针对安卓移动终端设备的数据取证技术研究

２０１７年第１２期　（总第３９９期）　攀南季　誊　ＮＯ．１２．２０１７　（ＣｕｍｕｌａｔｉｖｅｔｙＮＯ

．３９９）　

针对安卓移动终端设备的数据取证技术研究　傅纬球　（广东天波信息技术股份有限公司，广东佛山５２８２５１）　

摘要：由于安卓移动终端设备的应用越来越广泛，在获取司法证据及鉴定时，对安卓移动终端设备中数据的　提取、处理及分析十分必要，这已是获取证据时不可忽略的途径。文章旨在对安卓的数据取证进行分析，不　仅对移动终端数据恢复的逻辑及物理技术进行了介绍，而且还对文件系统、时间序列、字符串匹配等相关的　数据分析技术提出了意见。　关键词：安卓系统；移动终端设备；数据取证技术；司法证据；司法鉴定　文献标识码：Ａ　中图分类号：ＴＰ３９３　文章编号：１００９—２３７４（２０１７）１２—００１３—０３　ＤＯＩ：１０．１３５３５／ｊ．ｃｎｋｉ．１１—４４０６／ｎ．２０１７．１２．００７　

当今社会，现代计算机、移动硬盘、手机等电子设　备发展迅速，日常生活中人们对电子设备十分依赖，运　用也极为广泛，从而推动了社会信息化的发展。需要通　过司法鉴定来证明社会上的民事纠纷、刑事案件等客观　事件的真实性。数字取证这一技术正在高速发展，如对　公司内部调查分析、刑事调查、民事诉讼、情报收集，　与国家安全相关等方面影响巨大。　数字取证领域发展迅速，移动取证不仅挖掘了巨大　的商机还发起了严峻的挑战，安卓的取证分析无论是对　取证分析师还是对安全工程师来说都会使业界呈高速的　增长的状态。取证时的电子数据信息采用二进制数据表　示，存在的方式为数字信号，若出现其他差错或故意的　变更、删减、剪接、删除、截收数字证据等，均将导致　数据被篡改。因此，应结合磁盘、内存数据恢复、数据　挖掘、加密技术、反向工程、解决技术等理论和技术将　证据进行安全保障。但是由于取证分析师及信息安全工　程师们对相应的设备及手持终端的知识、技术不够了　解，在解决问题时会比较困难。本文中，针对安卓移动　终端设备的数字取证问题，从技术的层面对相关技术进　行了分析。　ｌ关于取证　１．１物理数据技术　可进行存储数据的物理介质即为物理技术的目标，　数据的访问并不是依靠文件系统来实现，可以对大部分　被删除的数据进行访问是物理技术的主要优点。采用某　种手段对安卓设备的存储区域直接进行镜像处理，并将　生成的数据镜像文件做进一步分析的技术即为安卓系统　的物理数据恢复技术。若能成功避开口令的保护，从而　使获得被修复的数据根据指数的数量级不断增加即获取　目标数据存储的物理映像取证技术。这除了对己删除的　数据可进行访问之外，还可对系统认为不再重复使用而　丢弃的数据进行访问。物理数据恢复就结构上来说低于　逻辑数据恢复一层，即为逻辑数据恢复的基础。由于采　用的镜像手段各有不同，可以是硬件为基础的物理数据　恢复技术及以软件为基础的物理数据恢复技术，硬件即　连接硬件与终端设备的方法或是指在物理上获取终端设　备部件的方法；软件即在可访问ｒｏｏｔ的条件下可使终端　设备中的软件开始运行的技术，从而可在数据分区获得　完整的物理映像。以硬件的方法为基础，则需要专门的　较为昂贵的仪器及对取证人员进行培训，可有效地作用　于无法获得ｒｏｏｔ访问权限的终端设备中。而以软件为基　础的物理技术可直接地获取数据，以此为起始点较为理　想，但只有能对终端设备上的ｒｏｏｔ进行访问，才能更好　地运用以软件为基础的技术。　１．２逻辑数据技术　以对文件系统的访问来挖掘所分配的数据即为逻辑　技术。所分配的数据主要是指可在文件系统中获得且没　被删除的数据。于当前文件目录中获取数据文件并对其　进行逻辑分析技术指的就是安卓系统的逻辑数据恢复技　术。目前，在使用安卓操作系统的移动终端设备时，在　ｄａｔａ／ｄａｔａ／目录下储存与应用程序相关的信息及数据，　同时为更好区分，应将不同的应用程序于该目录下采用　多个子目录将该程序中的数据文件进行存放。如在ｄａｔａ／　ｄａｔａ／ｃｏｍ．Ａｎｄｒｏｉｄ．Ｃｏｎｔａｃｔｓ的目录下存放与联系人相关　的文件、在ｄａｔａ／ｄａｔａ／ｃｏｍ．Ａｎｄｒｏｉｄ．ｍｍｓ的目录下存放　与手机彩信相关的文件等。而ｄａｔａｂａｓｅｓ目录存在于上　述的每个目录下，这个目录中是存储对与该应用程序的　ＳＱＬｉｔｅ数据库相关的文件。采用调试工具ａｄｂ，由Ｇｏｏｇｌｅ　官方提供，可对所有目录中所存储的文件进行查看，并　提取需要进行逻辑分析的ＳＱＬｉｔｅ数据库文件到运行ａｄｂ工　具的Ｐｃ机上，后可采用ＳＱＬｉｔｅ　ｅｘｐｅｒｔ此类数据库文件查　看器查看并分析所获取的数据库文件。　这种获取并分析数据方式操作较为简单且易于实　现，于ＳＱＬｉｔｅ数据库文件中可获取大量的信息，如联系　人、短信记录及浏览器的浏览记录等。但是这种方式也　有较为明显的缺点，各应用程序正在使用的ＳＱＬｉｔｅ数据　库中当前的文件内容就是利用该方法进行数据取证的唯　一途径，若有些应用程序被卸载，则该类的数据库文件　

１３—　将不复存在或者数据库中的某些程序的内容在应用程序　中已被做了删除处理，因此无法在数据库中获取这些信　息。此外，若ＳＱＬｉｔｅ数据库的某些文件的数据库记录被　删除，将不会再有显示。对比传统的逻辑技术，在安卓　取证中配合特殊的工具与技术，依靠内容提供商内置于　安卓平台、软件开发套件中的技术，通过所获取的逻辑　数据，将被删除的数据库数据恢复。　２数据分析技术　２．１　获取数据　数据获取模块包括有４个子模块，即为ＩｎｇｅＳｔ数据　获取模块、ＡｎｄｒｏｉｄＲ卓模块、Ｅ０１模块和ＥｘＩＦ模块。　Ｉｎｇｅｓｔ模块所发挥的功能是数据源以及相关文件的获　取；Ａｎｄｒｏｉｄ模块所发挥的功能是获取终端数字；ＥＯ１模　块所发挥的作用是识别该类型的文件并获取相关数据；　ＥＸＩＦ模块所发挥的作用是识￣ＥＸＩＦ图像，并对有关文件　进行分析。　２．２传输数据　传输数据的模块所采用的是通信技术对相关数据进　行传输，包括有４个子模块，即为Ｓｅｒｖｉｃｅｓ提供服务的　模块、Ｃｏｒｅ　Ｃｏｍｐｏｎｅｎｔ　Ｉｎｔｅｒ　Ｆａｃｅｓ核心组成构件的接　口模块、Ｃｏｒｅ　Ｕｔｉｉｓ核心通用模块、Ｋｅｙ　ｗｏｒｄ　Ｓｅａｒｃｈ　Ｓｅｒｖｉｃｅ搜索关键字的模块。其中，Ｓｅｒｖｉｃｅｓ模块所发挥　的作用是为模块直接的信息传递提供必要的服务；Ｃｏｒｅ　Ｃｏｍｐｏｎｅｎｔ　Ｉｎｔｅｒ　Ｆａｃｅｓ模块所发挥的作用是建立信息传　递所需要的通信接口，使得组件之间的信息可以顺利传　输；Ｃｏｒｅ　Ｕｔｉｌｓ模块功能所发挥的作用是为信息传输提　供通用工具：Ｋｅｙ　ｗｏｒｄ　Ｓｅａｒｃｈ　Ｓｅｒｖｉｃｅ模块所发挥的作　用是为搜索关键字提供必要的服务。　２．３分析数据　分析数据的模块包括有９个子模块，即为Ｆｉ１　ｅ　ｔｙｐｅｉｄ处理文件的模块、Ｓｅｖｅｎ　Ｚｉｐ处理压缩包的模块、　Ｄａｔａ　Ｍｏｄｅｌ数据模块、Ｆｉｌｅ　Ｅｘｔ　Ｍｉｓｍａｔｃｈ识别不匹配扩　展名的模块、Ｃｏｒｅ核心模块、Ｋｅｙ　ｗｏｒｄ　Ｓｅａｒｃｈ搜索关键　字的模块、Ｆｉｌｅ　Ｓｅａｒｃｈ搜索文件的模块、Ｃｏｒｅ　ｌｉｂｓ核　心库模块、Ｒｅｃｅｎｔ　Ａｃｔｉｖｉｔｙ近期活动的模块。其中，　Ｆｉ　ｌｅ　ｔｙｐｅ模块所发挥的作用是判断文件的类型并对相关　问题进行分析；Ｓｅｖｅｎ　Ｚｉｐ模块所发挥的作用是识别压　缩包文件并对相关问题进行分析；Ｄａｔａ　Ｍｏｄｅｌ模块所发　挥的作用是建立数据模块并对相关问题进行分析；Ｆｉ１ｅ　Ｅｘｔ　Ｍｉ　ｓｍａｔｃｈ模块是导入扩展名并对相关问题进行分　析；Ｃｏｒｅ核心模块所发挥的作用是加载核心库并对相关　问题进行分析；Ｋｅｙ　ｗｏｒｄ　Ｓｅａｒｃｈ模块所发挥的作用是搜　索关键字并对相关问题进行分析；Ｆｉｌｅ　Ｓｅａｒｃｈ模块所发　挥的作用是搜索文件并对相关问题进行分析；Ｃｏｒｅ　１ｉｂｓ　模块所发挥的作用是加载核心库并对相关问题进行分　析；Ｒｅｃｅｎｔ　Ａｃｔｉｖｉｔｙ模块所发挥的作用是提取各项活动　任务并对相关问题进行分析。　２．４处理数据　处理数据的模块包括有５个子模块，即为Ｈａｓｈ　Ｄａｔａ　ｂａｓｅ哈希数据校验的模块、Ｃｏｎｔｅｎｔ　Ｖｉｅｗｅｒｓ浏览内容的　１４　模块、ＲｅｐｏｒｔＳｇ告模块、Ｄｉｒｅｃｔｏｒｙ　Ｔｒｅｅ目录树模块、　Ｔｉｍｅ　ｌｉｎｅ时间轴模块。Ｃｏｎｔｅｎｔ　Ｖｉｅｗｅｒｓ模块所发挥的　作用是浏览元数据、Ｈａｓｈ　Ｄａｔａ　ｂａｓｅ模块所发挥的作　用是采用哈希校验的方法对数据进行取证：Ｄｉｒｅｃｔｏｒｙ　Ｔｒｅｅ模块所发挥的作用是将建立数据树目录、Ｒｅｐｏｒｔ模　块所发挥的作用是将符合用户需求的取证报告制定出　来、Ｔｉｍｅ　ｌｉｎｅ模块所发挥的作用是分析时间、事件以及　行为之间所存在的相关性。　２．５其他　在取证的过程中，以物理获取数据为基础后进行逻　辑获取及分析即可得到足够的案件信息。而有些案件需　要更进一步的分析，将被删除的文件与未知的文件的结　构之间进行联系，这将会涉及到其他如ｘＭＬ解析技术、数　据库技术和数据挖掘技术等与之的相关的技术，上述技　术均是安卓取证中不可或缺的；若办案人员想准确地了　解储存的数据，可采用十六进制编辑器进行查看，找到　其模式或可将被删除的数据结构识别出来。　３防范方法　注意安全使用网络。当今社会是网络时代，日常生　活中网络无处不在，家庭宽带、无线网络及手机的４Ｇ功　能均为人们常用来上网的方式，但是当我们处于室外及　一些公共场所时，常会使用公共网络，因此我们要注意　我们的私密信息是否会泄露，若有不安全的网络切勿随　意使用，尽量避免个人信息被拦截或遭到窃取。若有信　息泄露，应尽快将有关财产及重要的信息挂失冻结。　在安装ＡＰＰ时应时刻注意系统所提示的权限信息。在　安装时，系统所提示的系统权限信息如“访问通讯录、　获取相册、获取位置信息”等，很多用户通常不会注意　到这些权限信息是否应该通行还是阻止，这需要用户结　合所安装的此款软件的使用来决定是否需要通行这些权　限。若应用的基本功能与权限信息不符合，则对此款软　件应用的真实性持怀疑的态度。　４发展趋势　（Ｉ）会有大量恶意软件对移动设备构成威胁。忽略　设备的更新或是设备没有系统更新的提示等情况均可将　相关安全服务市场的发展推动，该安全服务市场不仅可　对传统ＰＣ电脑的安全问题进行解决，而且还可解决移动　设备的安全问题；　（２）越来越多的手机制作商、移动运　营商正在找寻可将移动设备中所存在的安全漏洞进行快　速修复的方法。该项工作的发展较为缓慢，仍需要较长　的时间进行研究及开发；　（３）移动支付系统正在稳步发　展。现在人们常使用的支付宝的在线支付功能、微信的　面对面收钱功能等，且还有Ａｐｐｌｅ　Ｐａｙ等移动支付功能正　被广泛应用中，在使用相关的间接支付功能时，均要求　移动设备具有较高的安全性及用户同样要具有较高的安　全意识；　（４）目前恶意软件还是较少的出现泄露用户数　据、信息等情况，但不排除在今后会大量出现数据泄露　类移动恶意软件，也是因如今处于数据时代可轻易地获　取大量的数据信息。因此，在这个广泛应用云技术的网　络时代，我们应高度关注此类问题。