iOS Forensics MCP Server

iOS Forensics MCP Server

一个用于分析 iOS 文件系统的取证分析服务，采用 Model Context Protocol（MCP）。该项目使 Claude 等 AI 助手能够访问并分析提取的 iOS 文件系统，以用于数字取证。

🔍 概述

iOS Forensics MCP Server 提供了用于分析 iOS 设备提取数据的工具，重点包括：

• 文件系统分析
• 使用 WAL 取证技术解析 SQLite 数据库
• Property List（plist）解析
• iOS 痕迹分析（消息、通话记录、联系人、位置等）
• 时间线生成
• 取证报告

本工具旨在用于教育和学习，让用户能够通过 AI 助手探索和分析 iOS 数据。

🚀 功能

• 文件系统工具

  • 目录导航与元数据分析
  • 文件内容查看与类型识别
  • 按内容和模式搜索文件

• SQLite 分析

  • 数据库发现与架构分析
  • 安全执行查询并处理 WAL
  • 从 freelist 页面恢复已删除记录
  • 数据库雕刻，进行深入取证分析

• Plist 分析

  • 二进制和 XML plist 解析
  • 使用查询路径提取值
  • 时间戳分析

• 专用 iOS 解析器

  • 消息分析器（SMS/iMessage）
  • 通话记录分析器
  • 联系人分析器
  • 位置数据分析器
  • 浏览器历史记录分析器
  • 照片地理位置提取器
  • App 数据分析器

• 高级分析

  • 跨多个数据源生成时间线
  • 识别模式以分析用户行为
  • 已删除数据恢复
  • 综合报告

📋 要求

• Python 3.9+
• 兼容 MCP 的客户端（Claude Desktop、Claude Code、带 MCP 插件的 VS Code 等）
• 提取的 iOS 文件系统（可访问的目录）

📦 安装

使用 uv

# Install using uv
uv install ios-forensics-mcp

从源代码安装

# Clone the repository
git clone https://github.com/RLabs-Inc/ios-forensics-mcp.git
cd ios-forensics-mcp

# Install dependencies (automatically uses editable mode)
uv sync

Claude Desktop 设置

将 MCP 服务添加到 Claude Desktop 配置文件中（通常位于 ~/.claude/config.json，或根据操作系统位于类似路径）：

{
  "mcpServers": {
    "ios-forensics": {
      "command": "uv",
      "args": [
        "run",
        "ios-forensics-mcp",
        "--root-path",
        "/path/to/ios_extraction"
      ]
    }
  }
}

添加此配置后，重启 Claude Desktop，iOS Forensics MCP 服务就会显示在可用服务列表中。

与 Claude 配合使用

服务运行并配置到 Claude 后，你可以开始提出取证问题：

• “你能显示此设备上的 SMS 消息吗？”
• “从这台 iPhone 提取位置数据并创建时间线”
• “分析通话历史，并显示联系频繁的号码”
• “在 SMS 数据库中查找已删除的消息”
• “生成一份 3 月 15 日所有活动的报告”
• “此设备上安装了哪些 App？”
• “显示此设备最后一次已知的位置”
• “提取照片及其地理位置数据”
• “分析浏览器历史记录，查找可疑活动”
• “查找所有包含电话号码的联系人”

Claude Code 集成

要在 Claude Code 中使用 iOS Forensics MCP，需要将其添加为 MCP 服务。首先确保已安装 Claude Code：

# Install Claude Code if not already installed
npm install -g @anthropic-ai/claude-code

然后将 iOS Forensics MCP 服务添加到 Claude Code：

# Add the MCP server to Claude Code
claude mcp add ios-forensics uv run ios-forensics-mcp --root-path /path/to/ios_extraction

# Or if you want to share with everyone in your project (creates .mcp.json)
claude mcp add ios-forensics -s project uv run ios-forensics-mcp --root-path /path/to/ios_extraction

# To verify the server was added
claude mcp get ios-forensics

你也可以将此 MCP 服务从 Claude Desktop 导入到 Claude Code：

# Import servers from Claude Desktop
claude mcp add-from-claude-desktop

🔧 配置

创建配置文件（config.json）来设置 iOS 取证环境：

{
  "ios_filesystem": {
    "root_path": "/path/to/ios_extraction",
    "read_only": true
  },
  "server": {
    "port": 8080,
    "host": "127.0.0.1"
  }
}

🚀 使用方法

启动 MCP 服务

# Start with default config
ios-forensics-mcp

# Start with specific config file
ios-forensics-mcp --config /path/to/config.json

# Start with specific iOS root path
ios-forensics-mcp --root-path /path/to/ios_extraction

🗂️ 项目结构

ios_forensics_mcp/
├── tools/              # Tool implementations
│   ├── filesystem/     # File system tools
│   ├── sqlite/         # SQLite analysis tools
│   ├── plist/          # Property List tools
│   ├── specialized/    # iOS-specific artifact parsers
│   └── advanced/       # Advanced analysis tools
├── utils/              # Utility functions
├── models/             # Data models
└── tests/              # Test cases

📚 文档

如需了解每个工具及其功能的详细文档，请参阅文档。

🛡️ 安全注意事项

此工具以执行它的用户权限运行，并可据此访问文件系统。为确保安全：

• 始终以只读模式运行，以保全证据
• 验证路径，防止目录遍历
• 使用专用的非特权用户运行服务
• 限制对提取的 iOS 文件系统的访问

📝 许可证

本项目采用 MIT License 授权，详情请参阅 LICENSE 文件。

🤝 贡献

欢迎贡献！欢迎提交 Pull Request。

🙏 致谢

• 感谢数字取证社区对 iOS 相关数据的研究和文档编写
• 感谢 MCP 社区创建了让此工具成为可能的协议