admin管理员组

文章数量:1531665

2024年5月17日发(作者:)

安卓手机取证技术

引言

Android系统是近些年快速兴起的一款手机操作系统。其用户覆盖度在2011年已经

以27%的占比排在智能手机的第一位。Android系统的取证系统的需求迫在眉睫。本项目

主要针对

Android手机的软件数据及硬件数据两部分提取。充分覆盖Android手机的全部数据。

1总休设计

1.1系统整体流程

本取证项目主要包括两个部分,一个部分为软件数据的提取,另一部分为硬件数据的

提取。两个部分组成完整的取证系统。同时,由于数据提取的速度的限制,本系统将两个

部分分开实现。取证人员可根据需要选择取证类型。

1-2系统结构

本取证系统主要从软件数据取证和硬件数据取证2方面进行、在软件数据取证中包括

了程序数据、用户数据,在硬件数据取证中包括了芯片数据。

1.3系统子功能概述

1.3.1通讯录数据的提取。通讯录的提取主要包括SIM卡里的号码和手机里面的号码。

当SIM卡中的电话号码被删除后,要想恢复是不大可能的,这是因为电话号码在SIM卡

中是以十六进制的编码方式存储的,每个存储空间包含一个名字和—个号码。删除W后十

六进制的FF就会覆盖存储空间的信息*不过由于SIM卡存储空间是循环分配的,我们可以

通过识别用过的空间之间的空闲空间来判断存储的号码是否被删除过。

其提取设计流程简单的说就是先进行取证系统初始化,然后Android手机数据线连接

PC,启动手机连接,系统驱动扫描接口,判断连接是否成功,若成功则创建Android手机

连接,启动数据提取模块,加载通讯录提取子模块,启用Android手机连接,连接Android

手机数据接口,随后分别启动手机通讯录管理模块或者手机SIM卡管理模块,连接Android

通讯录数据库或者SIM卡,进行手机及SIM卡通讯录数据的提取。将提取到的数据下载

到PC,最后通过对通讯录的解析并提取数据进行界面显示。

1.3.2短信数据的提取。SIM卡提供了存储文本信息的空间,每个SMS空间占176字

节,由第一个字节Status(状态字节)和第2-176字节TPDU组成。Status的值定义为:

00000000表示该空间未被使用,00000001表示接收到的短信息已读,00000011表示

接收到的短消息未读,00000101表示发送的短信息已发送,00000111表示发送的短消

息未发送。

不同品牌的手机删除SIM卡短信的机制是不同的,有的手机在删除短信时只是将短信

存储E的第一个字节Status的值改为00000000,剩余字节中的内容不作任何修改,这样

它里面的内容其实是可以恢复的。而另一些手机在进行短信删除时除了将短信存储区的

Status字节的值改为00000000外,其余字节中的内容全部修改为FF,这样实际上短信的

内容已经不复存在,因此无法将其内容恢复。

本文标签: 数据手机提取取证SIM卡