macOS取证分析——Safari浏览器、Apple Mail数据和Recents数据库

Safari是苹果设备的默认网络浏览器，会留下各种有助于取证分析的痕迹。这些痕迹存储的信息包括浏览历史记录、会话详情、缓存文件和访问网站的缩略图。了解Safari在 macOS上存储数据的位置和方式可以帮助调查人员获取更多有价值的信息。

Safari关键数据存储位置

Safari可在macOS中存储不同类型的数据。以下是可以找到取证痕迹的主要位置：

~/Library/Safari/

~/Library/Containers/com.apple.safari/

这些目录包含各种类型的浏览器相关数据，包括

• 浏览历史
• 缓存文件
• 会话信息
• 标签快照和缩略图
• 下载文件
• Cookies

Safari浏览历史

Safari会在名为History.db的SQLite数据库文件中跟踪用户的浏览活动。根据设备的不同，该数据库的位置也不尽相同。

macOS：~/Library/Safari/History.db

保存期限 

macOS：历史记录最长可存储一年（默认），但可配置为保留较短时间（一个月、两周、一周或一天）的数据。

跟踪iCloud同步的浏览活动

如果使用iCloud在不同设备间同步Safari历史记录，History.db中的来源字段将显示页面的访问位置：

• 0—在此设备上访问过
• 1—在其他连接iCloud的设备上访问过

History.db 中的两个主表存储着关键数据：

• history_items——存储URL、域名和访问次数。
• history_visits——包含访问时间戳（Mac Epoch格式）和网页标题。

Safari会话数据

Safari会保存与会话相关的信息，以帮助重建用户的上次浏览会话。在macOS上，会话数据的存储方式有所不同。

macOS：LastSession.plist (~/Library/Safari/LastSession.plist)

• 以二进制plist格式存储标签页历史记录。
• 如果未加密，则包含标签标识符、网页标题和URL。

Safari缩略图和快照

Safari可捕捉标签快照和缩略图，为打开的网页提供