手机取证技术探讨与分析 PPT课件
手机取证研究
分析 ， 并采取有效措施进行处置 ， 就可 以将事件产生的根源及 时
遏止 ， 或把事态控制在一定范围内、 避免其进一步扩大 。
参考 文 献 ：
［ １ ］肇 东罢课教 师： 政府称要 开除 ”闹事 者 ” ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ． ｈ ｔ ｔ ｐ ： ／ ／ ｎ ｅ ｗ ｓ ．
（ 三） 完善 预警机制 ， 建立 ” 主动 防御 ” 的渠道
众就不断 向有关部 门反映 了一些担心和具体问题 ， 但是 当地群
众利益诉求一直未能有效解决 ， 埋下 了引爆舆情事件 发生的风 险， 而这却并未 引起 当地 政府 的重视， 直到 ２ ０ １ ２年 ４月发生 大
量群众聚集的事件 。
完善群体性突发事件 的预警机制是一项重要的基础工作 ， 只要政府部 门能够注意对舆情 的监测和预警 ，大部分的群体性 事件都可 以将事态控制在初始 阶段。因此 ， 县级政府应 当建立专 门的舆情 预警机构 ， 及时搜集 区域中一些敏感性 言论和事件 ， 对 搜集到的信息进行搜集 、 研究和分析 ， 从 中发现一些群体性 突发
事件可能发生 的苗头 ， 并及 时反馈给相关主管部门 ， 加以识别和
３ 县域群体性事件应对机制的构建
（ 一） 保障公民知情权 ， 加强 ” 公众参 与 ” 的渠道 让群众拥有知情权 、 参 与权 、 表达权和监督权 ， 也是 人民群 众 的基本 权利 ， 必 须得到尊重 ， 人 民群众应该参 与到社会管 理 中来 ， 发挥真正的主人翁作用 。Ｈ 公 民的知情权从两个 方面加 以保 障： 第一 ， 日常政策知情权的保障。 政府应 当及时将群众关 心的 、 跟群众利 益息息相关 的 国家政策 、 政府 工作信息及 时发
电子证据与电子取证移动设备取证技术与实践
解密技术
针对加密的移动设备数据，采用 相应的解密算法和密钥进行解密
，以获取明文数据。
加密与解密的挑战
移动设备加密技术的广泛应用使 得解密变得更加困难，同时密钥 管理和密码破解也是解密过程中
的重要挑战。
03
移动设备取证实践方法
现场勘查与取证准备
现场保护
确保现场设备、数据和痕迹不被 破坏或篡改，采取必要的保护措 施，如封锁现场、记录现场情况 等。
05
案例分析：移动设备取证 在司法实践中的应用
案例一
手机短信作为证据的重要性
手机短信具有实时性、便捷性和可保存性，因此在刑事案件中可 以作为关键证据。
短信证据的收集与固定
侦查人员需要遵循法定程序，对涉案手机进行扣押，并通过专业取 证工具对短信进行提取和固定。
短信证据的分析与运用
通过对短信内容、发送时间、接收人等信息进行分析，可以揭示犯 罪嫌疑人的犯罪动机、作案过程等关键信息。
移动设备种类繁多，数据格式各异， 加密和压缩技术的广泛应用也给数据 恢复和提取带来了很大的挑战。
数据提取技术
通过特定的工具和方法，从移动设备 中提取出与案件相关的数据，如通话 记录、短信、邮件、社交媒体数据等 。
移动设备加密与解密技术
加密技术
采用密码学算法对移动设备中的 数据进行加密，以保护数据的机 密性和完整性，常见的加密技术
云端取证技术
随着云服务的发展，越来越多的数据存储在云端，云端取证技术将成为未来移动设备取 证的重要组成部分。
多源数据融合分析
将来自不同设备和平台的数据进行融合分析，以揭示更全面的案件事实，是未来移动设 备取证的重要发展趋势。
提高移动设备取证效率与准确性的策略建议
手机取证——关于iPhone手机数据提取方式的探讨
手机取证——关于iPhone手机数据提取方式的探讨编者按在《技术视界》前13期中，数据恢复四川省重点实验室科研人员讲解了手机音频文件提取、SQLite数据库文件恢复、手机APP取证脚本编写以及防御手机APP窃密等主题，本期重点介绍iPhone手机（越狱和未越狱）数据提取的多种方式，可以有效提取各类应用数据，包括文字、图片、声音、视频等各种多媒体信息。
随着移动通信技术的不断发展，手机也逐渐成为人与人之间不可或缺的联系工具，几乎人人都会携带一部甚至多部手机。
手机中各种APP会记录下大量信息，包括聊天、位置等，这些信息很可能成为警方破案有效的辅助证据，所以对手机数据的提取很有必要。
目前Android始终是手机行业的老大，各个手机数据提取商对Android的支持也是首当其冲。
来自ZDC(互联网消费调研中心)手机品牌关注度的数据显示（如图1），2015年三星毫无疑问位居第一，但我们也同时发现，iPhone手机紧随华为位居第三，所以对iPhone手机数据提取的支持刻不容缓。
下面将和大家一起来探讨iPhone手机数据的提取方式。
图1：苹果手机品牌关注位居第三同Android手机一样，iPhone手机数据的提取也分两种情况越狱和未越狱。
一、未越狱手机数据的提取未越狱手机主要通过备份和沙盒提取方式。
目前8.3以上的系统不再支持沙盒提取，而且也比较简单，故不再拿出来讨论。
下面只针对备份方式进行简要说明。
1、数据备份备份可通过两种方式实现：（1）通过iTunes直接备份。
备份路径为XP：C:\Documents and Settings\用户名\Application Data\Apple Computer\MobileSync\Backup；WIN7及以上：C:\Users\用户名\AppData\Roaming\Apple Computer\MobileSync\Backup。
（2）AppleMobileBackup.exe命令。
安卓手机取证技术
安卓手机取证技术引言Android系统是近些年快速兴起的一款手机操作系统。
其用户覆盖度在2011年已经以27%的占比排在智能手机的第一位。
Android系统的取证系统的需求迫在眉睫。
本项目主要针对Android手机的软件数据及硬件数据两部分提取。
充分覆盖Android手机的全部数据。
1总休设计1.1系统整体流程本取证项目主要包括两个部分，一个部分为软件数据的提取，另一部分为硬件数据的提取。
两个部分组成完整的取证系统。
同时，由于数据提取的速度的限制，本系统将两个部分分开实现。
取证人员可根据需要选择取证类型。
1-2系统结构本取证系统主要从软件数据取证和硬件数据取证2方面进行、在软件数据取证中包括了程序数据、用户数据，在硬件数据取证中包括了芯片数据。
1.3系统子功能概述1.3.1通讯录数据的提取。
通讯录的提取主要包括SIM卡里的号码和手机里面的号码。
当SIM 卡中的电话号码被删除后，要想恢复是不大可能的，这是因为电话号码在SIM卡中是以十六进制的编码方式存储的，每个存储空间包含一个名字和—个号码。
删除W后十六进制的FF就会覆盖存储空间的信息*不过由于SIM卡存储空间是循环分配的，我们可以通过识别用过的空间之间的空闲空间来判断存储的号码是否被删除过。
其提取设计流程简单的说就是先进行取证系统初始化，然后Android手机数据线连接PC,启动手机连接，系统驱动扫描接口，判断连接是否成功，若成功则创建Android手机连接，启动数据提取模块，加载通讯录提取子模块，启用Android手机连接，连接Android手机数据接口，随后分别启动手机通讯录管理模块或者手机SIM卡管理模块，连接Android通讯录数据库或者SIM卡，进行手机及SIM卡通讯录数据的提取。
将提取到的数据下载到PC，最后通过对通讯录的解析并提取数据进行界面显示。
1.3.2短信数据的提取。
SIM卡提供了存储文本信息的空间，每个SMS空间占176字节，由第一个字节Status(状态字节）和第2-176字节TPDU组成。
手机取证若干问题分析
手机取证若干问题分析作者：贾林媛莫海来源：《环球市场信息导报》2015年第12期在司法实践中，越来越多的犯罪案件都是利用现今的手机通讯技术进行作案，因此，手机已成为了当今时代发展中电子取证所最常使用的新对象。
手机犯罪也是高科技犯罪的其中一种，是近期新涌现出来的问题，急需相对应的政策对该行为进行制止。
从手机中提取证据从而对于该问题的解决方法进行分析，有利于减少该违法行为的发生。
本文从手机取证方面进行分析，最后提出手机取证应解决的问题，随着当今时代的不断发展，技术也不断的日益先进，手机在当今时代的发展中起到了越来越重要的作用。
但也正是由于手机技术的发展，也从而引发了一些利用手机进行犯罪的情况出现，例如诈骗、造谣等违法犯罪活动日益增多。
因此，司法机关需要通过手机取证的方式来对于犯罪人员进行惩治。
手机取证即利用手机内存、SIM卡以及短信等电子证据来进行提取，从而得到有价值的线索，从而对于手机诈骗行为进行管理。
1电子证据的来源手机取证主要来源为手机内存、SIM卡、闪存卡和移动运营商以及短信服务提供商系统。
手机内存。
随着时代的不断发展，手机内存的功能也随着不断的发展。
手机中的大量信息都存储在内存上，因此也可作为电子证据。
其主要包括手机号的识别，电话簿中存有的联系人资料，发送和接受的短信，通话记录，备忘录以及日历中的待办事项，上网时所浏览内容的缓存记录以及各种图片、声音和动画等文件。
内存在能存储大量的信息，而信息也可以被删除，但可利用软件进行数据的恢复，或者由手机的制造商来进行数据恢复。
SIM卡。
SIM卡中包含大量的潜在电子证据，主要包括用户识别号、服务提供商、用户储存的电话号码列表以及近期呼叫的电话号码和一些文本信息。
文本信息和通话记录的信息价值较大，因此SIM卡中包含了大量有价值的信息。
移动运营商网络。
移动运营商网络中也包含了大量的有价值的证据。
主要有用户的呼叫记录以及能根据号码查找到该用户的基本信息。
其中CDR数据库包含了大量的信息。
数字取证技术追踪与分析网络犯罪证据培训课件
实际操作演示及注意事项
确保操作环境安全
在进行取证操作时，要确保操作 环境的安全性和稳定性，避免数
据泄露或损坏。
遵循法律程序
在取证过程中，要严格遵守法律 程序和相关规定，确保取证活动
的合法性和有效性。
记录详细操作步骤
在取证过程中，要详细记录每一 步操作过程和结果，以便后续复
查和验证。
05
法律法规与伦理道德考量
者的行为轨迹。
网络流量数据
捕获网络传输过程中的数据包 ，通过分析可发现异常流量和 恶意行为。
文件和数据库
存储着大量的用户信息和业务 数据，可能成为网络犯罪的攻 击目标或留下犯罪痕迹。
社交媒体和通讯记录
犯罪嫌疑人在社交媒体上的发 言和通讯记录可能成为关键证
据。
网络犯罪证据特点分析
隐蔽性
网络犯罪证据往往隐藏 在大量的正常数据中，
电子数据已被广泛认可为 一种有效的法律证据，对 于打击网络犯罪具有重要 意义。
易于篡改
电子数据易于被篡改且不 留痕迹，因此确保其完整 性和真实性至关重要。
技术依赖性
电子数据的收集、保存和 分析需要依赖特定的技术 手段和工具。
常见网络犯罪证据类型
系统日志
记录计算机系统或网络设备的 操作和活动，可用于追踪攻击
难以被直接发现。
易逝性
电子数据容易被覆盖或 删除，因此及时收集和
保存证据至关重要。
多样性
网络犯罪证据类型多样 ，包括文本、图像、音 频、视频等多种形式。
跨地域性
网络犯罪往往涉及多个 国家和地区，证据的收 集和分析需要跨国合作
。
03
数字取证技术方法与实践
数据恢复与提取技术
数据恢复技术
09手机取证讲解
像或从中提取信息的过程，该过程主要包括：
（1）确定设备型号
（2）选择提取方式
是指对上一阶段提取的数据复本进行检查和
分析。
取证工具将数据比特流恢复成可理解的形式（如通话
记录、电话本、SMS短消息等），并且完整地描述数 据所代表的信息（包括数据的来源和表示的意义）， 调查员或取证专家再对恢复出的信息进一步分析，找 到有效证据以重建犯罪过程。
在这个过程中，往往需要结合案件调查的目标来进行
。
概述 报告展示
报告展示是对取证过程中所有操作步骤和调查结论进
行详细摘要的过程，目的是为司法诉讼提供数字证据 。
报告的生成依赖于对所有操作、调查和检查结果的详
细记录，因此所有原始证据的使用和移动都必须采取 严格的记录和校验手段进行管理。
报告的内容包括手机设备的状态，提取出的数字证据
随着手机功能与计算机越来越接近，手机与手机网络
正日益被违法犯罪分子所利用。
这些与手机相关的犯罪造成极大的社会危害性，引起
了相关执法部门的高度重视。
概述 手机犯罪行为
目前牵涉到的手机犯罪行为大致有三种 一是在犯罪行为的实施过程中，手机被用来充当通信联 络工具； 二是手机被用作一种犯罪证据的存储媒质； 最后一种方式是手机被当作短信诈骗、短信骚扰和病毒 软件传播等新型手机犯罪活动的实施工具。
概述 现存的主要问题
（1）罪犯使用的手机、银行卡等作案工具均无实名登
记。 （2）取证难。犯罪嫌疑人通常将使用过的手机卡、银 行卡丢弃、销毁，即使案件侦破，由于缺乏足够的证 据，法律上也难以认定其罪行。 （3）破案成本高。由于手机犯罪调查涉及的技术很广 ，办案机关要花大量的人力、财力进行取证。
手机取证技术
手机取证技术作者：暂无来源：《检察风云》 2017年第4期自人类历史上第一台手机于1973 年问世后，手机不仅彻底改变了人类社会的发展，更成为了社会大众不可或缺之物。
智能化技术的不断成熟，令人们只需持有手机，即可实现通信、聊天、办公、学习、购物、娱乐、网站浏览等多重功能。
在当前的犯罪活动中，也频频出现了手机的身影。
不少犯罪人也将关注的目光转向手机，并利用手机来实施其不法活动。
在此情形下，手机中往往记录了大量与犯罪有关的数据信息。
为了能够有效、完整地挖掘出此类信息，就需要刑侦科技人员应用专门的手机取证技术，来对相关数据进行发现与采集。
文·图/沈臻懿自1973年起，人类历史上第一台手机——摩托罗拉DynaTAC问世以来，小小的手机已经彻底影响了人类社会的方方面面。
在不到半个世纪的时间里，手机从一种世人完全陌生的事物，已成为如今社会大众不可或缺之物。
如果人们在生活或出行时只能携带一件随身物品的话，想必绝大部分的人都会毫不犹豫地选择手机。
据相关数据统计与分析表明，2015年全球范围内使用智能手机的用户已达到19.1亿，这一数据在2016年年度内仍在持续上升，并将很快超过20亿。
智能化技术的不断发展，令手机功能不再局限于早先单一的电话通信，而已变得丰富多彩。
人们在使用手机进行通信、聊天、办公、学习、购物、娱乐、上网等过程中，手机等载体上也会随之留下各类数据信息。
这就为手机取证技术的应用带来了研究与发展的空间。
小小手机蕴含大信息当前，手机在人们日常生活中发挥着极为重要的作用，甚至已成为生命中“难以割舍”的一部分。
据微信团队在其《2016微信数据报告》中显示，在过去的一年中，微信平均日登录的用户已达到7.69亿，有一半的用户每天使用微信的时长达到了一个半小时。
智能手机的普及以及各类功能的拓展，令手机得以取代并承担原先电脑、银行卡、钱包的功能。
原先需要借助于电脑终端来进行网络聊天、即时通讯、收发邮件等活动，目前只需一只小小的手机完全可以搞定。
手机取证精品PPT课件
SIM卡中的存储信息
SIM卡是GSM网手机的基本单元，包含了特定用户的信息。它是一种特 殊的智能卡，通常包含了16K到64K的内存、一个处理器、一个操作系 统，在移动通信网络中，手机与SIM卡共同构成移动通信终端设备。
SIM卡即为客户识别模块，也被称为用户身份识别卡，它记录着 IMEI(国际移动设备识别号)、密钥、PIN码（个人身份识别码）、加 密算法和 其他用户相关的信息，移动通信网络通过此卡来对用户身 份进行鉴别以及对用户通话时的语音信息进行加密。一个SIM卡惟一 的标识出用户，决定电话的号码，包 含一个授权用户连上网络的算 法。SIM卡文件系统的组织是为了存放姓名和电话号码，发送和接收 文本信息，和进行网络配置，这些信息也可以共存于电话的内存中。 跟所有的智能卡一样，SIM卡的内容是被保护的，通过设置PIN码来限 制访问。因此，SIM卡包含着大量有价值的潜在电子证据。
的数据不被改变。
中国手机的一些概况 • 国产机都是中国一些公司设计建立的他们自己的品牌 • 一些山寨机品牌也最终被建立。 • 在中国销售，而且出口到世界。在世界手机市场上占到30%左右。 • 有时以原始制作商的身份直接卖给西部的一些手机制造商。
Lenovo, Huawei, ZTE, K-Touch, 金立, CoolPad, 长虹.
CellXtract手机取证设备的介绍 功能与特点：
综合数据提取。包括提取未接电话、已拨电话、已接电话、电话薄、短 信息、从SIM卡中删除的信息、多媒体信息、日程表、备忘录、待办事项、 照片、视频、音频和其他文件。
支持对超过2000多款移动设备进行逻辑提取，包括Apple iPhone、 Android、Blackberry、SmartPhones、 Palm、Palm WebOS、 Symbian、 Windows 系统和GPS设备。
数字取证的移动设备取证技术
关注新兴技术
关注新兴技术对移动设备取 证的影响，如5G、物联网、 人工智能等，及时将这些技 术应用于实际工作中。
THANK YOU
证据固定
将提取和分析过程中涉及的关键数据和证据进行固定保存，以防止数据丢失或被篡改。这可以通过哈希 值计算、数字签名等技术手段实现。
04
移动设备取证技术的 应用场景
刑事侦查中的应用
现场勘查
在犯罪现场，侦查人员可以利用 移动设备取证技术对涉案手机、 平板等电子设备进行快速勘查，
提取关键证据。
数据恢复
数字取证的移动设备取证技 术
目录
• 引言 • 移动设备取证技术概述 • 移动设备取证的关键技术 • 移动设备取证技术的应用场景 • 移动设备取证技术的挑战与未来发展 • 结论与建议
01
引言
背景与意义
数字化时代的到来
随着互联网和移动设备的普及，数字 证据在各类案件中的重要性日益凸显 。
传统取证方式的局限性
对于被删除或损坏的数据，移动 设备取证技术可以通过专业工具 进行恢复，重现犯罪嫌疑人的通 信记录、浏览历史等重要信息。
数据分析
通过对移动设备中提取的数据进 行深入分析，可以揭示犯罪嫌疑 人的社交关系、活动轨迹等关键 线索，为案件侦破提供有力支持
。
网络安全中的应用
网络攻击溯源
在网络安全事件中，移动设备取证技术可以帮助安全人员 追踪攻击者的来源和攻击路径，定位恶意软件或病毒的传 播源头。
技术创新
跨平台整合
随着技术的发展，未来移动设备取证技术 将更加智能化、自动化，提高取证效率和 准确性。
未来移动设备取证技术将实现跨平台整合 ，支持多种操作系统和设备类型的数据提 取和分析。
手机取证论文
手机取证技术研究李健摘要：手机在犯罪的过程中出现的频率越来越高了,对手机的取证也显得越来越重要。
本文简述手机取证的概念、原则、特征，对目前手机取证在当前侦查取证中的现状进行介绍，同时，根据手机取证的取证源详细介绍手机取证的方法，详细介绍一些常用的手机取证工具软件的特点和适用情况以便于侦查人员的实际选择与应用，介绍当前主流的手机系统Android和苹果iOS的分析方法和取证的注意事项，另外，对手机用户提供一些保护手机的建议，最后对手机取证的研究及应用前景进行展望。
关键词：手机取证；取证方法；取证工具；对比实验随着当今社会移动通信技术的飞速发展，手机已经走进千家万户，据工信部统计，截止2014年1月，我国使用手机的的人数已达12.53亿，用户数占全国人口的90.8%，可以说手机已经成为人们日常联系的必备工具。
然而，伴随着手机业迅猛发展和手机功能不断强大的同时，利用手机进行违法犯罪的案件牵涉到手机的违法犯罪案件的比例逐年升高，对于公安机关办案，通过手机提取线索、证据也逐渐成为一种非常有效和重要的侦查手段。
因此，侦查人员系统的认识手机取证，掌握手机取证的基本方法，了解一些常见的手机取证工具软件，从而打击与手机相关的各类犯罪活动，对于维护社会稳定、保障人民生命财产安全、打击犯罪行为具有重大现实意义。
一、手机取证的概念、原则、特征（一）手机取证的概念手机取证是数字取证中的一种，所谓手机取证就是对存在于手机SIM卡、手机内存卡、外置存储卡、短信服务提供商系统和移动网络运营商保存的电子证据进行提取、保存、分析,整理出有价值的案件线索或能被法庭所采纳的证据的过程。
（二）手机取证的原则1.合法原则手机取证的合法原则和传统取证一样，所谓合法主要包括以下四种：（1）参与侦查取证的人员必须要有法定的权限和资格；（2）取证过程中的程序和手段必须规范；（3）取证所采用的工具也必须符合法律规定；（4）获取到的证据信息要以合法形式运用到司法程序中。
手机取证技术探讨与分析 PPT课件
深圳市先创数字技术有限公司
手机取证技术 探讨与分析
6
一.手机取证的技术手段
1.5物理提取
chip-off技术是最复杂且最底层的数据获取技术。这种方法需要将移动终 端中的存储芯片通过热风枪或拆焊台与主板剥离，清理芯片表面的焊锡， 然后将芯片安 装到芯片读取 设备上，直接 对芯片本身的 电路和协议进 行分析，获取 其原始镜像或相关数据。常见的手机存储芯片如图
手机解锁、 文件加密的
解析
历史浏览 及聊天删 除记录的
恢复
手机投资、 交易及支 付等金融 交易记录
解析
安卓手机 root获取 及无损检 材与解析
14
二.手机取证的技术难点
2.1.1 手机解锁与文件加密解析 现在用户的智能手机关系到太多的个人隐私信息，那么手机的图形
和数字锁、SIM卡PIN及PUK锁，指纹锁甚至手机存储芯片的文件加 密、声纹及虹膜识别技术都是用户手机加密的实现方式，而这些恰恰 给手机取证带来一定技术障碍。
21
三.手机取证工具简介
3.1 UFED Touch 以色列Cellebrite
公司是国际上最早生 产的手机取证工具的 厂商之一，其设备代 表着移动终端取证设 备的最高水平。 UFED Touch是其生 产的新一代、高性能 的独立便携式手机司法分析工具设备，也是目前国际主流的手机取证工具。 它支持以“位对位”的形式对手机、GPS、平板电脑以及中国山寨手机等 大部分移动设备中的数据进行物理获取和深度分析。
论移动电话电子数据获取及取证分析
论移动电话电子数据获取及取证分析论移动电话电子数据获取及取证分析摘要：移动电话装载了大量电子数据，这些数据往往成为查找犯罪线索、发现犯罪、证明犯罪的重要证据来源。
本文将就移动电话电子数据取证进行研究，探讨移动电话的电子数据获取和取证分析的方法和程序。
关键词：移动电话电子数据取证一、移动电话电子数据的特点(一)虚拟性移动电话电子数据实质上是按编码规则处理的电磁信号，它处于电子虚拟环境中，需要通过存储介质及软件载体表现出来。
(二)多样性和普通的物证、书证的单一性相比，移动电话电子数据表现得更为多样，不仅可以表现为文本信息如短信，也可以表现为图片、音频、视频等多媒体文件，还可以是GPS地理信息等等。
(三)易破坏性移动电话电子数据由于存在于个人移动电话中，非常容易且快速地删除，如通话记录、短信等删除操作简便，或采用破坏移动电话机身的方式使电子数据无法提取。
(四)实时性移动电话只要处于开机状态，其基本处于实时在线状态，随时进行信息的交互，如会接收到电话、短信及GPS信息等，极易破坏原有数据，因此，在对移动电话取证时一定要屏幕信号，防止对原有检材的破坏。
二、移动电话电子数据取证的原则(一)合法性原则移动电话电子数据取证的合法性原则，是指对移动电话电子数据证据的收集和分析必须依法进行，包括收集、分析的主体要合法，收集、分析证据的程序要合法，取证的技术方法要合乎规范。
(二)关联性原则移动电话电子数据取证，要求获取的电子数据必须与案件事实存在着必然的客观联系，且对证明案件事实具有实际意义。
电子数据证据对于案件有无联系，决定着电子数据证据对于案件事实有无证明力，因此，在电子数据取证过程中必须收集与案件事实有关联，能够证明案件事实的电子数据证据。
(三)及时性原则由于移动电话本身的脆弱性，破坏后便不易提取其中电子数据，移动电话中的电子数据存在于电子虚拟环境中，非常容易受到改动或破坏且不容易察觉和证实，而且移动电话会不断接收信息及电话等，极其容易把原来删除的内容覆盖，使之不容易恢复，电讯运营商对移动电话信息的保存也具有一定期限，过了期限则无法调取。
Android智能手机的取证有效方法探究
2020年第7期216智能技术信息技术与信息化Android 智能手机的取证有效方法探究王 前* WANG Qian摘 要 在信息化发展的现代社会当中，智能手机已经成为国民间联系与沟通的重要手段，同时也从根本上改变了人们的传统生活方式。
但是，因多数国民均是利用智能手机与他人进行联络，因此便造成用户手机当中存有其大量隐私与应用历史，这也成了调查人员取证的源头。
而传统的智能手机取证时多是利用手机内置存储器完成，而随着现代化手机内置存储器技术的不断发展，使得其种类越来越多且其中所涉及的数据也越来越复杂，为了能够更加全面的提取电子证据，开始利用RAM 存储器进行信息的取证。
而本文则主要针对Android 智能手机的取证有效方法展开探讨分析。
关键词 Android 系统；屏锁绕过；动态内存提取；取证有效方法doi：10.3969/j.issn.1672-9528.2020.07.073* 上海交通大学电子信息与电气工程学院 上海 2000300 前言目前，我国所实施的手机取证方式大多是借助计算机设备来与手机进行连接，以此实现对手机内数据信息的获取。
但是，在大量的相关手机信息取证过程中，智能手机均会存在设有密码的情况，导致取证人员无法快速破解，进而无法获得重要的数据信息。
并且部分智能手机所设置的USB 调试在手机未解锁期间不可打开，那么所要取证的手机则无法与计算机软件进行连接，而这便导致取证人员工作开展较为困难。
因此，如何在保障手机不被损坏的情况下对其重要信息进行取证成了本次研究的重要内容。
1 Android 智能手机系统启动原理分析安卓系统主要是由谷歌公司立足于Linux 内核系统基础上所开发的手机操作系统，且这一系统能够为移动终端提供开放性应用需求。
相较于其他的手机操作系统，安卓手机操作系统同样存在四项内容，即：应用程序层、应用程序框架层、中间件层，以及Linux 核心层。
其中，当安卓智能手机开机加电后，其CPU 从固定位置读取了程序并且完成开机引导，而在这一过程中，有三种选择模式供人选择，其具体包括：（1）recovery 模式，即俗称恢复模式；（2）fastboot、hboot 模式；（3）正常启动系统，即在开机回电后智能手机自动加载至booting.img，进入system 正常运行使用。
手机取证技术探讨与分析
3.JTAG/ISP
4.chip-off
二.手机取证的技术难点
2.1 手机取证的技术现状
随着人们智能手机不断地技术革新和APP应用普及，电子数据安全与备 份也不断地随之变化，同时我国电子取证标准与规范不断完善中，这些都给 手机取证带来新的机遇和挑战。目前我国手机取证技术仍然存在些瓶颈难点， 总的来说归纳如下： 手机投资、 交易及支 付等金融 交易记录 解析
不受手机好坏限制、不受手机操作系统限制、不受手机是否有锁限制； 不区分脱离手机操作环境，直接读取手机FLASH存储芯片内容，提取最
4
5
原始数据；手机型号，只针对FLASH型号，产品适用范围广泛； 加密数据、未加密数据、已删除数据、未删除数据，均可完整提取，生 成镜像文件兼容其他厂家分析工具软件，进行数据分析及数据恢复工作；
3、3rd recovery，
data分区加密。即使我们 拿到无法解析，而且从安卓5.0时代开始，3rd recovery的备份能力明显不足， 不少数据已无法获取； 4、基于chipoff的芯片提取。第一步，针对UFS2.0架构，尚无支持的配套硬件 设备，第二步，镜像获取之后，全盘数据加密，无法解析。
一的解决办法。这种检验手段仅能获取已有数据， 对于删除的数据无法进行提取和固定，同时对于手 机加密和破损的情况也无法应对。其次，必须保证 该设备能正常开机，同时并未设置密码或者已知密 码。图中北京瑞源的EDEC1030小型数码翻拍仪就 是人工提取的辅助设备。
一.手机取证的技术手段
1.3逻辑提取
手机通过连接线（USB、RS232）或无线 （蓝牙、红外、WiFi）等方式与取证专用硬件 或安装软件的工作站连接，提取逻辑数据。常见 的如kingroot、360手机助等代理软件和专业的 商业软件可以实现开机连接获取基本用户数据信 息，在一定程度上逻辑提取可以获得删除数据记
手机取证技术探讨与分析29页PPT
谢谢！
51、 天 下 之 事 常成 于困约 ，而败 于奢靡 。——陆 游 52、 生 命 不 等 于是呼 吸，生 命是活 动。——卢 梭
53、 伟 大 的 事 业，需 要决心 ，能力 ，组织 和责任 感。 ——易 卜 生 54、 唯 书 籍 不 朽。——乔 特
1、不要பைடு நூலகம்言放弃，否则对不起自己。
2、要冒一次险!整个生命就是一场冒险。走得最远的人，常是愿意 去做，并愿意去冒险的人。“稳妥”之船，从未能从岸边走远。-戴尔．卡耐基。
梦 境
3、人生就像一杯没有加糖的咖啡，喝起来是苦涩的，回味起来却有 久久不会退去的余香。
手机取证技术探讨与分析 4、守业的最好办法就是不断的发展。 5、当爱不能完美，我宁愿选择无悔，不管来生多么美丽，我不愿失 去今生对你的记忆，我不求天长地久的美景，我只要生生世世的轮 回里有你。
Android智能手机的取证
应用程序提供的开发包ＡＰＩ和一系列开发工具。其中 的Ａｎｄｒｏｉｄ调试桥（Ａｎｄｒｏｉｄ Ｄｅｂｕｇ Ｂｒｉｄｇｅ，ａｄｂ）可以让 用户在模拟器或设备上安装应用程序．并从命令行访 问模拟器或设备。ＳＱＬｉｔｅ Ｅｘｐｅｒｔ是一个可以在ＳＱＬｉｔｅ 数据库上执行创建、编辑、复制、提取等操作的可视化 管理工具。ＥｎＣａｓｅ作为专业的司法取证软件，可以从 镜像文件中发现、分析、展示电子证据。 ３．２连接设备 首先确保鉴定工作站上安装Ａｎｄｒｏｉｄ ＵＳＢ驱动。 开启手机上的ＵＳＢ调试模式（图２），然后通过ｍｉｎｉ— ＵＳＢ数据线连接手机和计算机。为了验证手机设备已 经连接上，通过Ａｎｄｒｏｉｄ ＳＤＫ工具箱中的ａｄｂ命令查 看，ａｄｂ位于ＳＤＫ目录下的ｐｌａｔｆｏｒｍ—ｔｏｏｌｓ或者ｔｏｏｌｓ 目录下。在命令行敲入ａｄｂ ｄｅｖｉｃｅｓ，这时系统会列出 已连接的Ａｎｄｒｏｉｄ设备ｆ图３）．
录就可以。
！ｃｚ、－瑚啊ｓ、・，＾－姒ｃ吐＿‘
一般地，读取手机内存（包括外置存储卡和内置 闪存）中的数据，是利用手机操作系统或手机制造商 提供的接口软件来读取的，但这样操作有可能会破坏 原始数据。也不能恢复被删除的数据。最好的方法是 像计算机取证那样镜像备份手机内存的数据，然后进 行数据提取与分析（２ｊ。 对于手机外置存储卡，也就是上面描述的ｓｄｃａｒｄ 目录．可以通过读卡器连接到计算机上．然后利用 ＥｎＣａｓｅ制作该存储卡的镜像文件，注意存储卡与电 脑连接时必须打开写保护，以防止不当操作破坏存储 卡里的证据。 对于手机内置存储．取证时需要关注系统以及用 户的所有信息。通过命令ａｄｂ
ｓｈｅｌｌ ｓｈｅｌｌ
图５手机内存镜像备份
３．４逻辑分析 逻辑分析（Ｌｏｇｉｃａｌ Ａｃｑｕｉｓｉｔｉｏｎ）是在当前文件目 录下寻找相关证据．不涉及已删除的信息。所有与应 用程序相关的信息都存放在／ｄａｔａ／ｄａｔａ目录下，通过
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
二.手机取证的技术难点
目前常用的解决办法是都是recovery模式下清锁或者物理方 式绕过解锁限制，或许国产OPPO等机型简锁进行一定的软件破解， 这些都可能会面临获取root权限或者解锁中对检测数据取证固定 带来一定的影响。
16
二.手机取证的技术难点
1.苹果手机从4S以后都采用了全盘加密、如果需要进行物理芯片数据获 取，除了要先破解密码以外，还需要对手机越狱，同时需要安装SSH， 目前的技术手段还是无解的。虽然曾经的FBI通过cellebrite 对苹果5C进 行密码破解，这也是仅仅是利用苹果手机开机密码次数漏洞； 2.从Android 5.0开始，谷歌已经引入了全盘加密的设置，但并未强制要 求开启,但在一定算法上要突破，还是需要很长的路要走；同时安卓最新 版的微信的声音识别解锁都是目前面临的解锁挑战。
手机解锁、 文件加密的
解析
历史浏览 及聊天删 除记录的
恢复
手机投资、 交易及支 付等金融 交易记录
解析
安卓手机 root获取 及无损检 材与解析
14
二.手机取证的技术难点
2.1.1 手机解锁与文件加密解析 现在用户的智能手机关系到太多的个人隐私信息，那么手机的图形
和数字锁、SIM卡PIN及PUK锁，指纹锁甚至手机存储芯片的文件加 密、声纹及虹膜识别技术都是用户手机加密的实现方式，而这些恰恰 给手机取证带来一定技术障碍。
2 脱离手机操作环境直接读取手机FLASH存储芯片内容提取最原始数据；
3 不受手机好坏限制、不受手机操作系统限制、不受手机是否有锁限制；
不区分脱离手机操作环境，直接读取手机FLASH存储芯片内容，提取最
4
原始数据；手机型号，只针对FLASH型号，产品适用范围广泛；
加密数据、未加密数据、已删除数据、未删除数据，均可完整提取，生
6
一.手机取证的技术手段
1.5物理提取
chip-off技术是最复杂且最底层的数据获取技术。这种方法需要将移动终 端中的存储芯片通过热风枪或拆焊台与主板剥离，清理芯片表面的焊锡， 然后将芯片安 装到芯片读取 设备上，直接 对芯片本身的 电路和协议进 行分析，获取 其原始镜像或相关数据。常见的手机存储芯片如图
4
一.手机取证的技术手段
1.3逻辑提取
手机通过连接线（USB、RS232）或无线 （蓝牙、红外、WiFi）等方式与取证专用硬件 或安装软件的工作站连接，提取逻辑数据。常见 的如kingroot、360手机助等代理软件和专业的 商业软件可以实现开机连接获取基本用户数据信 息，在一定程度上逻辑提取可以获得删除数据记 录，但不能恢复未分配空间的数据，同时对于目 前高版本的具有root权限的智能手机逻辑提取存 在一定的检材数据有损风险。
4.chip-off提取
目标从存储介质向移动终端延伸。美国科研机 构电子数据取证包括手机在内的取证实现方
3.JTAG/ISP
式和技术做出了5个层次分类：
2.逻辑提取
1.人工提取
3
一.手机取证的技术手段
1.2 人工提取
移动终端取证在专业化的取证设备出现之前， 都是直接在移动终端上查看相关数据，并使用相机 等翻拍设备记录证据。人工提取的优点在于门槛底， 且总会存在工具无法提取的移动终端，对于那些缺 少其他提取固定手段的取证人员来说，这无疑是唯 一的解决办法。这种检验手段仅能获取已有数据， 对于删除的数据无法进行提取和固定，同时对于手 机加密和破损的情况也无法应对。其次，必须保证 该设备能正常开机，同时并未设置密码或者已知密 码。图中北京瑞源的EDEC1030小型数码翻拍仪就 是人工提取的辅助设备。
深圳市先创数字技术有限公司
手机取证技术 探讨与分析
讲师：杨建国
1
目录
一．手机取证的技术手段 二．手机取证的技术难点 三. 手机取证的工具介绍
2
一.手机取证的技术手段
1. 1手机取证的应用背景
随着移动终端的迅速发展，利用移动终端进行各
5.微读
类非法或犯罪行为的犯罪行为不断出现，而且呈现 出高速增长的势头，这使得电子数据取证的主要
5
成镜像文件兼容其他厂家分析工具软件，进行数据分析及数据恢复工作；
10
一.手机取证的技术手段
1.5.4 chip-off取证方法配套设备示例 芯片提取设备+芯片底座及数据线+分析软件
11
一.手机取证的技术手段
1.6 微读 微读技术是指在电子显微镜下对NAND或NOR芯片存储层进行微
观状态的观察，并借助均衡磨损原理等固态介质存储理论进行数据还 原。这种技术已经上升到电子取证领域的最尖端领域，而且目前也没 有商业微读技术设备。
2.逻辑提取
3.JTAG/ISP
4.chip-off
13
二.手机取证的技术难点
2.1 手机取证的技术现状
随着人们智能手机不断地技术革新和APP应用普及，电子数据安全与备 份也不断地随之变化，同时我国电子取证标准与规范不断完善中，这些都给 手机取证带来新的机遇和挑战。目前我国手机取证技术仍然存在些瓶颈难点， 总的来说归纳如下：
5
一.手机取证的技术Biblioteka 段1.4 JTAG/ISP提取
对于低端智能机、国产机以及非智 能手机取证有时候需要JTAG/ISP测试协 议方式，利用手机主板触点连机进行数 据提取和解析。此种技术对于无法正常 开机、未获得root权限或者存在开机密 码的手机取证很有帮助。但数据被覆盖 或是被检手机进行过全盘加密，那么 JTAG/ISP也仅仅获得是的全盘加密的镜 像文件。
12
一.手机取证的技术手段
1.7 取证技术手段的优先级 目前的人工、逻辑、JTAG/ISP及chip-off的技术应用分析，无论
是从取证的难易程度、电子数据的深度，还是取证固定的司法规范， 普遍遵循着这4个取证手段（由于微读手段只是行业发展的预测，不 做为应用现状的讨论）的应用优先级：
1.人工提取
7
二一.L手E机D显取示证屏的的技常术用手术段语
1.5.1 功能机芯片布局实物图
8
一.手机取证的技术手段
1.5.2 智能机芯片布局实物图
9
一.手机取证的技术手段
1.5.3 chipp-off技术特点
手机FLASH芯片为陶瓷密封封装，在极端情况下（如手机被摔裂、破坏
1
、进水、腐蚀），仍可通过对FLASH芯片的数据提取来获得所需信息；