前言:
苹果手机用户通常会将手机备份到电脑上,而备份文件通常不会自动删除。在我们电脑取证,或者* * *到一台电脑后可以通过python脚本获取到备份文件中的一些隐私信息,比如照片,视频、相关软件中的一些账号,联系信息等等。但是我们进入到备份文件目录,会发现文件都没有后缀名,而且很乱。似乎没有什么用。我们看到的如下:
备份目录(这个):C: \ \你用户的用户名\ AppData \漫游\苹果电脑备份\ \ MobileSync \
<代码>在备份文件的根目录下有个Manifest.db文件,用数据库管理工具打开后如下:
<代码>经过观察可以猜测文件标识就是文件名,文件名的前面两个字符是所在文件夹的名称,如文件夹“12”,域名字段应该保存的是文件相关的软件信息,可以大致看出是哪个软件的文件.relativePath保存的是文件的原始路径信息和文件相关的内容。 文件里还有很多sqlite的数据库文件,我们都可以通过这个库查出相关的文件,然后用文件标识这个字段的值去备份文件夹中搜索出来,然后用数据库工具打开查看,也可以直接通过python脚本连接。
下图打开好像是大众点评的一个文件,里面有坐标信息,可以绘制用户的位置活动情况,其他信息类似获取
<代码>通过调用百度地图等api可以获取到其坐标信息,好接下来看看怎么把照片,视频等从这些文件中分类出来吧。用到的库有文件类型,getpass,操作系统等.filetype是python判断文件名类型的库,getpass用来获取当前系统名,os python操作系统相关的库。通过遍历文件类型,将图片和视频复制到其他地方保存。
系统:这个64位
python: 3.6版本
导入文件类型
进口os
进口shutil进口getpass
def main ():
#获取系统当前登陆用户名
用户名=getpass.getuser ()
#苹果手机默认备份文件路径(这个系统下)
apple_bak_path=r" C: {} \ AppData \ \用户漫游\苹果电脑\ MobileSync \ Backup" .format(用户名)
#如果备份路径存在,则遍历文件夹下的所有文件
如果os.path.exists (apple_bak_path):
g=os.walk (apple_bak_path)
路径,d, g的文件列表:
文件名的文件列表:
文件=os.path.join(路径,文件名)
打印(文件)
#获取文件类型信息
类型=filetype.guess(文件)
如果没有:
打印(“猜不到文件类型!”)
#如果文件类型是jpg,则复制文件到其他地方
elif kind.extension==癹pg”:
打印(文件名)
shutil.copyfile(文件,“d: \新\ jpg \ {} . jpg”.format(文件名))
#如果文件类型是MP4,则复制文件到其他地方
elif kind.extension==癕P4”:
shutil.copyfile(文件,“d: \新\ MP4 \ {} MP4 .format(文件名))
:
打印(“没有发现苹果手机备份文件!“)
如果<强>名称==的主要<强> :
主要()
其他文件类型类似操作,手机中的其他信息感兴趣的朋友可以继续挖掘。
