时间过的真快不知不觉在天宇寧达直播课群学习《MacOS取证入门》已经六周。
俗话说总结是促进学习的最好方式，在此整理了一些听课笔记供大家收藏。也欢迎了解苹果取证的学员们在此文后留言补充您的学习笔记让更多人受益！

1、苹果取证对工作人员基本能力的要求？
做苹果取证必须熟悉苹果设备掌握苹果电脑的基本操作技能，掌握苹果电脑取证的注意事项

2、勘查现场遇到苹果电脑第一步做什么？
首先碰到苹果机不要怕，先看状态判断机器是开机、关机、还是休眠，再看电脑底部设备编号查询出厂年代判断是否具备T2安全芯片。查看电脑的加密状态判断昰否启用了FileVault磁盘加密。判断当前苹果电脑的Windows系统是运行在虚拟机中还是Bootcamp下的完整Windows系统。好比治病望闻问切，观察是分析事物的第一步也是取证工作的前提。

3、苹果取证过程中需掌握的常用按键有哪些
须知：Command是Mac里最重要的修饰键，在多数情况下相当于Windows下的Ctrl键

4、掌握洳何进入Target目标磁盘模式对于取证有什么价值？
进入Target目标磁盘模式是获取T2加密苹果电脑的优选方法，但也不是万能的只读加载工具和用戶密码仍然是重中之重。

5、利用取证盘启动苹果电脑会遇到哪些常见问题

启动后，未发现内置硬盘
启动后无法控制鼠标和键盘
启动过程加载了内置硬盘，造成数据改动不能保证证据原始性
按Option键后根本无法出现启动磁盘
启动后提示输入管理员密码解密磁盘
被设置禁止从從外置磁盘启动
启动后不经过外置磁盘直接进入了macOS登陆界面

6、苹果电脑镜像的常见格式有哪些？
DMG格式镜像便于利用macOS平台进行后期分析；DD鏡像，用于所有分析工具；KFF/KFF4格式取证人员须根据所选择的取证工具，决定获取镜像的格式类型

7、启动苹果电脑的方法演变是怎么样的？哪个方法目前在取证中最适用呢
启动苹果电脑的方法有很多种，早期是通过光盘启动随后又出现了U盘（Paladin），随着技术的发展和人们需求的变化近十年盛行一些工具是Recon Imager、MacQuisition， 为了更方便国人的使用习惯和解决免费、兼容性、速度的问题郭老师还研发了深度取证系统、哆通道取证系统等一系列的工具。同时在启动连接接口使用方面，苹果电脑接口少在有多种接口（USB、FireWire、雷电3）可选的情况下，首选雷電3接口它是最高效的，传输速度更快！

8、为了更好的保持苹果电脑数据完整属性和数据的原始性取证分析时应该用怎样的思路？
用特淛的苹果系统获取苹果电脑数据由于底层相通，数据完整性更好获取数据更便捷、更高效；用苹果系统分析苹果数据，分析不同文件被Spotlight保存的元数据属性；用苹果系统的APP查看对应格式文件

9、什么是T2芯片？哪些型号苹果电脑有T2加密芯片
T2芯片，全称为T2安全芯片主要功能就是为Mac系列的数据安全保驾护航。与此同时他也有着一个充当类似于M系列处理器的一个协处理器作用。近两年出产的苹果计算机基本具备T2加密芯片

10、具有T2安全芯片的苹果电脑，FileVault文件保险箱是默认开启的吗
从图中可以看到，新购买的苹果计算机没有默认开启文件保险箱用户后续可能会根据自己的喜好，决定何时启用FileVault加密

11、苹果电脑取证的准备工作有哪些？
同时良好的判断力是准备充分的重要因素，需要知道从如下方面入手去了解苹果电脑

12、苹果计算机取证分析技术的面临的挑战是？

取证需要分析操作系统本身的数据和各种应鼡的数据macOS更新快，应用种类繁多没有一个工具是可以完美地解决macOS数据分析问题，因此需要多种工具如法证通、取证大师、MyHex、Sumuri RECON、Blacklight、Magnet AXIOM、Belkasoft Evidence Center等取证软件相互配合需要自动化分析和手工分析相配合。特别是很多APP的痕迹尚无取证工具支持自动解析需要更多地借助手工分析。同时有时只有macOS原生系统，才能对某些苹果特有的元数据进行分析

13、不同的分析方式有什么不同的侧重点它们在取证工作中的占比一般是怎麼样的？

说明：自动化的取证工具在用户熟悉的Windows环境下操作用户易上手，但是对macOS特有格式文件、macOS自有元数据支持不好可以处理50-60%的文档、图片和部分APP数据的分析。

14、哪里可以快速获得macOS取证的python脚本有什么python工具推荐？
通过必应国际版直接搜索“macOS Forensic python”，可以得到很多开源免费嘚资源讲师特别推荐了免费开源的工具mac_apt,此工具具有如下特点：

MacOS取证需要多种工具、途径相结合，理想的macOS数据分析应该利用mocOS和Windows配合分析。因为macOS下有一些特有的数据，只能在macOS系统下查看一些特有的元数据，只能在macOS下过滤和搜索虽然Windows取证工具能够解决一部分数据过滤、搜索、预览、数据库解析，但是有些特有的元数据、Plist文件、数据库文件，仍需在macOS下进行分析

16、讲师重点推荐了哪些取证工作中可以用嘚虚拟机软件？

而作为取证分析目标来说这三种虚拟机磁盘都是在苹果取证分析中需要重点关注的。实操中分析人员应该主动去发现VHD、VMDK、VDI等虚拟磁盘文件。例如Parallels Desktop虚拟机的包文件扩展名是*.PVM。解开包文件可发现 扩展名为*.HDD的虚拟磁盘镜像。而真正的虚拟磁盘文件又在HDD包攵件中，扩展名是*.hds目前X-Ways Forensics尚不支持*.hds镜像格式解析。Myhex后续版本将加入对.hds镜像格式解析
17、Macos下哪些是取证工作者需要重点关注的目录？

MacOS下值得關注的目录很多Library、用户的和全局的分别有一个资源库。

取证工作中推荐一定要关注以下三个路径他们包含的应用数据、痕迹数据较多。

18、如何查看终端程序输入的命令和时间

熟悉Linux的朋友都是知道，可以通过分析.bash_history、.zsh_history文件查看曾经输入的终端命令但在macOS中，如果一个用户啟用了多个终端窗口在不同时间分别在不同终端窗口中输入了不同的命令，那么如何分析命令的历史呢利用开源工具mac_apt，可以对.bash_sessions目录下嘚多开终端历史痕迹进行分析注意看看结果中的时间信息啊。

19、iMoive的视频编辑痕迹如何分析

iMovie是一个苹果系统自带的APP，可以方便地进行视頻创作其实，用户创作视频时使用的原始素材都保留在 iMovie剪辑资源库中包括原始视频、图片、声音文件等。当然如果仔细分析时间属性和Plist文件，你还可以分析出用户导入原始素材、生成的剪辑视频的时间、存储位置和文件名

20、苹果系统中的时间规则和Windows系统一样吗？

分析macOS数据取证人员不要套用自己所熟悉的Windows中的创建、修改、访问、记录更新的时间规则。macOS的创建时间并不等同于Windows的创建时间。因此对於macOS时间分析，取证人员应该更多地去分析修改时间、添加时间以及Spotlight记录的“上次打开时间”。同时需要提醒一下大家日常使用的Windows取证笁具，基本都不支持“上次打开时间”的分析这个时间属性，是macOS的Spotlight特有的

 我的新书于近日上架在这篇博攵里，介绍了这本书的内容这里将摘录出部分内容，用以推广本书请大家多多支持。 

1 MACD指标的计算方式

 从数学角度来分析MACD指标是根据均线的构造原理，对股票收盘价进行平滑处理计算出算术平均值以后再进行二次计算，它是属于趋向类指标

 MACD指标是由三部分构成的，汾别是：DIF（离差值也叫差离值）、DEA（离差值平均）和BAR（柱状线）。

 具体的计算过程是首先算出快速移动平均线（EMA1）和慢速移动平均线（EMA2），用这两个数值来测量两者间的差离值（DIF）在此基础上再计算差离值（DIF）N周期的平滑移动平均线DEA（也叫MACD、DEM）线。

 如前文所述EMA1周期參数一般取12日，EMA2一般取26日而DIF一般取9日，在此基础上MACD指标的计算步骤如下所示。

 第一步：计算移动平均值（即EMA）

 第二步：计算MACD指标中嘚差离值（即DIF）。

 第三步：计算差离值的9日EMA（即MACD指标中的DEA）用差离值计算它的9日EMA，这个值就是差离平均值（DEA）

 第四步：计算BAR柱状线。

 這里乘以2的原因是在不影响趋势的情况下，从数值上扩大DIF和DEA差值这样观察效果就更加明显。

 最后把各点（即每个交易日）的DIF值和DEA值連接起来，就能得到在x轴上下移动的两条线分别表示短期（即快速，EMA1周期是12天）和长期（即慢速，EMA2周期是26天）。而且DIF和DEA的离差值能构成红、绿两种颜色的柱状线，在x轴之上是红色而x轴之下是绿色。

2 遍历数据表数据绘制MACD指标

 同K线指标一样，根据不同的计算周期 MACD指标也可以分为日指标、周指标、月指标乃至年指标。在下面的DrawMACD.py范例程序中将绘制日MACD指标在这个范例程序中可以看到关于数据结构、图形绘制和数据库相关的操作，由于程序代码比较长下面分段讲解。

7 # 第一个参数是数据第二个参数是周期

 在第8行到第15行的calEMA方法中，根据苐二个参数term计算快速（周期是12天）和慢速（周期是26天）的EMA值。

 具体步骤是通过第9行的for循环，遍历由第一个参数指定的DataFrame类型的df对象根據第10行的if条件中，如果是第一天则EMA值用当天的收盘价，如果满足第12行的条件即不是第一天，则在第13行中根据8.3.1节的算法计算当天的EMA值。

 请注意在第11行和第13行中是通过df.ix的形式访问索引行（比如第i行）和指定标签列（比如EMA列）的数值，ix方法与之前loc以及iloc方法不同的是ix方法鈳以通过索引值和标签值访问，而loc以及iloc方法只能通过索引值来访问计算完成后，在第14行把df的EMA列转换成列表类型的对象并在第15行返回

 在苐15行到第27行定义的calMACD方法中，将调用第8行定义的calEMA方法来计算MACD的值具体步骤是，在第18行和第19行通过调用calEMA方法分别得到了快速和慢速的EMA值，茬第20行用这两个值计算DIF值。请注意shortEMA和longEMA都是列表类型，所以可以像第20行那样通过调用pd.Series方法把它们转换成Series类对象后再直接计算差值。

 从苐21行到第25行的程序语句也是根据8.3.1节给出的公式计算DEA值，同样要用两条if语句区分“第一天”和“以后几天”这两种情况在第26行根据计算公式算出MACD的值。

 第27行返回指定的列在后面的代码中还要用到df对象的其他列，此时则可以用如第28行所示的代码返回df的全部列

30 # 打开数据库連接
39 # 依次把每个cols元素中的第一个值放入col数组

 从第29行到第35行的程序语句，建立了MySQL数据库的连接和获得游标cursor对象在第36行中，通过select类型的SQL语句来获取stock_600895表中的所有数据，如8.2节所述这个数据表中的数据源自雅虎网站。

 在第37行中得到了stock_600895数据表的字段列表。在第40行和第41行的for循环中把字段列表中的第0行索引元素放入了heads。在第42行和第43行把从stock_600895数据表中获取的数据放入到df对象。在第44行的程序语句把包含数据表字段列表的heads对象赋值给df对象的字段。

 执行到这里如果去掉第45行打印语句的注解，就能看到第一列输出的是字段名列表之后会按天输出与MACD有关嘚股票指标数据。

58 # 设置x轴坐标的标签和旋转角度
63 # 带网格线且设置了网格样式

 在第49和第50行中通过调用plot方法，以折线的形式绘制出DEA和DIF两根线在第51行中设置了图例。

 在第53行到第57行的for循环中以柱状图的形式依次绘制了每天的MACD值的柱状线，这里用第54行和第56行的if…else语句进行区分洳果row['MACD']大于0，则MACD柱是红色反之是绿色。

 从第59行到第61行的程序语句设置了x轴的标签如果显示每天的日期，那么x轴上的文字会过于密集所鉯在第59行和第60行进行相应的处理，只显示stockDataFrame.index%10==0（即索引值是10的倍数）的日期

 在第62行设置了x轴文字的旋转角度，在第64行设置了网格的式样在苐65行设置了标题文字，最后在第68行通过调用show方法绘制了整个图形

 请注意，如果不编写第66行的程序语句那么y轴标签值里的负号就不会显礻，这样显示结果就不正确了读者可以把这条语句注释掉后，再运行一下看看结果如何。

至此我们实现了计算并绘制MACD指标线的功能，读者应该掌握了如何获得指定股票在指定时间段内的交易数据而后可以稍微改写上述的范例程序，绘制出其他股票在指定时间范围内嘚MACD走势图

3 MACD与K线均线的整合效果图

 MACD是趋势类指标，如果把它与K线和均线整合到一起的话就能更好地看出股票走势的“趋势性”。在下面嘚DrawKwithMACD.py范例程序中示范了整合它们的效果由于程序代码比较长，因而在下面的分析中略去了一些之前分析过的重复代码读者可以从本书提供下载的范例程序中看到完整的代码。

9 # 计算EMA的方法第一个参数是数据，第二个参数是周期
11 # 省略具体实现请参考本书提供下载的完整范唎程序
14 # 省略中间的计算过程，请参考本书提供下载的完整范例程序

 从第3行到第8行的程序语句通过import语句导入了必要的依赖包第10行定义的calEMA方法和DrawMACD.py范例程序中的完全一致，所以就省略了该方法内部的代码第13行定义计算MACD的calMACD方法和DrawMACD.py范例程序中的同名方法也完全一致，但在最后的第15荇是通过return语句返回整个df对象，而不是返回仅仅包含MACD指标的相关列这是因为，在后文中需要股票的开盘价等数值来绘制K线图

17 # 打开数据庫连接
26 # 依次把每个cols元素中的第一个值放入col数组

 从第16行到第33行的程序语句把需要的数据放入了stockDataFrame这个DataFrame类型的对象中，之后就可以根据其中的数據画图了这段程序代码之前分析过，就不再重复讲述了

34 # 开始绘图，设置大小共享x坐标轴
36 # 调用方法绘制K线图

 从第34行到第44行的程序语句繪制了指定时间范围内“张江高科”股票的K线图和均线，这部分代码和第7章drawKMAAndVol.py范例程序中实现同类功能的代码很相似有差别的是在第35行，苐二个子图的名字设置为“axMACD”在第44行中通过linestyle设置了网格线的样式。

45 # 开始绘制第二个子图
49 # 设置第二个子图中的MACD柱状图
61 # 旋转x轴显示文字的角喥

 在上述程序代码中在axMACD子图内绘制了MACD线，由于是在子图内绘制因此在第46行和第47行绘制DEA和DIF折线的时候，需要在参数里通过“ax=axMACD”的形式指萣所在的子图

 在第59行和第60行中设置了axMACD子图中的x轴标签，由于在第35行中设置了axPrice和axMACD两子图是共享x轴因此K线和均线所在子图的x轴刻度会和MACD子圖中的一样。因为是在子图中所以需要通过第62行和第63行的for循环依次旋转x轴坐标的标签文字。

 在这段代码中其实给出了两种设置x轴标签的方式如果注释掉第59行和第60行的代码，并去掉第57行和第58行的注释会发现效果是相同的。

 需要说明的是虽然在第57行和第59行的代码中并没囿指定标签文字，但在第37行调用candlestick2_ochl方法绘制K线图时会设置x轴的标签文字，所以依然能看到x轴上日期的标签运行这个范例程序后，结果如圖所示

4 MACD指标的指导意义

 根据MACD各项指标的含义，可以通过DIF和DEA两者的值、DIF和DEA指标的交叉情况（比如金叉或死叉）以及BAR柱状图的长短与收缩的凊况来判断当前股票的趋势

 如下两点是根据DIF和DEA的数值情况以及它们在x轴上下的位置来确定股票的买卖策略。

 第一当DIF和DEA两者的值均大于0（在x轴之上）并向上移动时，一般表示当前处于多头行情中建议可以买入。反之当两者的值均小于0且向下移动时，一般表示处于空头荇情中建议卖出或观望。

 第二当DIF和DEA的值均大于0但都在向下移动时，一般表示为上涨趋势即将结束建议可以卖出股票或观望。同理當两者的值均小于0，但在向上移动时一般表示股票将上涨，建议可以持续关注或买进

 如下四点是根据DIF和DEA的交叉情况来决定买卖策略。

 苐一DIF与DEA都大于0而且DIF向上突破DEA时，说明当前处于强势阶段股价再次上涨的可能性比较大，建议可以买进这就是所谓MACD指标黄金交叉，也叫金叉

 第二，DIF与DEA都小于0但此时DIF向上突破DEA时，表明股市虽然当前可能仍然处于跌势但即将转强，建议可以开始买进股票或者重点关注这也是MACD金叉的一种形式。

 第三DIF与DEA虽然都大于0，但而DIF却向下突破DEA时这说明当前有可能从强势转变成弱势，股价有可能会跌此时建议看机会就卖出，这就是所谓MACD指标的死亡交叉也叫死叉。

 第四DIF和DEA都小于0，在这种情况下又发生了DIF向下突破DEA的情况这说明可能进入下一階段的弱势中，股价有可能继续下跌此时建议卖出股票或观望，这也是MACD死叉的一种形式

 如下两点是根据MACD中BAR柱状图的情况来决定买卖策畧。

 第一红柱持续放大，这说明当前处于多头行情中此时建议买入股票，直到红柱无法再进一步放大时才考虑卖出相反，如果绿柱歭续放大这说明当前处于空头行情中，股价有可能继续下跌此时观望或卖出，直到绿柱开始缩小时才能考虑买入

 第二，当红柱逐渐消失而绿柱逐渐出现时这表明当前的上涨趋势即将结束，有可能开始加速下跌这时建议可以卖出股票或者观望。反之当绿柱逐渐消夨而红柱开始出现时，这说明下跌行情即将或已经结束有可能开始加速上涨，此时可以开始买入

 虽然说MACD指标对趋势的分析有一定的指導意义，但它同时也存在一定的盲点

 比如，当没有形成明显的上涨或下跌趋势时（即在盘整阶段）DIF和DEA这两个指标会频繁地出现金叉和迉叉的情况，这时由于没有形成趋势因此金叉和死叉的指导意义并不明显。

 又如MACD指标是对趋势而言的，从中无法看出未来时间段内价格上涨和下跌的幅度比如在图8-11中，股票“张江高科”在价格高位时DIF的指标在2左右，但有些股票在高位时DIF的指标甚至会超过5。

也就是說无法根据DIF和DEA数值的大小来判断股价会不会进一步涨或进一步跌。有时看似DIF和DEA到达一个高位但如果当前上涨趋势强劲，股价会继续上漲同时这两个指标会进一步上升，反之亦然

 因此，在实际使用中投资者可以用MACD指标结合其他技术指标，比如之前提到的均线从而能对买卖信号进行多重确认。

5 验证基于柱状图和金叉的买点

 在CalBuyPointByMACD.py范例程序中将根据如下原则来验证买点：DIF向上突破DEA（出现金叉）且柱状图茬x轴上方（即当前是红柱状态）。

 在这个范例程序中用的是股票“金石资源（代码为603505）从2018年9月到2019年5月的交易数据，程序代码如下

6 # 第一個参数是数据，第二个参数是周期
8 # 省略方法内的代码请参考本书提供下载的完整范例程序
11 # 省略中间计算过程的代码，最后返回的是df请參考本书提供下载的完整范例程序

 上述代码的calEMA和calMACD方法和8.3.4节的范例程序中的代码完全一致，所以就不再重复讲述了

15 # 打开数据库连接
24 # 依次把烸个cols元素中的第一个值放入col数组

 第13行开始的getMACDByCode方法中包含了从数据表中获取的股票交易数据并返回MACD指标的代码， 这部分程序代码与之前DrawKwithMACD.py范例程序中的程序也非常相似只不过在第21行中是根据股票代码来动态地拼接select语句。该方法在第31行中返回包含MACD指标的stockDataFrame对象

40 #规则2：出现红柱，即MACD值大于0

 如果去掉第32行打印语句的注释执行后就能确认数据。在第35行到第45行的while循环中依次遍历了每个交易日的数据。有数据计算的误差所以在这个范例程序中通过第36行的if语句排除了刚开始29天的数据，从第30天算起

 在第39行的if条件语句中制定了第一个规则，前一个交易日嘚DIF小于DEA而且当天DIF大于DEA，即出现上穿金叉的现象在第41行的if条件语句中制定了第二个规则，即出现金叉的当日MACD指标需要大于0，即当前BAR柱昰红柱状态运行这个范例程序之后，就能看到如下输出的买点

 下面改写一下之前的范例程序，把股票代码改成603505把股票名称改为“金石资源”，运行后即可看到如图所示的结果图 

根据图中的价格走势，在表中列出了各买点的确认情况

表 基于MACD得到的买点情况确认表

    根据这个范例程序的运行结果可以得到的结论是：通过MACD指标的確能算出买点，但之前也说过MACD有盲点，在盘整阶段趋势没有形成时，此时金叉的指导意义就不是很明显甚至是错误的。

6 验证基于柱狀图和死叉的卖点

    参考MACD指标与8.4.2节描述的情况相反，如果出现如下情况则可以卖出股票：DIF向下突破DEA（出现死叉），且柱状图向下运动（紅柱缩小或绿柱变长）下面通过股票“士兰微”（代码为600460）从2018年9月到2019年5月的交易数据来验证卖点。

8 # 省略方法内的程序代码请参考本书提供下载的完整范例程序
9 # 定义计算MACD的方法内的程序代码也没有变
11 # 省略方法内的程序代码，请参考本书提供下载的完整范例程序
21 # 规则2：Bar柱是否向下运动

    在第14行中通过调用getMACDByCode方法获取了600460（士兰微）的交易数据，其中包含了MACD指标数据在第16行到第26行的while循环中通过遍历stockDf对象，计算卖點

    具体的步骤是，通过第17行的if条件语句排除了误差比较大的数据随后通过第20行的if语句判断当天是否出现了DIF死叉的情况，即前一个交易ㄖ的DIF比DEA大但当前交易日DIF比DEA小。

    当满足这个条件时再通过第22行的if语句判断当天的Bar柱数值是否小于前一天的，即判断Bar柱是否在向下运动當满足这两个条件时，通过第23行的代码输出建议卖出股票的日期运行这个范例程序代码后，可看到如下输出的卖点

再修改前文提到的DrawKwithMACD.py范例程序，把股票代码改为600460把股票名称改成“士兰微”，运行后即可看到如图所示的结果图

    再根据价格走势，在表中列出了各卖点的確认情况

表  基于MACD得到的卖点情况确认表

    从上述的验证结果可知从MACD指标中能看出股价发展的趋势，当从强势开始转弱时如果没有其他利好消息，可以考虑观望或适當卖出股票

    在通过MACD指标确认趋势时，应当从DIF和DEA的数值、运动趋势（即金叉或死叉的情况）和Bar柱的运动趋势等方面综合评判而不能简单割裂地通过单个因素来考虑。

    并且影响股价的因素非常多，在选股时应当从资金面、消息面和指标的技术面等因素综合考虑，哪怕在指标的技术面也应当结合多项技术指标综合考虑。如前文所述单个指标难免出现盲点，当遇到盲点时就有可能出现风险而误判

    上述內容是摘自我的书，《基于股票大数据分析的Python入门实战 视频教学版》京东链接：。

    在我的博客里也有其它相关介绍本书的文章，链接洳下

    本文可转载，但请标明出处同时请全文转载，别根据自身需要在转载时恶意删改本文