iOS9系統發布以來，新版本系統iPhone手機已很難通過越獄來直接提取解析或者拷貝原始數據，這使得iPhone手機電子數據提取成為行業一大難題。
針對這一難題，數據恢復四川省重點實驗室科研人員研究發現，可以使用iTunes官方備份方式獲取iPhone手機備份數據，再使用第三方工具解密該備份數據，并進行全面解析和展示。下面，將以iPhone 5C(iOS10.0.2)為例，詳細講解這一過程。
二、利用iTunes備份iPhone數據
1.連上iPhone手機，并授權，如圖1;
圖1
2.點擊繼續，如圖2;
圖2
3.點擊“立即備份”進行備份，但注意備份時不要勾選“備份加密”，如圖3;
圖3
三、查找iTunes備份數據
1. 點擊文件夾“查看”選項，取消“隱藏受保護的操作系統文件(推薦)”勾選，選擇“顯示隱藏的文件、文件夾和驅動器”，如圖4;
圖4
2.iTunes備份默認路徑在 Mac系統中為：資源庫/Application Support/MobileSync/Backup;在XP系統中為：C:\Documents and Settings\用戶名\Application Data\Apple Computer\MobileSync\Backup;在Window 7及以上系統中為： C:\Users\用戶名\AppData\Roaming\Apple Computer\MobileSync\Backup，如圖5;
圖5
四、解密iTunes備份數據
iTunes備份數據完成以后，可以選擇第三方軟件對其解密。這里，我們選用效率源MTF 手機可視化行蹤取證系統對其解密。
1.打開MTF 手機可視化行蹤取證系統，調出功能欄，選擇“工具箱”，如圖6;
圖6
2.點擊“解密IOS備份文件夾”，如圖7;
圖7
3.默認解密保存位置在C盤，點擊選擇iTunes備份的原始文件夾，進行文件夾解密，如圖8;
圖8
五、壓縮解析文件夾并提取數據
1.打開解析文件夾，如圖9;
圖9
2.選中“C:\XLYMTFData\20161122112711”所有內容，點擊鼠標右鍵選擇“添加到壓縮文件”，壓縮格式選擇勾選“ZIP”，解析文件夾，如圖10;
圖10
六、解析展示iOS數據
1.打開MTF，調出功能欄選擇“數據導入”，如圖11;
圖11
2. 點擊“瀏覽”，調出功能欄選擇“數據導入”，選擇“iOS數據包”，如圖12;
圖12
3. 文件屬性選擇“All file”，選中之前壓縮的zip文件，如圖13;
圖13
4.數據加載成功后，鼠標左鍵單擊該手機模型，如圖14;
圖14
5.數據解析完成以后，可以對該iPhone 5C手機中掃描到的行為信息及位置信息進行展示，如圖15;
圖15
6.在解析結果中，可以對該iPhone 5C手機中的應用列表信心進行展示，如圖16;
圖16
通過以上步驟，成功實現了利用iTunes備份出iPhone手機數據，再利用MTF手機可視化行蹤取證系統進行數據解析全過程，成功提取到iPhone 5C手機里的數據。此方法也可以適用于其它型號的iOS設備數據提取。
結語：本期，數據恢復四川省重點實驗室科研人員介紹了利用iTunes備份iPhone數據到使用效率源MTF手機可視化行蹤取證系統對其進行解析的全部過程。目前，在MTF手機可視化行蹤取證系統最新版本中，已經可以直接使用USB提取方式對iPhone手機數據進行備份
和解析，大幅提升了工作效率。
