iOS Forensic Toolkit сохраняет три типа журналов, но при обращении в техподдержку нам часто не присылают ни одного. В лучшем случае мы получаем текст с экрана консоли, в худшем — более или менее читаемую фотографию экрана. Песок — неважная замена овсу, а фотография монитора (и даже скриншот экрана) — неважная замена полноценным лог-файлам. Сегодня мы расскажем, где их найти и что в них хранится.

Какие проблемы помогают решить журналы?

Чаще всего полные журналы нужны в следующих ситуациях:

• не срабатывает эксплойт загрузчика
• не получается определить версию iOS, и ссылка на прошивку не отображается
• не удаётся подписать агент-экстрактор
• не удаётся установить агента на устройство
• устройство перегружается во время применения эксплойта или во время другой операции

В журналах будет содержаться подробная информация о происходящем, которая поможет нам добраться до сути проблемы.

Почему того, что есть на экране, недостаточно

В iOS Forensic Toolkit реализована многоуровневая система журналирования. Каждая команда сохраняет свой собственный журнал; при установке агента-экстрактора создаётся второй, а агент, работающий на телефоне, выдаёт третий. В консоль выводится только основной лог. Детали установки агента-экстрактора, запросы к сервису установки и работа агента на устройстве пишутся в отдельные файлы и на экран не попадают. Неудачная установка агента выглядит в консоли как одна строка с ошибкой; причина находится в файле, который пользователь не открывал.

Буфер консоли ограничен. В длинной сессии вывод уходит за его пределы, а нужные строки обычно расположены на несколько сотен строк выше ошибки, то есть именно в той части, которая в скриншот не попадает.

Отдельной строкой идут снимки экрана. Скриншот — это ещё неплохо; труднее всего техподдержке приходится тогда, когда приходит фотография монитора. Удачей считается, если на ней удаётся что-нибудь разобрать. Впрочем, даже в таких случаях мы всегда просим прислать лог-файлы, а поскольку хранятся они отдельно от самого инструментария, техподдержка приводит и пути к папкам, в которых они лежат.

Где находятся журналы

В профиле пользователя, в каталоге Elcomsoft/EIFT/logs. На разных платформах различается путь к профилю.

В Windows путь %USERPROFILE%\Elcomsoft\EIFT\logs можно вставить в адресную строку Проводника без изменений; переменная раскрывается автоматически. Каталог создаётся при первом запуске; файлы накапливаются. На системе со скриншота ниже их несколько сотен.

На скриншоте видны три шаблона имён: EIFT__<дата>-<время>.txt, agent_log_<ID устройства>_<дата>-<время>.txt и agent_device_log_<ID устройства>_<дата>-<время>.txt. Метка времени имеет вид YYYY_MM_DD-HH_MM_SS. ID устройства записывается в той же форме, в которой toolkit выводит его в консоль.

Типы журналов

Инструментарий создаёт журналы трёх типов: один общий и два — по работе агента экстрактора.

EIFT: основной лог

В этот файл попадает всё, что инструментарий выводит на экран консоли. Файл создаётся на каждую выполненную команду: info (информация об устройстве), boot (эксплойт загрузчика), agent (установка агента), keychain, tar и остальные. Вместо скриншота экрана или копии текста из консоли нужно присылать именно эти файлы.

agent_log: установка агента и команды агента

Создаётся при установке агента-экстрактора и при выполнении команд keychain и tar. Сюда попадают все запросы и ответы при аутентификации (логин и пароль от Apple ID, который используется для подписи агента, не сохраняются!) и все обращения к сервису установки вместе с его ответами. Если агент не установился, причину нужно искать анализом этого файла.

agent_device_log: агент на устройстве

Сюда попадает информация от агента-экстрактора, запущенного на iPhone. В нём подробно документирована работа эксплойта: адреса в ядре, состояние регистров, промежуточные результаты каждой стадии. Если эксплойт не отработал, сбой нужно искать здесь.

Что отправлять в поддержку

Все файлы неудачного запуска одним архивом.

1. Зафиксируйте время, когда команда завершилась с ошибкой. Имена файлов содержат метку времени с точностью до секунды; нам достаточно приблизительного.
2. Откройте каталог с журналами для вашей ОС (пути выше).
3. Отсортируйте файлы по дате и возьмите все файлы текущего запуска: файл EIFT__, а также agent_log_ и agent_device_log_ с совпадающей меткой времени. В сомнительных случаях берите весь день; файлы небольшие.
4. Упакуйте их в архив и приложите к письму. Чтобы упаковать журналы в архив, выделите нужные файлы, кликните правой кнопкой мыши, и выполните команду Compress.
5. Опишите ваши действия, модель устройства, версию iOS, ожидаемый результат.

О содержимом архива. Логин и пароль от Apple ID, который используется для подписи агента, в журнале не сохраняются. В журналы попадают идентификаторы устройства, версия и сборка iOS, внутреннее состояние эксплойта; agent_device_log содержит адреса в ядре, специфичные для конкретного устройства. Обращайтесь с архивом так, как регламент предписывает обращаться с другими данными, полученными с исследуемого устройства.

Как попасть в каталог с журналами

Windows: вставьте %USERPROFILE%\Elcomsoft\EIFT\logs в адресную строку Проводника или в диалог «Выполнить» (Win+R).

macOS: в Finder нажмите Cmd+Shift+G и вставьте ~/Elcomsoft/EIFT/logs. Если путь нужен в командной строке, перетащите каталог из Finder в окно Terminal; Terminal подставит полный путь.

Linux: cd ~/Elcomsoft/EIFT/logs.

~ в пути означает домашний каталог пользователя, так что в macOS можно в Finder перейти в Home и оттуда зайти в Elcomsoft, потом EIFT, потом в logs. В Linux можно использовать графический файловый менеджер, чаще всего GNOME Files (он же Nautilus), но можно и перейти в нужный каталог в консоли командой cd.

Какие ещё есть журналы?

Основные мы перечислили. В редких случаях может понадобиться журнал serial log, куда пишутся данные, которыми хост обменивается с телефоном (только для эксплойта загрузчика). Этот дополнительный журнал создаётся в файле с именем первого типа (EIFT__), но что именно нужно сделать, чтобы он в создавался — ищите в руководстве пользователя по команде «serial» (она выполняется в отдельном окне консоли). Устройство при этом должно быть подключено через специальный адаптер (стандартный DCSD или Colobus).

В сухом остатке

Три типа файлов: EIFT__ – консоль; agent_log – установка агента-экстрактора; agent_device_log – работа агента на устройстве. Присылайте все файлы в одном архиве.