《技术实战》05-01期 效率源SPF9139打击网络诈骗实操案例(定稿).pdfVIP

助力打击网络诈骗已Root安卓手机正常数据提取实操案例

效率源SPF9139打击网络诈骗实操案例

编者按：

本期讲解第1个手机案例，完整呈现最基本的“手机数据提取”全流程和基础注意事项。

手机数据提取初学者，可通过此文掌握基础理论与实操方法，为下一步学习有难度的数据提

取与分析奠定基础。因本案例涉及到网络诈骗案件侦破，文中所有敏感信息均做模糊处理。

案例背景：201x年x月x日，受害人周某向xx市公安部门报案自己被诈骗。xx市公安局刑

警大队在侦办该案过程中发现犯罪嫌疑人曹某通过电话、微信、QQ等方式，在获得受害人

信任后，发送虚假照片给受害人并以谈恋爱为幌子，骗取受害人财务。为此，公安机关需要

对犯罪嫌疑人作案手机中的电子数据进行固定和提取，为打击犯罪提供证据。

实战对象：安卓某品牌手机，已Root，外观完好（没有砸摔、泡水等），正常使用，数据

未做删除，需要提取电话、微信、QQ等通讯信息。

技术分析：由于手机已Root，此类手机信息数据提取属于常规类型。利用效率源SPF9139

系统的基本流程——“物理镜像”、“数据提取”、“数据分析”和“生成报告”就可完成

（如图1）。

图1：SPF9139系统业务操作流程

提取设备：

SPF9139系统，是一款集智能手机数据提取、恢复和取证分析为一体的综合系统，可以

根据实际需求应用到电脑或者多种硬件平台上（电脑或工作站）。本案例使用的是搭载了

SPF9139系统的工作站（如图2），除了具有数据恢复、提取、取证分析等功能，还能进行

手机芯片提取，多次在打击网络犯罪活动中发挥了重要作用。

1

图2:搭载SPF9139的工作站

提取步骤：

一、前期准备

1、手机信号屏蔽。手机只要一开机，就会自动与外界进行通讯，可能会导致手机信息

被篡改。因此，在电子取证或司法鉴定过程中需要使用信号屏蔽装置（如图3），避免手机

与外界通讯带来数据变动，保障手机数据的完整性与原始性。

图3：手机装入屏蔽袋

2、手机接入SPF9139。通过数据线将手机连接至搭载了SPF9139系统的电脑或工作站。由

于数据线品牌较多，但并不是所有数据线都有数据传输功能，所以需要尽可能使用原装数据

线（非原装可能导致连接失败，影响取证效率）。同时，电脑或工作站端口的数据线接口应

为“只读”，避免电脑对手机里面的数据进行更改，以保证取证数据的完整性与原始性。

3、启动SPF9139系统。通过电脑或工作站操作界面启动SPF9139（见图4），系统会自动

读取并显示手机基本信息，比如手机品牌、手机型号、手机系统、是否root等。根据界面

提示，本案例手机已经Root（如图5）。

2

图4：启动SPF9139系统

图5：SPF9139系统检测出手机已Root

4、创建手机提取任务。点击“创建任务”按钮，填写与本案相关信息，包括任务名称、所

属案例、手机品牌、手机型号、送检人员、送检时间等（案件内容属于涉密信息，均做马赛

克处理，如图6），方便之后快速查询到案例。

图6：创建新的任务（红色框填写基本信息）

二、物理镜像

所谓物理镜像，指的是将提取对象的信息数据进行拷贝。根据《司法鉴定程序通则》

规定，司法鉴定一般不能直接在检材（送检对象）上操作，而是要求在拷贝上操作。而电子

3

取证、数据恢复等操作，为确保数据安全性，也建议在镜像文件上进行提取、分析。

如图7所示，物理镜像页面左侧为“镜像源”，也就是提取对象（本案手机），可以

根据需求选择手机、SIM卡、SD卡，每一项内容下面，也可以选择具体区域，包括全部存储

芯片、数据区、系统区、缓存区。为保证取证完整性，本案选择的是“手机全部存储芯片”。

右侧为“镜像目标”，也就是镜像文件存储地址，可以选择默认地址（C:\XLYSFTasks\文件

名\mirror，），也可自行指定。