电子数据检验Android手机数据的检验75课件.pptxVIP

Android手机数据的检验电子数据检验

目标Objectives要求了解手机取证的基本概念；了解Android手机取证的技术原理。

Android手机数据的检验一、什么是手机取证？手机已经成为人们日常生活中不可或缺的设备，尤其是配置了独立的操作系统的智能手机越来越受到人们的青睐，已经渗透到了生活的各个角落并潜移默化地改变着人们的生活方式。与此同时，利用智能手机进行犯罪活动也屡见不鲜，例如通过电话、短信诈骗、毒品交易、货物走私、公民个人信息买卖等。第3章电子数据检验手机取证正是打击这类犯罪的一个有效手段，对手机内存、SIM卡、闪存卡中的电子证据进行提取、保护和分析，整理出有价值的案件线索，这对于法庭裁决相当重要。而智能手机包含了更多有价值的信息，例如电子邮件、浏览器历史、聊天记录等。

Android手机数据的检验二、Android手机取证的技术原理据IDC统计，2021年Android继续称霸全球智能手机市场，市场份额达到85%。Android手机的广泛应用使其成为目前备受关注的手机取证源。美国国家标准与技术研究院（NIST）发布的《移动设备取证指南》把移动设备的取证过程分为证据保全、证据获取、证据分析和生成报告四个阶段。Android手机的取证过程也遵循相应规定。第3章电子数据检验证据保全：证据保全的目的是保护驻留在移动设备及其可移动介质上的数据，基本步骤包括记录现场、网络隔离和证据保全。证据获取：获取证据的方式可分为三类，手工获取、逻辑获取和物理获取。手工获取是取证人员记录自己的全部操作并利用系统原有的应用程序获取数据；逻辑获取是通过访问设备的文件系统获取那些未被删除的数据文件；物理获取工作在更底层，作用于物理存储介质，物理获取能够按位获得芯片的完整镜像。证据分析：完成上述步骤后，取证人员会根据案件的诉求进行数据分析，以找到关键的证据或线索。取证人员往往最关心应用程序的数据库和网络浏览器数据。生成报告：生成报告是取证的最后阶段，是对取证过程中所有操作及所得结论的详细总结。取证报告应包含能够标识案件和取证源的信息，列出所有调查结果以及负责人的签名等。报告中所记录事项的原则包括合法性、可采信，结论有完整的证据链可进行印证。

Android手机数据的检验二、Android手机取证的技术原理Android系统的底层功能是基于Linux内核提供，包括显示驱动、通信驱动、I/O设备驱动和电源管理等。在Linux内核之上的系列库是开发应用程序所必须的运行环境，包括存储所需的SQLite库、与计算机网络安全连接的SSL（SecureSocketsLayer）库以及浏览器使用的WebKit库等。开发应用程序时使用的AndroidSDK为用户提供了各种访问库资源的API接口和框架。第3章电子数据检验Android系统权限突破（1）Root提权：Root是Linux和基于Linux内核的操作系统中具备最高权限的用户，对Android系统用户进行Root权限的获取，主要是利用Linux内核的漏洞进行。（2）屏幕锁定的突破：常用的屏幕锁屏绕过方法主要为，使用ADB删除密码文件和引导到安全模式以绕开第三方锁屏。

Android手机数据的检验二、Android手机取证的技术原理Android操作系统的逻辑数据取证分析与浏览器历史记录分析有很多相似之处，其中最主要的共同点是逻辑数据的存储都是基于SQLite数据库的，取证分析都可以利用数据库管理软件进行，并且数据格式规范统一，利于后期数据筛选分析。第3章电子数据检验项目位置文件名称说明SMS短信/data/data/com.android.providers.telephony/databases/mmssms.db文字短信内容位于sms运营商MCC、MNC和APN信息/data/data/com.android.providers.telephony/databases/telephony.db运营商信息位于carrier表MMS信息/data/data/com.android.mms/databases/wappush.db采信内容位于wappush表联系人/电话簿/data/data/com.android.providers.contacts/databases/contacts2.db联系人信息位于data表通话记录/data/data/com.android.providers.contacts/databases/contacts2.db通话记录位于calls表

Android手机数据的检验二、Android手机取证的技术原理第3章电子数据检验项目位置文件名称说明浏览器书签/data/data/com.android.browser/databases/bro