Skip to content
TCCParser

Series

Les fondamentaux de la base TCC

4 posts in this series. Read them in order or jump to any one.

  1. Analyse forensique de TCC.db : le guide de l'enquêteur

    Ce que la base TCC de macOS enregistre, ce qu'elle prouve ou non, les services qui comptent et une méthode reproductible pour analyser TCC.db.

  2. TCC.db sous macOS : emplacement et acquisition

    Où sont les TCC.db système et utilisateur, rôle de l'accès complet au disque et de SIP, collecte avec le WAL via UAC, Aftermath, Velociraptor ou mac_apt.

  3. La table access de TCC selon les versions de macOS

    L'évolution de la table access de TCC.db de Mojave à Big Sur et Sonoma : allowed, auth_value, auth_reason, pid, last_reminded et les autres tables.

  4. Décoder les exigences de code csreq dans TCC.db

    Lire les blobs csreq et indirect_object_code_identity de TCC.db : exigences compilées, clauses anchor et identifier, clients ad hoc réduits à un cdhash.

All posts in this series

Analyse forensique de TCC.db : le guide de l'enquêteur
Ce que la base TCC de macOS enregistre, ce qu'elle prouve ou non, les services qui comptent et une méthode reproductible pour analyser TCC.db.
tccmacosprivacy-permissions
TCC.db sous macOS : emplacement et acquisition
Où sont les TCC.db système et utilisateur, rôle de l'accès complet au disque et de SIP, collecte avec le WAL via UAC, Aftermath, Velociraptor ou mac_apt.
tccmacosacquisition
La table access de TCC selon les versions de macOS
L'évolution de la table access de TCC.db de Mojave à Big Sur et Sonoma : allowed, auth_value, auth_reason, pid, last_reminded et les autres tables.
tccmacossqlite
Décoder les exigences de code csreq dans TCC.db
Lire les blobs csreq et indirect_object_code_identity de TCC.db : exigences compilées, clauses anchor et identifier, clients ad hoc réduits à un cdhash.
tccmacoscode-signing