Skip to content
TCCParser

Series

Fundamentos de la base de datos TCC

4 posts in this series. Read them in order or jump to any one.

  1. Análisis forense de TCC.db: guía para investigadores

    Qué registra la base de datos TCC de macOS, qué prueba y qué no, qué servicios importan y un flujo de trabajo repetible para revisar TCC.db en un caso.

  2. TCC.db en macOS: ubicación y adquisición

    Dónde están los TCC.db del sistema y de usuario, el rol del acceso total al disco y SIP, y cómo recopilarlos con el WAL mediante UAC, Aftermath o Velociraptor.

  3. La tabla access de TCC en las versiones de macOS

    Cómo cambió la tabla access de TCC.db de Mojave a Big Sur y Sonoma: allowed y prompt_count, auth_value y auth_reason, pid y last_reminded, y las demás tablas.

  4. Decodificar los requisitos de código csreq de TCC.db

    Cómo leer los blobs csreq e indirect_object_code_identity de TCC.db: requisitos compilados, anclas, identificadores y clientes ad hoc con solo cdhash.

All posts in this series

Análisis forense de TCC.db: guía para investigadores
Qué registra la base de datos TCC de macOS, qué prueba y qué no, qué servicios importan y un flujo de trabajo repetible para revisar TCC.db en un caso.
tccmacosprivacy-permissions
TCC.db en macOS: ubicación y adquisición
Dónde están los TCC.db del sistema y de usuario, el rol del acceso total al disco y SIP, y cómo recopilarlos con el WAL mediante UAC, Aftermath o Velociraptor.
tccmacosacquisition
La tabla access de TCC en las versiones de macOS
Cómo cambió la tabla access de TCC.db de Mojave a Big Sur y Sonoma: allowed y prompt_count, auth_value y auth_reason, pid y last_reminded, y las demás tablas.
tccmacossqlite
Decodificar los requisitos de código csreq de TCC.db
Cómo leer los blobs csreq e indirect_object_code_identity de TCC.db: requisitos compilados, anclas, identificadores y clientes ad hoc con solo cdhash.
tccmacoscode-signing