在曩昔几年中，智能可穿戴设备的运用明显添加。2019年智能手表销量达1.41亿部，智能可穿戴设备销量同比增加近一倍。在剧烈的商场竞争中，Apple Watch占有了主导地位，2019年可穿戴设备销量超越2250万台，占有了全球商场近一半的比例。 从2019年开端，苹果一共出产了五种不同类型的WatchOS。WatchOS是一款根据iOS的可穿戴操作系统，专门为Apple Watch开发。 2019年，希瑟•马力克(Heather Mahalik)和萨拉•爱德华兹(Sarah Edwards)对Apple Watch进行了开端的立异研讨，该演示文稿能够在Sarah Edwards的GitHub账户上找到(PDF)。 从那时起，就没有多少关于怎么从这类设备中提取数据的研讨。在曩昔的几个月里，我一直在研讨怎么提取和剖析存储在Apple Watch内存中的数据。 在取证剖析方面，正如在之前的文章所评论的，咱们有三个挑选: · 1.获取配对的iPhone的备份； · 2.直接将Apple Watch连接到电脑上； · 3.云(提取同步的健康数据)； 剖析配对iPhone的备份 iPhone的逻辑提取是众所周知的，你能够经过iTunes，或许运用你挑选的取证东西(例如Elcomsoft iOS取证东西包) 备份iPhone。 一旦提取了iPhone备份，就能够对其进行剖析，以取得配对的Apple Watch的信息。在本文中，我将运用两个很棒的东西，分别是Windows和MacOS都可用的iBackupBot和Windows的SQLite Expert，咱们能够经过剖析规格类型来开端查询Apple Watch。 在HomeDomainLibraryDeviceRegistry.state文件夹中，咱们能够找到以下四个文件： · historySecureProperties.plist · stateMachine-.PLIST · activestatemachine.plist · history.plist

historySecureProperties.plist文件包括配对Apple Watch的序列号、UDID (UniqueDeviceIdentifier)、Wi-Fi Mac地址和BT Mac地址。

stateMachine- .PLIST文件包括配对状况(一般包括值PairSuccess)、配对时装置在Apple Watch上的WatchOS版别和配对时刻戳(以Apple Cocoa Core Data格局存储)。

activestatemachine.plist包括与stateMachine- .PLIST相似的信息，并且在进行备份时添加了在设备上装置的WatchOS版别。 HomeDomain Library DeviceRegistry文件夹包括一个名为stateMachine- .plist文件的GUID的子文件夹：此文件夹包括来自AppleWatch的备份数据。

在各种文件和文件夹中，以下是最感兴趣的文件和文件夹： NanoAppRegistry文件夹，包括有关已装置应用程序的信息。鄙人图中，你能够找到有关Facebook应用程序的信息，以及绑定Bundle版别、显现称号、绑定Bundle标识符和绑定Bundle称号。

能够看出，NanoMail Registry.sqlite文件包括有关已同步的电子邮件帐户的信息。 在SYNCED_ACCOUNT表中，你能够找到设备上设置的每个电子邮件帐户的显现称号和电子邮件地址。

在MAILBOX表中，你能够在设备上设置的每个电子邮件帐户的文件夹和子文件夹中找到电子邮件的发件人。

NanoPasses nanopasses.sqlite3数据库包括AppleWatch钱包中可用的“通行证”列表。关于关于每个传递，你都能够找到Type_ID、安排称号、吸取日期(以Apple Cocoa Core Data格局存储)和描述。

一些传递还能够具有“编码传递”字段，这是一个二进制plist文件，包括关于传递的详细信息。二进制plist文件能够从数据库中被提取出来，并保存为一个独自的文件，并运用plist检查器(例如plist编辑器)翻开。 鄙人面的截图中，你能够在Booking.com上检查与酒店预定相关的编码通行证，能够运用SQLiteExpert翻开编码通行证并将其另存为独自的文件。

然后能够运用plist编辑器翻开该文件，提取关于预定的特定信息，如酒店称号和地址、客人名字、付出的价格、预定号码以及入住和退房日期。 [1][2][3][4]黑客接单网