论著
姜贤波, 张耀国, 康艳荣, 邢桂东, 郭丽莉, 赵露, 张倩, 鲍梦湖, 王博, 杨昆林, 聂雷航, 楚川红
预出版日期: 2026-08-03
随着智能手机在现代社会中的广泛普及,移动设备已成为刑事调查中重要的数字证据载体。尤其在用户行为溯源与案件时间线重建等场景中,锁屏状态与应用使用记录等日志信息具有极高的取证价值。然而,由于苹果设备所采用的封闭式操作系统与高度安全机制,当前国内主流取证工具在提取此类关键行为日志时仍面临较大技术挑战。本文聚焦于 iOS 系统中锁屏事件与应用使用日志的存储机制,系统性地分析了该类日志在文件系统中的存储路径及数据结构特征。通过对多款不同机型与 iOS 版本设备的实证检验,确认相关记录以结构化形式存储于 knowledgeC.db 的 SQLite 数据库中。在此基础上,评估了当前主流数字取证工具对此类数据的提取能力,并指出了其主要局限性。为弥补现有不足,本文设计并实现了一款 iOS 日志提取与分析工具。该工具支持加载数据库文件,自动解析锁屏与应用使用事件,并提供时间段分析功能,可对任意时间区间内的解锁会话及行为事件进行聚合与时序重构。实验结果显示,该工具可有效补充现有取证手段。所开发工具不仅在实验室验证中表现良好,在实际案件中亦成功应用于时间轴重建与嫌疑人行为分析,证实了其可靠性和应用价值。