[发明专利]基于macOS系统的在线取证方法、装置、设备及存储介质

权利要求书

1.一种基于macOS系统的在线取证方法，其特征在于，包括以下步骤：

检测取证对象是否开启了系统保护，所述取证对象为应用macOS操作系统的计算机；

若所述取证对象开启了所述系统保护，则重启所述取证对象进入所述macOS系统的恢复模式以关闭所述系统保护，再重启所述取证对象再次进入所述macOS操作系统；

识别所述取证对象的磁盘或分区采用的文件系统的类别，所述文件系统的类别包括APFS文件系统和HFS+文件系统；

判断所述磁盘或所述分区是否加密，若加密，则进一步对应识别到的所述文件系统的类别对所述磁盘或所述分区进行解密，并从解密后的磁盘或分区中提取明文数据；

其中，所述识别所述取证对象的磁盘或分区采用的文件系统的类别包括以下步骤：读取所述取证对象中所述macOS操作系统的动态I/O注册表数据库；从所述动态I/O注册表数据库中找到I/O块存储驱动程序所在的硬盘存储节点；自所述I/O块存储驱动程序所在的硬盘存储节点开始，往下遍历各硬盘存储节点以获取属性IO Class的值，所述属性IO Class的值为Apple APFS Container Scheme或Core Storage Physical；根据所述属性IO Class的值判断所述取证对象的磁盘或分区采用的文件系统的类别，若所述属性IO Class的值为Apple APFS Container Scheme，则表示所述取证对象的磁盘或分区采用的是APFS文件系统，若所述属性IO Class的值为Core Storage Physical则表示所述取证对象的磁盘或分区采用的是HFS+文件系统；

当识别到的所述磁盘或所述分区为HFS+文件系统时，对所述磁盘或所述分区解密及提取明文数据包括以下步骤：执行对应所述HFS+文件系统的解密命令对所述磁盘或者所述分区进行解密，产生解密后的磁盘或者分区；读取所述解密后的磁盘或者分区中的明文数据，以制作所述解密后的磁盘或者分区中明文数据的镜像；

当识别到的所述磁盘或所述分区为APFS文件系统时，对所述磁盘或所述分区解密及提取明文数据包括以下步骤：执行对应所述APFS文件系统的解密命令对所述磁盘或者所述分区进行解密，解密后的磁盘或者分区中数据以明文数据形式挂载至预设路径下；读取所述预设路径下的明文数据，以直接提取所述明文数据。

2.根据权利要求1所述的基于macOS系统的在线取证方法，其特征在于，若检测到所述取证对象未开启所述系统保护后，或者在重启所述取证对象再次进入所述macOS操作系统后，还包括以下步骤：

加载所述macOS操作系统的内存驱动；

获取所述取证对象的物理内存大小信息和内存数据；

制作所述内存数据的镜像。

3.根据权利要求1所述的基于macOS系统的在线取证方法，其特征在于，在所述识别所述取证对象的磁盘或分区采用的文件系统的类别之前，还包括以下步骤：

制作所述取证对象的磁盘中或分区中的原始数据的镜像；

判断是否能从所述原始数据的镜像解析出明文数据，若是，则直接结束。

4.根据权利要求1所述的基于macOS系统的在线取证方法，其特征在于，所述检测取证对象是否开启了系统保护包括以下步骤：

执行csrutil status命令以查看所述取证对象中所述macOS操作系统的状态；

接收所述执行csrutil status命令后的返回结果，所述返回结果为enabled或disabled；

根据所述返回结果判断所述取证对象是否开启了系统保护，若所述返回结果为enabled，则表示所述取证对象开启了系统保护，若所述返回结果为disabled，则表示所述取证对象未开启系统保护。