Nou pe Linux/Ubuntu și folosesc Hirsute Hippo 21.04. Vreau să folosesc Setul de instrumente de verificare mobil.
Acestea sunt instrucțiuni Eu am:
Decriptarea unei copii de rezervă
În cazul în care aveți o copie de rezervă criptată, va trebui să o decriptați mai întâi. Acest lucru se poate face și cu mvt-ios:
$ mvt-ios decrypt-backup --help
Utilizare: mvt-ios decrypt-backup [OPȚIUNI] BACKUP_PATH
Decriptați o copie de rezervă iTunes criptată
Opțiuni:
-d, --destination TEXT Cale către folderul în care să stocheze fișierele decriptate
backup [obligatoriu]
-p, --password TEXT Parolă de utilizat pentru a decripta backup-ul (sau, set
variabilă de mediu MVT_IOS_BACKUP_PASSWORD)
NOTĂ: Acest argument se exclude reciproc cu
argumente: [key_file].
-k, --key-file PATH Fișier care conține cheia de criptare brută de utilizat pentru decriptare
backup NOTĂ: Acest argument se exclude reciproc
cu argumente: [parolă].
--help Afișează acest mesaj și ieși.
Puteți specifica parola în variabila de mediu MVT_IOS_BACKUP_PASSWORD, sau prin argument de linie de comandă, sau puteți transmite un fișier cheie. Trebuie să specificați o cale de destinație în care va fi stocată backup-ul decriptat. Dacă nu poate fi găsită o parolă și nu este specificat niciun fișier cheie, MVT va cere o parolă. În continuare este un exemplu de utilizare a decriptare-backup trimiterea parolei printr-o variabilă de mediu:
MVT_IOS_BACKUP_PASSWORD="parola mea" mvt-ios decrypt-backup -d /path/to/decrypted /path/to/backup
Alerga mvt-ios pe o copie de rezervă
Odată ce aveți o copie de rezervă decriptată disponibilă pentru analiză, puteți utiliza verificare de rezervă subcomanda:
$ mvt-ios check-backup --help
Utilizare: mvt-ios check-backup [OPȚIUNI] BACKUP_PATH
Extrageți artefacte dintr-o copie de rezervă iTunes
Opțiuni:
-i, --iocs PATH Calea către fișierul cu indicatori
-o, --output PATH Specificați o cale către un folder în care doriți să stocați JSON
rezultate
-f, --fast Evitați rularea funcțiilor care consumă timp/resurse
-l, --list-modules Imprimă lista modulelor disponibile și ieși
-m, --module TEXT Numele unui singur modul pe care ai dori să-l rulezi
toate
--help Afișați acest mesaj și ieșiți.
În continuare este o utilizare de bază a verificare de rezervă:
mvt-ios check-backup --output /path/to/output/ /path/to/backup/udid/
Această comandă va crea câteva fișiere JSON care conțin rezultatele extragerii. Dacă nu specificați a --ieșire opțiune, mvt-ios va procesa doar datele fără a stoca rezultatele pe disc.
Prin --iocs argument, puteți specifica un fișier STIX2 care definește o listă de indicatori rău intenționați pentru a verifica față de înregistrările extrase din backup de către mvt. Orice potrivire va fi evidențiată în ieșirea terminalului, precum și salvată în folderul de ieșire folosind a "_detectat" sufix la numele fișierului JSON.
Am probleme la rularea comenzii de decriptare în terminal.
Primesc următoarele:
a@a:~/Peg/mvt$ mvt-ios decrypt-backup -d ~/Peg/iPhonedecryp
Utilizare: mvt-ios decrypt-backup [OPȚIUNI] BACKUP_PATH
Încercați „mvt-ios decrypt-backup --help” pentru ajutor.
Eroare: lipsește argumentul „BACKUP_PATH”.
Ce fac incorect?
