01Konum
- /private/var/mobile/Library/CoreDuet/Knowledge/knowledgeC.db
02Yanıtladığı sorular
- Hangi uygulama, ne kadar süre kullanıldı?
- Cihaz ne zaman kilitlendi veya kilidi açıldı, ekran ne zaman aydınlatıldı?
- Hangi medya çalıyordu ve cihaz ne zaman şarj oluyordu?
03Biçim ve sürümler
| Biçim | SQLite. Ana tablo ZOBJECT'tir; bağlam ZSTRUCTUREDMETADATA ve ZSOURCE tablolarındadır. ZSTREAMNAME kayıt türünü verir (ör. /app/usage, /device/isLocked, /display/isBacklit, /media/nowPlaying, /device/isPluggedIn, /device/batteryPercentage). |
|---|---|
| Geçerli olduğu sürümler | Edwards tarafından iOS 11 için tanımlanmıştır (iOS 10 şeması farklıdır). iLEAPP test verileri, karşılaştırılabilir verilerin Biome'da bulunduğu iOS 16.1.1–26.5.2 imajlarında bazı akışların (ör. pil, şarj) boş olduğunu gösterir. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| ZOBJECT.ZSTREAMNAME | Akış (kayıt türü). |
| ZOBJECT.ZVALUESTRING / ZVALUEINTEGER | Paket kimliği veya URL ya da tam sayı durum (ör. iOS 11–14 için APOLLO'ya göre 0 kilit açık / 1 kilitli). |
| ZSTRUCTUREDMETADATA | Akışa özgü ayrıntılar; ör. çalan medyanın sanatçı/başlığı, şarj adaptörü bilgisi. |
| ZSOURCE | Kayıtla ilgili kaynak bağlamı. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| ZSTARTDATE / ZENDDATE | Apple Cocoa time (seconds since 2001-01-01 UTC) | Olayın aralığı; Unix zamanı için 978.307.200 ekleyin. |
| ZCREATIONDATE | Apple Cocoa time | Kaydın yazıldığı zaman; olay aralığından farklı olabilir. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Sorguları seçmeden önce imajdaki akış adlarını listeleyin.
- Ayrıntıları orada saklayan akışlar için ZOBJECT'i ZSTRUCTUREDMETADATA ile birleştirin.
- Başlangıç, bitiş ve oluşturma tarihlerini ayrı ayrı dönüştürün ve üçünü de saklayın.
- iOS 16 ve sonrasında aynı etkinlik için Biome akışlarını kontrol edin.
07Yorum tuzakları
- Edwards yaklaşık dört haftalık ZOBJECT verisi bildirir; daha eski etkinlik bulunmayabilir.
- Uygulama kullanımı arayüzlü uygulamaları yansıtır; yeni iOS'ta boş bir akış tek başına cihaz hakkında kanıt değildir.
- APOLLO değer etiketleri iOS 11–14 için yazılmıştır; diğer değerleri saklandığı gibi raporlayın.
09Kaynaklar
- Knowledge is Power! Using the macOS/iOS knowledgeC.db Database to Determine Precise User and Application Usage Sarah Edwards, mac4n6.com (2018) · erişim 2026-10-14
- iLEAPP — scripts/artifacts/knowledgeC.py Alexis Brignoni et al. (GitHub) · erişim 2026-10-14
- Hidden gems in Apple iOS digital forensics Johan Persson, MSAB (2024) · erişim 2026-10-14
- CFAbsoluteTime Apple Developer Documentation · erişim 2026-10-14