Macbook取证——应用安装记录

对于Windows系统，我们可以从注册表等多个位置检验出应用程序的安装、运行，甚至卸载记录。那么对于macOS呢？其实也是有记录的。本期就介绍一下开机状况下如何检验应用程序安装记录。

点击桌面左上角的苹果图标，选择『关于本机』，可以看到系统版本、硬件配置等信息。如下图所示。

点击『系统报告...』,在新的窗口中可以看到系统的各种信息。在左边的导航窗口中定位到『软件』→『安装』，即可看到所有安装过的软件、版本及对应的日期。如果应用更新过多次，这里都会如实记录；即使应用已卸载，这里的记录仍然在。如下图所示。

除此之外，如果网络畅通，还可以打开App Store，选择最后边的『更新』Tab，查看最近30天通过App Store安装、更新的记录。不过无论从完整程度还是便捷程度，都不及上面介绍的第一种方法。

本文最早发布于微信公众号“cnforensics”，发布日期为2017年6月10日，微信公众号“电子物证”2017年6月21日授权转载，其他网站及平台均为未授权转载。