安卓手机取证技术.pdf

安卓手机取证技术 龚 雪 （西南交通大学 机械工程学院 四川 成都 611756 ） 摘 要： 随着智能手机应用的普及，涉及移动终端的相关各类型案件层出不穷，对于移动终端证据的处理和分析，在司法鉴定、取证、 侦查过程中也越来越迫切。公安等实战部门强烈需要获取手机中保存的电话簿、通话记录、来往短信、数码照片、各类用户文件等用户信息 和数据，在可能的情况下恢复被删除的电话簿、通话记录、短信和各种文件以满足调查需要。 关键词： Android ；硬件数据；软件数据；用户数据 中图分类号： TN973 文献标识码： A 文章编号： 1671－7597 （2012）0710029－01 0 引言 过的空间之间的空闲空间来判断存储的号码是否被删除过。 Android 系统是近些年快速兴起的一款手机操作系统。其 其提取设计流程简单的说就是先进行取证系统初始化，然 用 户 覆 盖 度 在 2011 年 已 经 以 27%的 占 比 排 在 智 能 手 机 的 第 一 后 Android 手机数据线连接 PC，启动手机连接，系统驱动扫描 位。 Android 系统的取证系统的需求迫在眉睫。本项目主要针 接口，判断连接是否成功，若成功则创建 Android 手机连接， 对 Android 手机的软件数据及硬件数据两部分提取。充分覆盖 启动数据提取模块，加载通讯录提取子模块，启用 Android 手 Android 手机的全部数据。 机连接，连接 Android 手机数据接口，随后分别启动手机通讯 录管理模块或者手机 SIM卡管理模块，连接 Android 通讯录数据 1 总体设计 库或者 SIM卡，进行手机及 SIM卡通讯录数据的提取。将提取到 1.1 系统整体流程 的数据下载到 PC，最后通过对通讯录的解析并提取数据进行界 本取证项目主要包括两个部分，一个部分为软件数据的提 面显示。 取，另一部分为硬件数据的提取。两个部分组成完整的取证系 1.3.2 短信数据的提取。 SIM 卡提供了存储文本信息的空 统。同时，由于数据提取的速度的限制，本系统将两个部分分 间 ， 每 个 SMS空 间 占176 字 节 ， 由 第 一 个 字 节 Status （状 态 字 开实现。取证人员可根据需要选择取证类型。 节 ） 和 第 2-176 字 节 TPDU组 成 。 Status 的 值 定 义 为 ： 表示该空间未被使用， 表示接收到的短信息 已读， 表示接收到的短消息未读， 表示发送 的短信息已发送， 表示发送的短消息未发送。