本文由小茆同学编译，由陈裕铭、Roe校对，转载请注明。

滚动截屏

截屏是移动设备调查中的关键步骤。通过对连接的iOS设备上显示的内容进行一系列截图，调查人员可以收集可能无法通过其他方式获得的数字证据，比如高级逻辑采集，其中受保护的聊天记录等数据可能无法使用。在某种程度上，这个新功能可以被看作是在云端、高级逻辑和低级提取方法之外的一种新提取工具。

使用树莓派Pico开发板，可以以半自动的方式制作长的滚动截图，可用于所有设备和大多数版本的iOS。

用树莓派pico滚动截屏

与自动DFU过程相比，除了iPhone或iPad本身，需准备：

·一块树莓派Pico开发板

·Lightning转USB（推荐使用官方的Apple Camera Adapter）

·USB-A到micro-USB数据线（用于上传固件，并通过Lightning到USB适配器将iPhone连接到Pico上）

·带滚轮的USB鼠标（可选）

请执行以下操作，滚动截屏。

·烧录你的Raspberry Pi Pico

·长按Pico上的BOOTSEL按钮

·将USB线连接到电脑上

·将.uf2文件复制到新检测到的名为RPI-RP2的驱动器上

·驱动器会以新名字CIRCUITPY重新连接起来

·安装代码

·删除CIRCUITPY驱动器上的所有文件

·将lib目录复制到CIRCUITPY驱动器上。

·将code.py文件复制到CIRCUITPY驱动器上。

固件由以下路径定位：

pico/picoScrollNScreenshot/adafruit-(...).uf2

要复制的文件（code.py和lib文件夹）也保存在那里。

一旦文件在Pico上，请执行以下操作。

·断开Pico与电脑的连接

·将USB适配器连接到iPhone上

·将Pico开发板（micro USB）连接到iPhone（通过USB适配器）。

·大约15秒后，手机将开始滚动截屏。它将持续进行捕捉，直到你将iPhone与Pico断开连接。

因为Pico从USB插头中获取5V电压，所以不需要额外的电源。然而，使用Apple Camera Adapter，你可以使用其另一个（Lightning）端口为iPhone本身供电，以防止其在这个过程中耗尽电量。

之后，将截图复制到你的电脑上（可以通过提取媒体文件，做完整的逻辑采集，或用AirDrop）。你可能需要拼接截图；有许多iOS应用程序可以做到这个任务，如Tailor。

最后，你可以对屏幕截图进行OCR，对文本进行索引和分析。

操作技巧

这个过程并不总是一帆风顺的。截屏总是能被捕捉到，但滚动有时会失败，除非你先把USB鼠标连接到iPhone上，然后用滚轮上下滚动几次。

此外，我们并不保证这种方法适用于非原装的Lightning转USB适配器，但它肯定适用于在官方的苹果适配器。

你可能还需要编辑code.py文件。关键的选项是：

SCROLL_WITH_MOUSE = 1SCROLL_MOUSE_DISTANCE = 250DELAY_AFTER_SCROLL = 1

SCROLL_WITH_MOUSE意味着是模拟键盘（0）还是模拟鼠标（1）。第一个选项更可靠，但有些应用程序不支持它（例如Telegram）。

SCROLL_MOUSE_DISTANCE仅在启用鼠标模拟时使用，它指定了滚动范围。在我们的测试中，如果你要拼接屏幕截图，250的默认值效果很好，但根据特定的设备，你可能需要设置一个不同的值。

DELAY_AFTER_SCROLL指定滚动和捕捉屏幕截图之间的延迟；默认值是一秒钟，但你可以设置一个更大的延迟，以便在滚动后加载延迟的图像和URL信息。

注意，默认的滚动方向是在向下的。这意味着你需要从你需要保存的页面或对话的顶部开始该过程。

最后，请注意，脚本在任何设备连接到Pico板时就开始工作。这包括Mac电脑；这就是为什么我们在连接后实现了15秒的延迟（这样你就有足够的时间来编辑或删除code.py）。

注意，该脚本不能（也不会）检测到截屏何时完成。你必须通过断开连接来手动停止它。

结论

这个功能还处于试验阶段，尚未完善。最大的问题是，所有的屏幕截图都是直接在设备上捕捉和存储，而不是计算机上。然而，在某些情况下，这可能仍然是从某些iOS应用程序中提取特定类型数据的唯一方法，尤其是当设备不容易受到引导加载程序漏洞攻击，且不被取证工具支持的情况下。

参考链接：

https://blog.elcomsoft.com/2023/04/automating-scrolling-screenshots-with-raspberry-pi-pico/