智能手機(jī)取證研究.pdf

1、隨著移動(dòng)通信技術(shù)的發(fā)展，手機(jī)成為人們工作生活中必備的通訊工具，與此同時(shí),手機(jī)犯罪也與日俱增，手機(jī)取證是打擊這類(lèi)犯罪的有效手段。目前國(guó)內(nèi)尚無(wú)成熟產(chǎn)品面世，因此手機(jī)取證任務(wù)緊迫，社會(huì)意義也非常重大。
　　 智能手機(jī)不同于一般的手機(jī)，它有操作系統(tǒng)，用戶(hù)可以安裝軟件、游戲、程序，擴(kuò)充它的功能，還可以用無(wú)線(xiàn)網(wǎng)絡(luò)接入上網(wǎng)，獲得更多的資源，無(wú)異于一個(gè)微型電腦。由于智能手機(jī)的強(qiáng)大功能，深受大眾的喜愛(ài)，目前我國(guó)智能手機(jī)占比達(dá)10％，而且智能手機(jī)的

2、滲透率成倍增長(zhǎng)，預(yù)計(jì)2013年占有率將有可能接近50％。Iphone是智能手機(jī)的領(lǐng)跑者，論文以Iphone為例進(jìn)行取證分析。
　　 本文首先介紹了取證工作的原則，確保取證工作的合法性和權(quán)威性，其次深入分析了Iphone的硬件結(jié)構(gòu)及系統(tǒng)結(jié)構(gòu)，詳細(xì)介紹了Iphone存諸數(shù)據(jù)信息的文件夾。Preferences記錄了系統(tǒng)配置的詳細(xì)信息以及網(wǎng)絡(luò)信息的備份，是我們?nèi)∽C工作的重點(diǎn)對(duì)象。Iphone使用Sqlite數(shù)據(jù)庫(kù)，其中三個(gè)最大的數(shù)據(jù)庫(kù)

3、是電話(huà)本、通話(huà)記錄和短消息，詳細(xì)介紹了三個(gè)數(shù)據(jù)庫(kù)的各個(gè)表的組成及取證過(guò)程。
　　 在取證前，首先對(duì)Iphone進(jìn)行越獄處理。由于Iphone為保持系統(tǒng)的穩(wěn)定性、省電、刪除文件不產(chǎn)生垃圾等優(yōu)勢(shì)，用戶(hù)只有讀沒(méi)有寫(xiě)的權(quán)限。我們對(duì)Iphone數(shù)據(jù)庫(kù)的信息進(jìn)行提取時(shí)，要使用第三方軟件，因此必須進(jìn)行越獄處理。在我們安裝取證工具時(shí)，接觸操作系統(tǒng)，不能毀壞用戶(hù)的分區(qū)。iLiberty+程序是一個(gè)取證工具，它能夠安裝到操作系統(tǒng)的核心部件中，安全的

4、安裝到Iphone中而不經(jīng)過(guò)Iphone本身的允許。恢復(fù)工具包括openSSH安全系統(tǒng)，Netcat通過(guò)網(wǎng)絡(luò)發(fā)送數(shù)據(jù)，md5建立硬盤(pán)的鏡像，dd 復(fù)制硬盤(pán)的鏡像訪(fǎng)問(wèn)磁盤(pán)。
　　 將恢復(fù)出來(lái)的數(shù)據(jù)進(jìn)行分析，例如發(fā)現(xiàn)Consolidated.db 里面有巨大的地理定位數(shù)據(jù)，里面的數(shù)據(jù)包含了系統(tǒng)使用的每個(gè)基站的的信息，這些數(shù)據(jù)可以確定打電話(huà)的時(shí)間和位置。Clients.plist是wi-fi熱點(diǎn)信息，包含地理位置、MAC地址、WI-F

5、I熱點(diǎn)以及時(shí)間。
　　 Clients.plistproperty list 包含了使用應(yīng)用程序的數(shù)據(jù)，可以收集到應(yīng)用程序的名字，程序開(kāi)始的日期和時(shí)間，結(jié)束的日期和時(shí)間數(shù)據(jù)信息。
　　 最后提取出一種新的取證思路，將常用的取證工具打包放到一起，加速取證的過(guò)程。并搭建起一個(gè)連接取證手機(jī)，主控手機(jī)，遠(yuǎn)程服務(wù)器的取證平臺(tái)?？蛻?hù)端系統(tǒng)植入目標(biāo)手機(jī)后，隱藏地運(yùn)行在后臺(tái)，提取手機(jī)相關(guān)信息，包括用戶(hù)的通話(huà)記錄、電話(huà)本、短消息，上網(wǎng)記錄