安卓手机取证技术.pdfVIP

SILIC 【高新技术产业发展 】 囊● VAL 安卓手机取证技术 龚 雪 (西南交通大学机械工程学院 四川 成都 611756) 摘 要： 随着智能手机应用的普及 ，涉及移动终端的相关各类型案件层出不穷，对于移动终端证据的处理和分析，在司法鉴定、取证 、 侦查过程中也越来越迫切。公安等实战部 门强烈需要获取手机 中保存的电话簿、通话记录、来往短信、数码照片、各类用户文件等用户信息 和数据，在可能的情况下恢复被删除的电话簿、通话记录、短信和各种文件以满足调查需要。 关键词：Android；硬件数据；软件数据；用户数据 中图分类号：TN973 文献标识码：A 文章编号：1671—7597(2012)0710029—01 O引言 过的空间之间的空 闲空间来判断存储 的号码是否被删除过 。 Android系统是近些年快速兴起的一款手机操作系统。其 其提取设计流程简单的说就是先进行取证系统初始化，然 用户覆盖度在2011年 已经 以27％的 占比排在智 能手机 的第 一 后hndroid手机数据线连接Pc，启动手机连接 ，系统驱动扫描 位。Android系统的取证系统的需求迫在眉睫。本项 目主要针 接 口，判断连接是否成功，若成功则创建Android手机连接， 对Android手机 的软件数据及硬件数据两部分提取 。充分覆盖 启动数据提取模块，加载通讯录提取子模块，启用Android手 Android手机 的全部数据。 机连接 ，连接Android手机数据接 口，随后分别启动手机通讯 录管理模块或者手机SIM卡管理模块 ，连接Android通讯录数据 1总体设计 库或者sIM卡，进行手机及SIM卡通讯录数据 的提取 。将提取到 1．1系统整体流程 的数据下载~IJPC，最后通过对通讯录 的解析并提取数据进行界 本取证项 目主要包括两个部分，一个部分为软件数据 的提 面显示。 取，另一部分为硬件数据 的提取 。两个部分组成完整的取证系 1．3．2短信数据 的提取 。SIM卡提供 了存储文本信息的空 统 。同时，由于数据提取的速度 的限制 ，本系统将两个部分分 间，每个SMS空间 占176字节 ，由第一个字节Status(状态字 开实现。取证人员可根据需要选择取证类型。 节 ) 和 第 2—176字 节 TPDU组 成 。Status的值 定 义 为 ： ●示该空间未被使用 示接收到的短信息 已读 ，000000¨表示接收到的短消息未读，00000l01表示发送 的短信息已发送，00000ll1表示发送 的短消息未发送 。 不 同品牌 的手机删除sIM卡短信 的机制是不 同的，有 的手 Andr 机在删除短信时只是将短信存储 区的第一个字节