iOS 手机取证

iOS 设备的数据组织方式与 Android 明显不同。很多 iPhone 取证数据并不是以原始路径直接展示，而是通过备份文件、域名、哈希文件名和 Manifest.db 映射关系保存。理解 iOS 备份结构，是分析 iPhone 检材的基础。

在比赛和案件中，iOS 检材常见形态包括：iTunes 备份、取证工具导出的文件系统、应用沙箱目录、系统数据库和媒体目录。不同提取方式能看到的数据范围不同，分析时应先确认检材类型，再决定分析路径。

一、iOS 备份的基本结构

常见 iTunes 备份目录中可能包含：

Manifest.db
Manifest.plist
Info.plist
Status.plist
多个两级哈希目录

其中：

Info.plist       设备基本信息
Manifest.plist   备份属性、是否加密、版本信息
Manifest.db      备份文件索引和原始路径映射
Status.plist     备份状态

如果备份加密，可能会影响 Keychain、健康数据、Wi-Fi 密码等内容的提取范围。分析前应确认备份是否加密。

二、Manifest.db 的作用

Manifest.db 是 iOS 备份分析的核心。它记录了备份文件与原始路径之间的映射关系。

常见字段包括：

fileID
域名 domain
相对路径 relativePath
文件属性 flags
文件大小
修改时间

iOS 备份中的实际文件名通常是哈希值，不直观。需要通过 Manifest.db 才能知道某个文件原本属于哪个 App、哪个路径。

常见 domain：