鉴定实战 | 利用日志分析，追溯手机相机操作的过程轨迹

2023年某月某日21时21分许，报警人报警称其在上海市轨道交通某站出口站内通往站外的自动扶梯上疑似被一男子偷拍裙底。民警到场后找到双方当事人，经询问：嫌疑人对偷拍报警人裙底的违法行为予以否认且手机中已无嫌疑照片。

苹果手机一部。

恢复检材手机中涉案时间段的照片信息。

对于苹果手机中多媒体文件的数据恢复我们往往想到的就是越狱，但是这种情况下也不能确保可以恢复。此外，越狱操作伴随着一系列风险，包括数据丢失、手机系统不稳定甚至可能变成“砖块”（即无法正常使用的状态）。综合上述因素，我所经过评估，不采取手机越狱的方式恢复数据。

（1）查看案发时间段是否有缩略图文件产生，根据时间线筛查在案发时间段ithmb文件，该文件仅存在于iOS系统（文件一般较大，推荐打开该类型文件工具：ithmb Converter），此时可能存在加载文件后出现图片模糊不清或者未有案发时间段图片的情况，那么就要寻求第二种解决方案。

（2）当图片无法恢复查看时，可对iOS操作日志进行提取分析。iOS 日志分析需生成sysdiagnose日志，下为手动生成sysdiagnose日志方法截图。

上述日志生成完成后用某思助手或者手机取证软件（如：雷电手机快取）将日志备份导出进行分析。

本次案件中通过使用火眼证据分析软件对导出的日志进行分析。检出案发时间段相机图片的使用、操作、运行等记录。

下为类似隐私案件数据提取鉴定方法总结的xmind图解，方便理解查看。