Ios Forensics MCP

🚀 iOS 法醫 MCP 服務器

這是一個用於分析 iOS 文件系統的法醫分析服務器，藉助模型上下文協議（MCP），能讓像 Claude 這樣的 AI 助手訪問並分析提取的 iOS 文件系統，助力數字取證工作。

🚀 快速開始

iOS 法醫 MCP 服務器提供了分析 iOS 設備提取文件的工具，可進行文件系統分析、SQLite 數據庫解析、屬性列表（plist）解析等工作，還能生成時間線和法證報告。該項目設計為教育/學習工具，允許用戶與 AI 助手交互以探索和分析 iOS 數據。

安裝說明

1. 從源代碼安裝 克隆倉庫並運行安裝腳本：

git clone https://github.com/rlabs-inc/ios-forensics-mcp.git
cd ios-forensics-mcp
./install.sh

2. 依賴管理 使用 requirements.txt 管理 Python 依賴項。
3. 配置文件 創建並編輯 config.json 文件以設置分析參數。

配置示例

{
  "tools": {
    "sqlite": {
      "enabled": true,
      "database_path": "/path/to/databases"
    },
    "plist": {
      "enabled": true,
      "plist_path": "/path/to/plists"
    }
  },
  "logging": {
    "level": "INFO",
    "output_file": "analysis.log"
  }
}

啟動 MCP 服務器

# 使用默認配置啟動
ios-forensics-mcp

# 指定配置文件啟動
ios-forensics-mcp --config /path/to/config.json

# 指定 iOS 根目錄路徑
ios-forensics-mcp --root-path /path/to/ios_extraction

✨ 主要特性

• 文件系統工具
  • 可進行目錄導航及元數據解析。
  • 能查看文件內容並識別文件類型。
  • 支持通過內容和模式匹配進行文件搜索。
• SQLite 分析
  • 可發現數據庫並解析其架構。
  • 能安全執行查詢（包括 WAL 處理）。
  • 可恢復自由列表頁中的已刪除記錄。
  • 支持數據庫切割以實現深度法證分析。
• plist 分析
  • 能解析二進制和 XML plist。
  • 可提取值並轉換為結構化數據。
  • 能識別並重建已刪除項目。
• 特殊功能
  • 可解析信息日誌。
  • 能收集應用日誌。
  • 可分析系統緩存。

📦 安裝指南

系統要求

• 操作系統：Linux、macOS 或 Windows（通過 WSL 支持）
• Python 版本：3.8 或更高版本
• 權限：僅讀模式運行以保護證據完整性

安裝步驟

1. 從源代碼安裝 克隆倉庫並運行安裝腳本：

git clone https://github.com/rlabs-inc/ios-forensics-mcp.git
cd ios-forensics-mcp
./install.sh

2. 依賴管理 使用 requirements.txt 管理 Python 依賴項。
3. 配置文件 創建並編輯 config.json 文件以設置分析參數。

💻 使用示例

基礎用法

啟動 MCP 服務器：

# 使用默認配置啟動
ios-forensics-mcp

高級用法

指定配置文件和 iOS 根目錄路徑啟動：

# 指定配置文件啟動
ios-forensics-mcp --config /path/to/config.json

# 指定 iOS 根目錄路徑
ios-forensics-mcp --root-path /path/to/ios_extraction

📚 詳細文檔

關於每個工具及其功能的詳細文檔，請參閱文檔。

🔧 技術細節

此工具以執行用戶的權限運行，並相應地訪問文件系統。安全建議：

• 總是以只讀模式運行以保護證據
• 驗證路徑以防止目錄遍歷攻擊
• 使用無特權的專用用戶來運行服務器
• 限制對提取的 iOS 文件系統的訪問

📄 許可證

該項目在 MIT 許可證下發行。詳細信息請參閱 LICENSE 文件。

🤝 貢獻

歡迎貢獻！請隨意提交 Pull Request。

🙏 致謝

• 感謝數字取證社區對 iOS 遺留的研究和文檔
• 感謝 MCP 社區創建使得此工具成為可能的協議