手机取证简介
对Android系统手机取证的研究
２ ０ １ ３全国计算机 网络与通信 学术会议优秀论文
Ｔ ｅ ｌ ｌ ｅ ｃ ｏ ｍ ｍａｒ ｋ ｅ ｔ
２ 、Ｘ Ｒ Ｙ的作用 是手 机 内存 数据 的存 储 的工具 ，最大 的优 点是 方便 携带 ，该设备 是 由 Ｓ Ｉ Ｍ 卡读 写器 、Ｕ Ｓ Ｂ通信 单元 、数据 线等 组成 的 。它 可 以进 行 多种模 式 的数据 读取 ，不但 操 作方 便 ，并且 处理 效果 很好 ，还有 很好 的对 文件 的加 密措施 ，在 未经允 许 的情况 下 能够很 好 的保
掘其 中有效的信息，破击犯罪行为，也是因为此才应运而生了安卓系统手机取证。 安卓系统手机取证即是对安卓系统手机依靠科学技术的研究及分析， 确保收集到手机内
部 的相 关 数据 ，并且在 最 后从 中挖 掘 出有 法律 效 力 ，有利 于获取 有关 部 门破案 的有 效信 息作 为证据 的过 程 。因为安 卓 系统 是一 个开源 手机 操 作系 统 ，是第一 个 为移动 终 端开发 出的发放 完 整 的移 动 软件 ， 并 且安 卓 系统 的架 构和 Ｌ ｉ ｎ ｕ ｘ的操作 系 统是相 同 的， 都 是采 用分层 的架 构 ， 从 高 到低 依 次为程 序层 ，应 用程 序框 架层 ，中 问件层 ，Ｌ ｉ ｎ ｕ ｘ核心层 等 四层 ，它可 以进行 它 功 能 的扩 张 ，可 以直接 接 入 网络上 网 ，作用相 当于 一 台微型计 算机 。 要 想 获取 信 息首 先就 要 弄清 楚信 息源 自哪 些地 方 ？手机 本身 自带 的 内存 ，Ｓ Ｄ卡 ，识 别
第二 ，避免在取证 的过程有电话和信息的进入，对手机 的原始数据造成丢失或者破坏，
应 该提前 将手 机设 置 为飞行 的模 式 。 第三 ，注 意无 限 网络是 否连接 ，如 果在 取证 的过程 中连 上 网络 也容 易造成 数据 的破 坏 。 第 四 ，注 意将 手 机里面 的原 始数据 备 份 ，才 能进 行分 析 。 第五， 在 成功 备份 好手 机 内存 的数据 之 后 ， 可 以将 Ｓ Ｉ Ｍ和 Ｓ Ｄ卡 中 的数据 分 开进行 分 析 。 四、在 ａ ｎ ｄ ｒ ｏ ｉ ｄ系统手 机取 证 中存 在 的 问题 由于安 卓系统 手 机 的标 准很 多 ，在 数据 上没有 统一 的标准 ，导 致它 的取证 比较 困难 ，可 以对安 卓系 统手机 的完全镜 像备 份 的软件 很少 ，获取数 据之 后 的分析 工作 很重要 ， 但 是 现在 对 数据 分析 能力 还有 待提 高 ， 我 国 自己研 发 的手机取 证 的软件 工具 不是 很成 熟 ， 也 缺乏 安卓 系统手 机取 证 的技术 上 的标准 ，相关 的法 律 不是很 完善 。
手机取证——关于iPhone手机数据提取方式的探讨
手机取证——关于iPhone手机数据提取方式的探讨编者按在《技术视界》前13期中，数据恢复四川省重点实验室科研人员讲解了手机音频文件提取、SQLite数据库文件恢复、手机APP取证脚本编写以及防御手机APP窃密等主题，本期重点介绍iPhone手机（越狱和未越狱）数据提取的多种方式，可以有效提取各类应用数据，包括文字、图片、声音、视频等各种多媒体信息。
随着移动通信技术的不断发展，手机也逐渐成为人与人之间不可或缺的联系工具，几乎人人都会携带一部甚至多部手机。
手机中各种APP会记录下大量信息，包括聊天、位置等，这些信息很可能成为警方破案有效的辅助证据，所以对手机数据的提取很有必要。
目前Android始终是手机行业的老大，各个手机数据提取商对Android的支持也是首当其冲。
来自ZDC(互联网消费调研中心)手机品牌关注度的数据显示（如图1），2015年三星毫无疑问位居第一，但我们也同时发现，iPhone手机紧随华为位居第三，所以对iPhone手机数据提取的支持刻不容缓。
下面将和大家一起来探讨iPhone手机数据的提取方式。
图1：苹果手机品牌关注位居第三同Android手机一样，iPhone手机数据的提取也分两种情况越狱和未越狱。
一、未越狱手机数据的提取未越狱手机主要通过备份和沙盒提取方式。
目前8.3以上的系统不再支持沙盒提取，而且也比较简单，故不再拿出来讨论。
下面只针对备份方式进行简要说明。
1、数据备份备份可通过两种方式实现：（1）通过iTunes直接备份。
备份路径为XP：C:\Documents and Settings\用户名\Application Data\Apple Computer\MobileSync\Backup；WIN7及以上：C:\Users\用户名\AppData\Roaming\Apple Computer\MobileSync\Backup。
（2）AppleMobileBackup.exe命令。
Android智能手机的取证
应用程序提供的开发包ＡＰＩ和一系列开发工具。其中 的Ａｎｄｒｏｉｄ调试桥（Ａｎｄｒｏｉｄ Ｄｅｂｕｇ Ｂｒｉｄｇｅ，ａｄｂ）可以让 用户在模拟器或设备上安装应用程序．并从命令行访 问模拟器或设备。ＳＱＬｉｔｅ Ｅｘｐｅｒｔ是一个可以在ＳＱＬｉｔｅ 数据库上执行创建、编辑、复制、提取等操作的可视化 管理工具。ＥｎＣａｓｅ作为专业的司法取证软件，可以从 镜像文件中发现、分析、展示电子证据。 ３．２连接设备 首先确保鉴定工作站上安装Ａｎｄｒｏｉｄ ＵＳＢ驱动。 开启手机上的ＵＳＢ调试模式（图２），然后通过ｍｉｎｉ— ＵＳＢ数据线连接手机和计算机。为了验证手机设备已 经连接上，通过Ａｎｄｒｏｉｄ ＳＤＫ工具箱中的ａｄｂ命令查 看，ａｄｂ位于ＳＤＫ目录下的ｐｌａｔｆｏｒｍ—ｔｏｏｌｓ或者ｔｏｏｌｓ 目录下。在命令行敲入ａｄｂ ｄｅｖｉｃｅｓ，这时系统会列出 已连接的Ａｎｄｒｏｉｄ设备ｆ图３）．
录就可以。
！ｃｚ、－瑚啊ｓ、・，＾－姒ｃ吐＿‘
一般地，读取手机内存（包括外置存储卡和内置 闪存）中的数据，是利用手机操作系统或手机制造商 提供的接口软件来读取的，但这样操作有可能会破坏 原始数据。也不能恢复被删除的数据。最好的方法是 像计算机取证那样镜像备份手机内存的数据，然后进 行数据提取与分析（２ｊ。 对于手机外置存储卡，也就是上面描述的ｓｄｃａｒｄ 目录．可以通过读卡器连接到计算机上．然后利用 ＥｎＣａｓｅ制作该存储卡的镜像文件，注意存储卡与电 脑连接时必须打开写保护，以防止不当操作破坏存储 卡里的证据。 对于手机内置存储．取证时需要关注系统以及用 户的所有信息。通过命令ａｄｂ
ｓｈｅｌｌ ｓｈｅｌｌ
图５手机内存镜像备份
３．４逻辑分析 逻辑分析（Ｌｏｇｉｃａｌ Ａｃｑｕｉｓｉｔｉｏｎ）是在当前文件目 录下寻找相关证据．不涉及已删除的信息。所有与应 用程序相关的信息都存放在／ｄａｔａ／ｄａｔａ目录下，通过
coip原理的应用
COIP原理的应用1. 什么是COIP原理？COIP（Chip Off In Place）原理是一种手机取证的方法，常用于手机取证、数据恢复等领域。
它是通过将可疑手机芯片取下，通过专业设备读取敏感数据来获取手机的信息。
COIP原理可以绕过手机系统的加密保护，提供被删除、加密或无法正常开机的数据恢复的可能。
2. COIP原理的应用COIP原理在以下场景中得到广泛应用：2.1 手机取证在手机取证中，COIP原理是一种常见的取证方法之一。
由于手机操作系统的安全机制不断升级，传统方法可能无法获取某些敏感信息，而COIP原理可以通过直接读取手机芯片上的数据，绕过系统加密，获取更全面的数据。
手机取证在刑事案件、企业内部调查等领域起着重要作用，COIP原理的应用可以提高取证效率。
2.2 数据恢复COIP原理在数据恢复领域也有广泛应用。
例如，当手机因硬件故障无法正常开机或显示屏损坏后，传统方法无法恢复数据，而COIP原理可以直接读取芯片上的数据，从而恢复用户的重要信息。
数据恢复可以帮助用户找回被意外删除的照片、联系人、文档等重要数据，对于用户来说，COIP原理是一种非常实用的技术。
2.3 安全研究COIP原理在安全研究领域也有重要的应用。
研究人员可以通过COIP原理深入分析手机芯片的工作原理和设计漏洞，从而发现系统的安全性问题并提出解决方案。
对于手机操作系统的开发者和安全研究人员来说，COIP原理提供了一种理解系统底层工作机制的途径，有助于提高系统的安全性。
2.4 法医学在法医学领域，COIP原理的应用也非常重要。
手机芯片中存储了大量的个人信息和交流记录，对于一些刑事案件的证据收集至关重要。
通过COIP原理，法医人员可以更加全面地获取被告人的通信记录、手机照片、位置信息等，为案件的侦办提供有力的证据。
3. COIP原理的优势和限制3.1 优势•全面性：COIP原理可以绕过手机系统的加密保护，获取被删除、加密或无法正常开机的数据，相比传统方法更全面。
手机信息提取的论述
手机信息提取的论述【摘要】手机在犯罪的过程中出现的频率越来越高了,对手机的取证也显得越来越重要。
本文介绍了手机机身内存、SIM卡、存储卡的取证方法及展望。
【关键词】手机取证SIM卡电子取证数据恢复一、引言随着移动通信技术的不断发展以及服务水平和服务种类的不断提高,手机已日益成为人们工作生活中不可或缺的联系工具。
犯罪嫌疑人所使用的手机上往往存储着大量的与案件有关的信息,能够为公安机关侦查破案提供一定的证据或线索。
手机取证正是打击这类犯罪的一个有效手段。
手机取证是从手机SIM卡、手机内存、闪存卡中提取短信、电话本、通话记录、多媒体等信息进行分析,整理出对案件有价值的线索且能被法庭所接受的证据的过程。
目前,牵涉到手机的犯罪行为大致有三种:一是在犯罪嫌疑人的实施过程中用手机来充当通信联络工具;二是手机被用作一种犯罪证据的存储媒质,比如,照片、视频等;三是手机被当作短信诈骗、短信骚扰和病毒软件传播等新型手机犯罪活动的实施工具。
二、电子证据来源手机取证的电子证据来源主要来自手机SIM卡、手机内存、闪存卡。
三、SIM卡信息的提取1.短信息和电话号码的提取每张SIM卡都提供了存储信息的空间,只是有些SIM卡之间提供的空间大小不一定,但是内部的结构基本都是一样的。
SIM卡中提供给我们存放的空间就是短信息、电话本以及已拨电话。
每个短信息空间占176字节,一本64KB的SIM卡中有50个这样的空间。
每个空间由这几个部分组成:第一个字节为Stat us (状态字节);第2-176字节为TPDU(传送协议数据单元)。
状态字节的值如定义如下:00000000表示空间没有被使用;00000001表示已读的短消息;00000011表示未读的短消息;不同的手机删除短信的机制的不同,有的手机在短信删除时只是将短信存储区的第一个字节(状态字节)的值改为00000000,第2-176字节中的内容未作任何修改,所以这条短信还是存在的,只是在我们手机里面不能显示,只要没有被新接收的短信覆盖掉,我们可以通过SIM Card Seizure软件加上配套的SIM卡读卡器将其中的内容恢复出来。
手机取证技术
手机取证技术作者：暂无来源：《检察风云》 2017年第4期自人类历史上第一台手机于1973 年问世后，手机不仅彻底改变了人类社会的发展，更成为了社会大众不可或缺之物。
智能化技术的不断成熟，令人们只需持有手机，即可实现通信、聊天、办公、学习、购物、娱乐、网站浏览等多重功能。
在当前的犯罪活动中，也频频出现了手机的身影。
不少犯罪人也将关注的目光转向手机，并利用手机来实施其不法活动。
在此情形下，手机中往往记录了大量与犯罪有关的数据信息。
为了能够有效、完整地挖掘出此类信息，就需要刑侦科技人员应用专门的手机取证技术，来对相关数据进行发现与采集。
文·图/沈臻懿自1973年起，人类历史上第一台手机——摩托罗拉DynaTAC问世以来，小小的手机已经彻底影响了人类社会的方方面面。
在不到半个世纪的时间里，手机从一种世人完全陌生的事物，已成为如今社会大众不可或缺之物。
如果人们在生活或出行时只能携带一件随身物品的话，想必绝大部分的人都会毫不犹豫地选择手机。
据相关数据统计与分析表明，2015年全球范围内使用智能手机的用户已达到19.1亿，这一数据在2016年年度内仍在持续上升，并将很快超过20亿。
智能化技术的不断发展，令手机功能不再局限于早先单一的电话通信，而已变得丰富多彩。
人们在使用手机进行通信、聊天、办公、学习、购物、娱乐、上网等过程中，手机等载体上也会随之留下各类数据信息。
这就为手机取证技术的应用带来了研究与发展的空间。
小小手机蕴含大信息当前，手机在人们日常生活中发挥着极为重要的作用，甚至已成为生命中“难以割舍”的一部分。
据微信团队在其《2016微信数据报告》中显示，在过去的一年中，微信平均日登录的用户已达到7.69亿，有一半的用户每天使用微信的时长达到了一个半小时。
智能手机的普及以及各类功能的拓展，令手机得以取代并承担原先电脑、银行卡、钱包的功能。
原先需要借助于电脑终端来进行网络聊天、即时通讯、收发邮件等活动，目前只需一只小小的手机完全可以搞定。
iOS手机取证概述
（ 广 州中国科 学院软件应用技术研究所 电子数据取证实验室 广州 ５ １ １ ４ ５ ８ ） 。
（ 云 南警 官 学院 昆明 ６ ５ ０ ２ ２ ３ ） 。
摘 要 随着智能手机的发展 ， 手机取证在 犯罪调查 、 情报收 集 中 越发 显得 重要 。ｉ ０ Ｓ 手机 取证是 一项规 范和精 细
第４ ３ 卷 第１ ２ Ａ期 ２ ０ １ ６ 年 １ ２月
计
算机科学 Ｖｏ １ ． ４ ３ Ｎｏ ． １ ２ Ａ
Ｄｅ ｃ ２ ０１ ６
Ｃ ｏ ｍｐ ｕ ｔ ｅ ｒ Ｓ ｃ ｉ ｅ ｎ ｃ ｅ
ｉ ＯＳ手 机 取 证 概 述
陈光 宣 丁丽萍 杜 锦 矗
（ 浙江警 察 学院 杭 州 ３ １ ０ ０ ５ ３ ）
式、 数据获取技术 、 自带应用程序分析 、 第三 方应 用程序 分析等 ， 以帮助取证人 员更好地 开展 － ０ Ｓ手机取证 实践 。
关键 词 手机 取证 ， 电子 取 证 ， 证 据 获 取
中图法分 类号
ＴＰ ３ ９ １
文献标识码
Ａ
Ｏｖ ｅ ｒ ｖ ｉ ｅ ｗ ｏ ｆ ｉ ０Ｓ Ｍｏ ｂ ｉ ｌ ｅ Ｆ ｏ ｒ ｅ ｎ ｓ ｉ ｃ ｓ
（ Ｄｉ ｇ ｉ ｔ ａ ｌ Ｆ ｏ ｒ ｅ ｎ ｓ ｉ ｃ ｓ Ｌ ａ ｂ， Ｉ ｎ ｓ ｔ ｉ ｔ ｕ ｔ ｅ ｏ ｆ Ｓ ｏ ｆ ｔ ｗａ ｒ ｅ Ａｐ ｐ ｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ Ｔｅ ｃ ｈ ｎ ｏ ｌ ｏ ｇ ｙ ， Ｇｕ ａ ｎ ｇ ｚ ｈ ｏ ｕ ＆ Ｃｈ ｉ ｎ ｅ ｓ ｅ Ａｃ ａ ｄ ｅ ｍｙ ｏ ｆ Ｓ ｃ ｉ ｅ ｎ ｃ ｅ ｓ ， Ｇｕ ａ ｎ ｇ ｚ ｈ ｏ ｕ ５ １ １ ４ ５ ８， Ｃｈ ｉ ｎ ａ ）
手机取证精品PPT课件
SIM卡中的存储信息
SIM卡是GSM网手机的基本单元，包含了特定用户的信息。它是一种特 殊的智能卡，通常包含了16K到64K的内存、一个处理器、一个操作系 统，在移动通信网络中，手机与SIM卡共同构成移动通信终端设备。
SIM卡即为客户识别模块，也被称为用户身份识别卡，它记录着 IMEI(国际移动设备识别号)、密钥、PIN码（个人身份识别码）、加 密算法和 其他用户相关的信息，移动通信网络通过此卡来对用户身 份进行鉴别以及对用户通话时的语音信息进行加密。一个SIM卡惟一 的标识出用户，决定电话的号码，包 含一个授权用户连上网络的算 法。SIM卡文件系统的组织是为了存放姓名和电话号码，发送和接收 文本信息，和进行网络配置，这些信息也可以共存于电话的内存中。 跟所有的智能卡一样，SIM卡的内容是被保护的，通过设置PIN码来限 制访问。因此，SIM卡包含着大量有价值的潜在电子证据。
的数据不被改变。
中国手机的一些概况 • 国产机都是中国一些公司设计建立的他们自己的品牌 • 一些山寨机品牌也最终被建立。 • 在中国销售，而且出口到世界。在世界手机市场上占到30%左右。 • 有时以原始制作商的身份直接卖给西部的一些手机制造商。
Lenovo, Huawei, ZTE, K-Touch, 金立, CoolPad, 长虹.
CellXtract手机取证设备的介绍 功能与特点：
综合数据提取。包括提取未接电话、已拨电话、已接电话、电话薄、短 信息、从SIM卡中删除的信息、多媒体信息、日程表、备忘录、待办事项、 照片、视频、音频和其他文件。
支持对超过2000多款移动设备进行逻辑提取，包括Apple iPhone、 Android、Blackberry、SmartPhones、 Palm、Palm WebOS、 Symbian、 Windows 系统和GPS设备。
手机取证相关信息
Flash
Flash是以线性空间存储的设备，因此我们获取到的数据 格式和硬盘上的有很大的不同。为了还原 Flash上的数据， 我们需要解决以下问题： 1）Flash 文件系统的组成； 2）Flash 存储的数据； 3）Flash 存储的数据如何映射文件系统。
Flash
1、Flash文件系统的组成：嵌入式常见的文件系统是 JFFS，YAFFS等。 2、Flash存储的数据： NAND Flash 的物理性质， 分别包括： 页 （Page） 、块（Block)、一个Nand Flash由很多个块（Block）组、 每个块里面又包含了很多页 （Page） 。 3、Flash存储的数据如何映射文件系统：手机控制 Flash 闪存的设备就 是 CPU，我们实际上是通过MT6225 芯片还原手机上的文件系统。 各手机厂商使用的Flash芯片型号不同，采用的文件系统也不相 同，在还原文件系统的同时还要辨别手机的操作系统与用户存储的数 据，这给还原文件系统带来一定的困难。
注：RFU（Reserved for Future Use）
SIM卡内部结构
2、SIM卡文件系统
SIM卡上的所有数据都是以文件的形式存放在卡 片数据存储区中的。
1、MF类似于Windows中的根目录， 一个智能卡中有且只有一个MF，文件 标识（File ID）为3F00。 2、DF专有文件，类似于Windows中 的文件夹，只存取文件地址指针。
五、产品介绍
Cellebrite是从以色列引进的手机取证产品，有以下 功能： 手机本身内容
SIM卡数据，数据包括ICCID、IMSI、通 1.提取手机数据 讯录、短信、已删除的短信。 2.提取SIM/USIM卡数据 3.复制SIM卡ID 手机中部分已删除的数据提取出来。 4.物理转储功能破解手机的密码 5.提取密码 6.提取的数据形成清晰的报告
移动设备取证及其面临的挑战
种数字移动设备已经成为新型犯罪工 具，它们在操作系统、数据存储等方 面与传统的手机不同，其证据获取和
分析需要使用更先进的工具和技术。
（三）Ｆｉｎａｌ Ｄａｔａ公司的Ｆｉｎａｌ
Ｍｏｂｉｌｅ
下面我们将讨论几个深受欢迎的商用
取证工具。
Ｆｏｒｅｎｓｉｃｓ产品
该产品是美国加利福尼亚＇少ｌ＇ｌＦｉｎａｌ
（一）Ｃｅｌｌｅｂｒｉｔｅ公司Ｕ ＦＥＤ手 机取证分析系统
作为呈堂证供数据的合法性。ＵＦＥＤ 支持ＣＤＭＡ、ＧＳＭ、ＩＤＥＮ和ＴＤＭＡ
６３
万方数据
（五）Ｌｏｇｉｃｕｂｅ公司ＣｅｌｌＸｔｒａｃｔ 手机取证器
该产品是美［］Ｌｏｇｉｃｕｂｅ公司２０１ １ 年推出的一款专门用于手机、ＰＤＡ和 ＧＰＳ设备数据提取的便携设备，用户
取证调查人员面临的挑战是在获
对于首先获取移动设备的调查人
所获取的移动设备普遍包含着诸如电 子邮件、文字处理文件、电子表格、
文本消息、ＧＰＳ跟踪信息和图片之类 的电子记录信息，而犯罪分子也常使 用移动设备进行诸如股票交易、航班 预订、酒店入住、手机通信之类的活 动，这些信息往往能够作为犯罪分子
较大挑占｜
新的速廖 其软硬俐 使得移剥 往往跟才 度，从币 人员完塞
等移动设备的取证调查一般需要得到适
受困于取证工具、取证结果和取证过 程的标准化等问题。
为了让移动设备取证工作向着更 好的方向发展，制定取证工具的评价
标准和取证工作的操作规范是非常必 要的。有关标准问题，美国国家标准
和技术研究所（ＮＩＳＴ）公布了（（手 机取证指南（Ｇｕｉｄｅｌｉｎｅｓ
ｏｎ
电池很快失效。特别是对于ｉＰｈｏｎｅ来 说，由于其具备远程擦除功能选项，
移动设备取证及其面临的挑崮
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
手机取证相关知识
1.取证源
1.1 SIM卡
SIM卡通常包含16-64K的内存，一个处理器和操作系统。
一个SIM卡唯一地标示出用户，号码和授权用户连上网络的算法，用于存放姓名和电话号码，短信和网络配置参数。
SIM卡的内容通过设置PIN来限制访问。
从SIM卡中可获得如下信息。
（1）国际移动用户识别码（IMSI）：国际上为唯一识别一个移动用户所分配的号码
（2）联系人信息
（3）SMS通信流量信息：发送和接受的短信
（4）用户的位置信息：是指系统登记的最后使用地区
（5）电话信息：最后若干个通话和对最后通话解密的密钥
（6）系统信息：每个SIM卡唯一的ID
SIM卡的结构及其存储数据。
SIM卡是一个装有微处理器的芯片卡，它的内部有5个模块，并且每个模块都对应一个功能：微处理器CPU（8位）、程序存储器ROM（3～8kbit）、工作存储器RAM（6～16kbit）数据存储器EEPROM（128～256kbit）和串行通信单元。
SIM卡存储的数据可分为四类：第一类是固定存放的数据。
这类数据在ME（Mobile Equipment）被出售之前由SIM卡中心写入，包括国际移动用户识别号（IMSI）、鉴权密钥（KI）等；第二类是暂时存放的有关网络的数据。
如位置区域识别码（LAI）、移动用户暂时识别码（TMSI）、禁止接入的公共电话网代码等；第三类是相关的业务代码，如个人识别码（PIN）、解锁码（PUK）、计费费率等；第四类是电话号码簿，是手机用户随时输入的电话号码。
1.2移动网络运营商
在GSM网络中，网络操作员的呼叫数据记录数据库，包含了所有移动网
络电话的信息。
比如用户数据库，呼叫数据记录（CDRs）：每个呼叫记录（CDR）包含如下信息：源MSISDN和目的MSISDN，源和目的IMEI，长度，服务类型，初始提供服务的基站。
以及用户的位置。
3.常用的取证软件
（1）Cell Seizure：允许在运行CDMA、TDMA和GSM网络的手机上获取、报告数据。
通过RS-232和USB接口连接。
可以找到的内容包括：SMS历史：Inbox/Outbox。
电话薄：SIM-Card，本机号码。
通话记录，照片，消息提醒等。
（2）Oxygen Phone Manager：其取证版本可以用于执法部门调取证调查，目前最新的是Oxygen Forensic Suite 2012：支持超过3500种手机型号，涵盖Nokia、Blackberry、Apple，Android等主流厂商。
商业：
瑞典Micro Systemation（MSAB）的XRY系列软件
英国Radio Tactics 公司的“Forensic Mobile Toolkit”
SIM卡中A3 A8算法介绍：
GSM 的加密系统里面大致涉及三种算法，A3,A5,A8，这些并不特定指代什么算法，只是给出算法的输入和输出规范，以及对算法的要求说到这里就不能不简单介绍一下SIM 卡, SIM 卡是一种智能卡片，里面有个非常简单的CPU 和一点NVRAM，可以存储和读出数据，还可以进行一些运算。
卡里面有很多内容，不过我只介绍和加密相关的。
每张SIM 卡里面一般都存着一个全球唯一的标志号，叫做IMSI，这个是用来唯一标识你SIM 卡的，手机在开机时候会从卡里面读出这个号发给移动网络，移动那里有一个很大的数据库，描述了IMSI 和手机号的对应关系，于是网络就知道你的手机号是多少了（如果你手机卡[/B]丢了去补，新补来的卡IMSI 和原有的不同，而移动数据库那里将你原来的手机号指向新的IMSI，旧的卡就再也不能用了）除了IMSI ，还有16 个字节的密钥数据，这个数据是无法通过SIM 卡的接口读出的，通常称为Ki，Ki 在移动网络那
边也保存了一份。
在手机登录移动网络的时候，移动网络会产生一个16 字节的随机数据(通常称为RAND)发给手机，手机将这个数据发给SIM 卡，SIM 卡用自己的密钥Ki 和RAND 做运算以后，生成一个 4 字节的应答(SRES)发回给手机，并转发给移动网络，与此同时，移动网络也进行了相同算法的运算，移动网络会比较一下这两个结果是否相同，相同就表明这个卡是我发出来的，允许其登录。
这个验证算法在GSM 规范里面叫做A3，m = 128 bit, k = 128 bit, c=32 bit，很显然，这个算法要求已知m 和k 可以很简单的算出 c ，但是已知m 和 c 却很难算出k 。
A3 算法是做在SIM 卡里面的，因此如果运营商想更换加密算法，他只要发行自己的SIM 卡，让自己的基站和SIM 卡都使用相同的算法就可以了，手机完全不用换。
在移动网络发送RAND 过来的时候，手机还会让SIM 卡对RAND 和Ki 计算出另一个密钥以供全程通信加密使用，这个密钥的长度是64 bits, 通常叫做Kc, 生成Kc 的算法是A8 ，因为A3 和A8 接受的输入完全相同，所以实现者偷了个懒，用一个算法同时生成SRES 和Kc 。
在通信过程中的加密就是用Kc 了，这个算法叫做A5 ，因为A5 的加密量很巨大，而且SIM 卡的速度很慢，因此所有通信过程中的加密都是在手机上面完成的，这样一来，除非天下所有GSM 手机都至少支持一种相同的A5 算法，否则就没法漫游了，这时候运营商和设备商的懒惰又体现出来了，全世界目前只有一种通用的A5 算法，没有其他的，这个算法就是和Kc 的8 字节序列进行简单的循环XOR，再和报文序号做个减法。