跳转至

macOS

相对于用户数量庞大的 Windows 用户，macOS 题目在近几年取证比赛中出现得较少，通常更依赖于对取证工具和 Unix 系统结构的熟悉程度。只要能把图形化工具和常见系统痕迹结合起来，整体难度通常不高。

macOS 系统简介

可先参考 Mac OS 的系统背景说明，再配合实际镜像熟悉用户目录、应用目录与浏览器、邮件、相册等常见证据位置。

macOS 仿真与快速上手

苹果生态较封闭，macOS 大多预装在苹果设备上，因此直接在普通 PC 上完整复现比赛环境并不总是容易。更实用的思路是：

  • 先用综合取证工具浏览用户目录、浏览记录、终端历史与应用数据。
  • 仿真失败或无法绕过开机密码时，仍然可以从镜像文件本身完成大部分题目。
  • 熟悉 Linux 风格目录结构会明显提升定位效率。
  • 常见线索入口通常包括系统配置、浏览器数据、终端历史与用户缓存。
Text Only
HardwareConfig.json
~/.bash_history
~/Library/
/Users/<user>/Library/

macOS 取证相关工具

  • 美亚取证大师
  • 各类仿真工具

真题解析与小技巧

macOS 相关题目较少，这里仍以美亚杯 2019 年赛题为例。

1. 考察镜像信息

2019 美亚杯 macOS 镜像信息题目

其中 55、57、58 题可以直接通过取证工具获取，难点往往在硬件信息。这里不要直接用仿真环境读取配置，因为那样看到的是当前虚拟机分配的硬件信息，而不是原始检材信息。

macOS 中名为 HardwareConfig.json 的文件会记录最近一次的硬件配置，包含 CPU、内存等内容，直接检索这个文件通常就能定位答案。

HardwareConfig.json 文件中的硬件信息

2. 考察证据文件搜集

2019 美亚杯 macOS 证据文件搜集题目

取证工具通常不具备足够强的 OCR 搜索能力，镜像中无关图片又可能很多，这时经常需要回到终端历史里找线索。

bash 历史中的可疑操作记录

从终端命令记录中能看到对指定目录下图片文件的批量操作，其中 modify 文件最可疑，继续定位到对应目录即可找到目标图片。

通过命令历史定位到目标图片目录

3. 考察浏览痕迹

2019 美亚杯 macOS 浏览痕迹题目

这一类题通常属于基础分，直接通过取证工具查看 Safari、Chrome 等浏览器记录即可。

浏览痕迹解析结果示例一

浏览痕迹解析结果示例二

相关网站信息获取