[포렌식] 아이폰 카카오톡 복호화 분석 및 구현
[포렌식] 아이폰 카카오톡 복호화 분석 및 구현
2025.06.29본 글은 언제든지 비공개 되거나, 삭제될수 있음을 미리 알려드립니다. (뭐,, 카카오톡 본사에서 글 내려라 하지 않는 이상 없어지진 않지 않을까...?)모바일 메신저는 디지털 포렌식에서 핵심적인 증거원이지만, 대부분의 앱은 사용자 프라이버시 보호를 위해 메시지 데이터베이스에 암호화를 적용한다. 본 분석에서는 iOS 기반 카카오톡 앱에서의 암호화 방식과 그 복호화 가능성에 대해 다룬다. Message.sqlite 파일을 중심으로 접근하며, 관련 선행 사례 및 실험 결과를 종합하였다.아이폰 카카오톡 포렌식의 경우 이미 많은 상용도구에서 진행되고 있다. 예를 들어 MD-RED, Magnet Axiom, BelkaSoft Evidence X 등,, 하지만 아래 논문에서와 같이, 일부 상용도구에서는 데이터의 양이..
[25년 5월] 아이폰 1110 오류 / 무한 사과 / 저장공간 꽉참 데이터 복구 해결건
[25년 5월] 아이폰 1110 오류 / 무한 사과 / 저장공간 꽉참 데이터 복구 해결건
2025.05.24안녕하세요, 이번에는 1년전 저에게 맡기셨던 의뢰자분이 다시한번 연락을 주셨습니다.최근 새로운 기술 도입으로 복구률이 매우 증가하였고,이전에 의뢰하신분도 생각이 나서 바로 의뢰에 착수하였습니다.이 글은, 실제 데이터 복구 요청을 받아 작업을 진행하였습니다.해당 의뢰를 원하신다면 하단의 연락쳐로 연락주세요! 한달에는 많게는 4~5건, 여러건에 대해서 문의가 들어오고 있습니다.애플 공식 서비스센터에서는 1110 에러에 대해서는 초기화 밖에 답이 없다고 하지만,저는 의뢰자 분들의 소중한 데이터를 위해서 항상 연구 하고 있습니다.택배로 의뢰자 분의 기기를 받아보았으며, 2025년 5월 22일에 보내주셔서 5월 23일에 받아보게 되었습니다.택배가 오는 과정에서 손상이 없도록 뽁뽁이로 잘 감싸주셨습니다.외관상으로 ..
카카오톡 포렌식 도구 개발 - Windows, iOS, Android, Mac 운영체제 카카오톡 디비 복호화
카카오톡 포렌식 도구 개발 - Windows, iOS, Android, Mac 운영체제 카카오톡 디비 복호화
2025.01.03오랜만에 블로그에 글을 작성하는것 같네요,,아마 전체적으로 만드는데 1년 정도 걸린것 같은데, 개발된 프로그램에 대해 살짝 소개해보려고 합니다.먼저 목적은 아직 상용 포렌식 도구에서 안드로이드, 윈도우, 아이폰, 맥북을 통합적으로 지원하는 도구를 확인하지 못했습니다.(혹시라도 알고 계시다면,, 댓글로 알려주세요)그래서 통합 플랫폼 카카오톡 디비 복호화 도구를 제작해 보는건 어떨까 싶어서 한번 간단하게 제작해본 프로그램입니다.일단 시연 영상먼저,,, 먼저 주요 기능은 다음과 같습니다.1. 윈도우 PC에서 물리 기기 / 논리 폴더 설정 등을 통해 카카오톡 데이터 복호화2. 안드로이드 기기 연결 및 즉시 복호화 / 또는 백업 파일로 카카오톡 데이터 복호화3. 아아폰 기기 연결 및 즉시 복호화 / 또는 백업 ..
아이폰 1110 오류 해결 / 아이폰 15Pro & 13Pro / 무한 부팅 증상 오류 해결
아이폰 1110 오류 해결 / 아이폰 15Pro & 13Pro / 무한 부팅 증상 오류 해결
2024.07.09아이폰 1110 오류 해결 및 무한 부팅 증상 해결 + 데이터 복구 성공이 글은, 실제 디지털 포렌식 요청을 받아 작업을 진행하였습니다. 해당 의뢰를 원하신다면 메일 또는 아래 연락처 통해 연락주시길 바라겠습니다.최대한의 합리적인 금액으로 복구 및 수리를 도와드리고 있습니다. 의뢰자 분꼐서는 뽁뽁이로 잘 감싸서 물건을 보내주셨습니다. 일단 먼저 증상을 확인 하는 작업을 진행했습니다.보내주신 물건 위쪽 상단에 액정 손상이 있어 의뢰자분에게 바로 연락을 드렸습니다. 다행히도 원래 부터 있던 필름 손상이라 하셔서 정말 다행이었습니다.!의뢰자 분께서는 15Pro 1TB 모델과 13Pro 1TB 모델, 총 2대의 아이폰을 발송해 주셨는데요, 외관상 손상은 없어보였으며, 물리적으로 1110오류가 발생하는 경우는 드..
[iOS Forensics] iPhone Wallet Pass (지갑) 포렌식
[iOS Forensics] iPhone Wallet Pass (지갑) 포렌식
2021.02.12Phone에 저장되어있는 지갑을 포렌식 해보도록 하겠습니다.먼저 아이폰의 백업 파일을 추출해서 사용하겠습니다. 상황에 따라 본인에 맡게 사용하시면 될거 같습니다. 백업 파일 추출에 관해서 연락이 많은데, 이 부분에 대해서는 현재 아이폰 포렌식 도구를 만들고 있습니다.github.com/kim-do-hyeon/iphone-forensicskim-do-hyeon/iphone-forensicsiPhone Forensics Tool. Contribute to kim-do-hyeon/iphone-forensics development by creating an account on GitHub.github.com해당 도구를 사용하시면 추출이 가능합니다.먼저 Wallet Pass가 저장되어 있는 데이터베이스의 위치는..
[iOS Forensics] iPhone SMS (문자) 포렌식
[iOS Forensics] iPhone SMS (문자) 포렌식
2021.02.10Phone에 저장되어있는 캘린더를 포렌식 해보도록 하겠습니다. 먼저 아이폰의 백업 파일을 추출해서 사용하겠습니다. 상황에 따라 본인에 맡게 사용하시면 될거 같습니다. 백업 파일 추출에 관해서 연락이 많은데, 이 부분에 대해서는 현재 아이폰 포렌식 도구를 만들고 있습니다. github.com/kim-do-hyeon/iphone-forensics kim-do-hyeon/iphone-forensics iPhone Forensics Tool. Contribute to kim-do-hyeon/iphone-forensics development by creating an account on GitHub. github.com 해당 도구를 사용하시면 추출이 가능합니다. 먼저 SMS가 저장되어 있는 데이터베이스의 위치는..
[iOS Forensics] iPhone 캘린더 포렌식
[iOS Forensics] iPhone 캘린더 포렌식
2021.02.09iPhone에 저장되어있는 캘린더를 포렌식 해보도록 하겠습니다. 먼저 아이폰의 백업 파일을 추출해서 사용하겠습니다. 상황에 따라 본인에 맡게 사용하시면 될거 같습니다. 백업 파일 추출에 관해서 연락이 많은데, 이 부분에 대해서는 현재 아이폰 포렌식 도구를 만들고 있습니다. github.com/kim-do-hyeon/iphone-forensics kim-do-hyeon/iphone-forensics iPhone Forensics Tool. Contribute to kim-do-hyeon/iphone-forensics development by creating an account on GitHub. github.com 해당 도구를 사용하시면 추출이 가능합니다. 먼저 캘린더가 저장되어 있는 데이터베이스의 위치..
[iOS Forensics] iPhone 메모장 포렌식 (메모 내용 추출)
[iOS Forensics] iPhone 메모장 포렌식 (메모 내용 추출)
2020.04.21오늘은 iPhone에 저장되어있는 메모장에 저장되어 있는 내용들을 추출해서 분석해 보도록 하겠습니다. 먼저 저는 iPhone6 / 12.3.1 / JailBreak 을 사용하였습니다. 먼저 메모가 저장되어 있는 위치는 아래와 같습니다. \private\var\mobile\Containers\Shared\AppGroup\[AppID]\NoteStore.sqlite 테이블 구조는 위 사진과 같습니다. ACHANGE, ATRANSACTION, ATRANSACTIONSTRING, ZICCLOUDSTATE, ZICCLOUDSYNCINGOBJECT, ZICLOCATION 등등이 존재 합니다. 저장한 메모의 문자열은 ZICCLOUDSYNCINGOBJECT 테이블의 ZTITLE1 칼럼에 존재합니다. 위 사진을 보면 문..
[ios Forensics] 아이폰 가려진 사진 포렌식 (iPhone Hide Photo Forensics)
[ios Forensics] 아이폰 가려진 사진 포렌식 (iPhone Hide Photo Forensics)
2020.04.16오늘은 아이폰 기본 기능 중 "가리기" 기능을 통해서 가려진 사진도 포렌식이 되는지 확인해 보도록 하겠습니다. 가리기 기능은 갤러리에서 사진을 선택후 옵션 버튼을 통해서 가리기를 사용할 수 있습니다. 먼저 저는 6개의 사진을 가려보았습니다. 이제 분석을 진행해 보도록 하겠습니다. 먼저 Axiom을 실행시켜주고, 새로운 케이스 생성을 클릭해줍니다. 케이스 번호와, 케이스 유형, 파일 경로, 스캔한 사람에 대해서 작성해 주고, 증거 소스로 이동해 줍니다. 저는 미리 이미징을 떠두지 않고, 이미징과 동시에 분석을 진행해 보려고 합니다. 아이폰을 연결하고, 위 사진과 같이 증거를 탑재합니다. 아이폰이 탈옥이 되어 있다면, 전체 이미징 기능이 활성화 되있을 것입니다. 하지만 탈옥이 되어 있지 않다면, 빠른 이미징..
[ios Forensics] 아이폰 카카오톡 포렌식 - #1 DB 추출
[ios Forensics] 아이폰 카카오톡 포렌식 - #1 DB 추출
2020.04.03오늘은 아이폰에서 카카오톡 DB를 추출해 보도록 하겠습니다. 먼저 준비물입니다! 1. 아이폰 (탈옥되어있어야한다.) 2. 분석이 가능한 컴퓨터 3. 근성 위 세가지만 가지고 계시다면 충분히 카카오톡 포렌식을 할수 있다고 생각합니다! 바로 본론으로 들어가겠습니다. 먼저 탈옥된 아이폰은 컴퓨터와 연결해줍니다. iFunBox 같은 프로그램을 통해서 데이터 베이스를 추출할겁니다. iFunBox의 사용법과 설치 방법은 아래 링크를 참조해주세요! https://blog.system32.kr/66?category=824834 [ios Forensics] 아이폰 Safari 포렌식 (히스토리, 북마크) 아이폰 Safari 포렌식이다. (그닥 어렵지 않다.) [ Requirement ] iphone with jailbr..
MAGNET Axiom - User Guide (Korean) #8 이미징 모바일 장치
MAGNET Axiom - User Guide (Korean) #8 이미징 모바일 장치
2020.03.05[ Magnet Axiom Process ] (Reference : Magnet Axiom Korean User Guide) // Thanks Magnet Forensics Company! 참고 ) 본 Magnet Axiom Korean User Guide를 참고해도 된다고 허락을 구했습니다! 중요한 단계만 보려면 굵은 글씨를 따라가도록 하자. 필자는 저번 시간에 이미지 수집을 위한 모바일 장치 준비에 대해서 다뤘었다. 오늘은 이미징 모바일 장치에 대해서 다루도록 하겠습니다. 모바일 장치를 이미징 하기 전에 장치를 올바르게 준비했는지 확인하자. 더욱 상세한 정보를 알아보려면 "이미지 수집을 위한 모바일 장치 준비"을 참고하도록 하자 수집할 수 있는 이미지에는 두 가지 유형이 있습니다. 빠른 이미지는 사용..
[ios Forensics] 아이폰 Safari 포렌식 - 방문기록, 히스토리
[ios Forensics] 아이폰 Safari 포렌식 - 방문기록, 히스토리
2020.02.23https://blog.system32.kr/66?category=824834 [ios Forensics] 아이폰 Safari 포렌식 (히스토리, 북마크) 아이폰 Safari 포렌식이다. (그닥 어렵지 않다.) [ Requirement ] iphone with jailbreak (필자는 iphone6 / 12.3.1 사용중이며 Checkra1n으로 탈옥하였다.) ifunbox (필자는 ifunbox 를 사용하였지만 그냥 scp를.. blog.system32.kr 기존의 방법과 같은데 위에서 언급한 방법은 방문 기록, 히스토리가 아닌, 북마크와 즐겨찾기의 기록이었다. 오늘은 정확한 방문 기록, 히스토리 포렌식에 대해서 다루도록 하겠다. \private\var\mobile\Containers\Data\App..
MAGNET Axiom - IOS Forensics #3 채팅 분석
MAGNET Axiom - IOS Forensics #3 채팅 분석
2020.01.09채팅분석 #1 - iOS iMessage/SMS/MMS 분석입니다. 2020-01-09 필자는 100% 검사를 대략 2시간만에 완료했습니다. (아이폰6) 아티팩트를 살펴 보니 18,446개의 증거파일이 존재한다고 합니다. 먼저 채팅관련부분을 살펴보겠습니다. 채팅 관련 부분에서는 IOS IMessage/SMS/MMS 등을 파악할수 있었습니다. 먼저 범주로는 보낸사람, 메시지, 메시지 보낸 날짜/시간, 받는사람, 유형, 상태, 메시지 배달 날짜/시간, 메시지를 읽은 시간, 첨부파일, 첨부파일 복구됨, Sent By Siri, 소스, 복구방법, 삭제된 출처, 위치 등을 파악할수 있습니다. 자세히 알아보도록 하겠습니다. 1. 보낸사람 : 즉 말그대로, 보낸사람의 이메일 명 또는 전화번호를 표시합니다. 2. 메시..
MAGNET Axiom - IOS Forensics #2
MAGNET Axiom - IOS Forensics #2
2020.01.07이어서 작성하겠습니다. 이미지 빌드 경과 10분후 이미지 해시 계산으로 넘어갔습니다. 이미지 해시 계산이 완료되니 MAGNET Axiom Examine으로 자동으로 넘어가졌습니다. 자동으로 검색이 진행중이고, Examine으로 분석이 가능합니다. 증거 처리가 되고 있는 상황을 확인할 수 있습니다. 케이스 대시보드에는 케이스 개요, 증거 개요 등이 있습니다. 컴퓨터 사양이 딸려 일단 잠시 멈추고 분석하겠습니다. 미디어 옵션으로 들어가면 833개의 미디어가 검출된것을 확인할 수 있습니다. 하지만 아직 8%여서 그런지 제가 다운 받아논 사진은 보이지 않습니다. 미리보기와 세부 정보를 지원합니다. 파일 이름, 확장자, 마지막 수정 날짜, 크기, MD5, SHA1 을 알려주고 있습니다. /Library/Mobil..
MAGNET Axiom - IOS Forensics #1
MAGNET Axiom - IOS Forensics #1
2020.01.07기회가 되어서 마그넷 회사의 axiom 디지털 포렌식 툴을 사용하게 되었습니다. 늘 감사드립니다. 필자는 진행 중이던 분석이 없으므로 새로운 케이스를 만들어 줘야 합니다. 케이스 번호, 케이스 유형, 케이스 파일 저장 위치 등등을 입력할 수 있습니다. 필자는 새로운 케이스를 생성해 줬습니다. 증거 소스를 선택해 줘야 합니다. 증거 소스로는 컴퓨터, 모바일, 클라우드가 있습니다. 클라우드는 어떤 기능을 가지고 있을지,, 필자는 항상 궁금했습니다. Magnet Axiom ios forensics을 꼭 한번 써보고 싶다. 이번에 기회가 되어 어서 빠르게 분석해보겠습니다. (필자는 아이폰을 포렌식 할 거여서 모바일을 선택했습니다.) 증거 로드, 증거 인식, GRAYKEY에 연결 기능이 있습니다. GRAYKEY에..