智能手機取證研究.pdf

1、隨著移動通信技術(shù)的發(fā)展，手機成為人們工作生活中必備的通訊工具，與此同時,手機犯罪也與日俱增，手機取證是打擊這類犯罪的有效手段。目前國內(nèi)尚無成熟產(chǎn)品面世，因此手機取證任務(wù)緊迫，社會意義也非常重大。
　　 智能手機不同于一般的手機，它有操作系統(tǒng)，用戶可以安裝軟件、游戲、程序，擴充它的功能，還可以用無線網(wǎng)絡(luò)接入上網(wǎng)，獲得更多的資源，無異于一個微型電腦。由于智能手機的強大功能，深受大眾的喜愛，目前我國智能手機占比達10％，而且智能手機的

2、滲透率成倍增長，預計2013年占有率將有可能接近50％。Iphone是智能手機的領(lǐng)跑者，論文以Iphone為例進行取證分析。
　　 本文首先介紹了取證工作的原則，確保取證工作的合法性和權(quán)威性，其次深入分析了Iphone的硬件結(jié)構(gòu)及系統(tǒng)結(jié)構(gòu)，詳細介紹了Iphone存諸數(shù)據(jù)信息的文件夾。Preferences記錄了系統(tǒng)配置的詳細信息以及網(wǎng)絡(luò)信息的備份，是我們?nèi)∽C工作的重點對象。Iphone使用Sqlite數(shù)據(jù)庫，其中三個最大的數(shù)據(jù)庫

3、是電話本、通話記錄和短消息，詳細介紹了三個數(shù)據(jù)庫的各個表的組成及取證過程。
　　 在取證前，首先對Iphone進行越獄處理。由于Iphone為保持系統(tǒng)的穩(wěn)定性、省電、刪除文件不產(chǎn)生垃圾等優(yōu)勢，用戶只有讀沒有寫的權(quán)限。我們對Iphone數(shù)據(jù)庫的信息進行提取時，要使用第三方軟件，因此必須進行越獄處理。在我們安裝取證工具時，接觸操作系統(tǒng)，不能毀壞用戶的分區(qū)。iLiberty+程序是一個取證工具，它能夠安裝到操作系統(tǒng)的核心部件中，安全的

4、安裝到Iphone中而不經(jīng)過Iphone本身的允許。恢復工具包括openSSH安全系統(tǒng)，Netcat通過網(wǎng)絡(luò)發(fā)送數(shù)據(jù)，md5建立硬盤的鏡像，dd 復制硬盤的鏡像訪問磁盤。
　　 將恢復出來的數(shù)據(jù)進行分析，例如發(fā)現(xiàn)Consolidated.db 里面有巨大的地理定位數(shù)據(jù)，里面的數(shù)據(jù)包含了系統(tǒng)使用的每個基站的的信息，這些數(shù)據(jù)可以確定打電話的時間和位置。Clients.plist是wi-fi熱點信息，包含地理位置、MAC地址、WI-F

5、I熱點以及時間。
　　 Clients.plistproperty list 包含了使用應(yīng)用程序的數(shù)據(jù)，可以收集到應(yīng)用程序的名字，程序開始的日期和時間，結(jié)束的日期和時間數(shù)據(jù)信息。
　　 最后提取出一種新的取證思路，將常用的取證工具打包放到一起，加速取證的過程。并搭建起一個連接取證手機，主控手機，遠程服務(wù)器的取證平臺?？蛻舳讼到y(tǒng)植入目標手機后，隱藏地運行在后臺，提取手機相關(guān)信息，包括用戶的通話記錄、電話本、短消息，上網(wǎng)記錄