趙 斌，屈會(huì)芳

（1．濟(jì)寧學(xué)院 計(jì)算機(jī)科學(xué)系，山東 曲阜 273155;2．北京工業(yè)大學(xué) 軟件學(xué)院， 北京 100124）

面向安卓移動(dòng)終端設(shè)備數(shù)據(jù)取證技術(shù)

趙 斌1，2，屈會(huì)芳1

（1．濟(jì)寧學(xué)院 計(jì)算機(jī)科學(xué)系，山東 曲阜 273155;2．北京工業(yè)大學(xué) 軟件學(xué)院， 北京 100124）

鑒于基于安卓的無(wú)線移動(dòng)終端設(shè)備得到日益廣泛的應(yīng)用，在對(duì)司法證據(jù)進(jìn)行獲取和鑒定過(guò)程中對(duì)存在于這些終端設(shè)備中的數(shù)據(jù)進(jìn)行提取、處理和分析也變得越來(lái)越迫切，成為一個(gè)不可忽略的獲取證據(jù)的途徑．本文針對(duì)安卓的數(shù)據(jù)取證分析，從技術(shù)的層面介紹了移動(dòng)終端數(shù)據(jù)恢復(fù)的邏輯技術(shù)和物理技術(shù)，并提出了時(shí)間序列、文件系統(tǒng)、字符串匹配等相關(guān)的數(shù)據(jù)分析技術(shù)．

安卓；取證；數(shù)據(jù)恢復(fù)；數(shù)據(jù)分析

引 言

隨著現(xiàn)代計(jì)算機(jī)、手機(jī)、移動(dòng)硬盤(pán)等電子設(shè)備的廣泛使用和社會(huì)信息化推進(jìn)進(jìn)程的加快，越來(lái)越多的刑事案件和民事糾紛涉及電子數(shù)據(jù)信息，需要通過(guò)司法鑒定的方式來(lái)證明一些客觀事件存在的真實(shí)性.數(shù)字取證[1-3]是一個(gè)高速發(fā)展的技術(shù)領(lǐng)域，對(duì)諸如公司內(nèi)部調(diào)查分析、民事訴訟、刑事調(diào)查、情報(bào)收集以及涉及到國(guó)家安全等眾多方面產(chǎn)生巨大的影響.數(shù)字取證作為快速發(fā)展及變化的領(lǐng)域，其中移動(dòng)取證[2]給人們提供了巨大的商機(jī)以及嚴(yán)峻的挑戰(zhàn)同時(shí)，對(duì)于取證分析師和安全工程師來(lái)說(shuō)，針對(duì)安卓的取證分析[3]將會(huì)呈現(xiàn)出一個(gè)高速的增長(zhǎng).在取證過(guò)程中，電子數(shù)據(jù)信息是用二進(jìn)制數(shù)據(jù)表示的，以數(shù)字信號(hào)的方式存在，而數(shù)字信號(hào)是非連續(xù)性的，故意或由于其他差錯(cuò)對(duì)數(shù)字證據(jù)進(jìn)行的變更、刪除、刪減、剪接、截收和監(jiān)聽(tīng)等，都會(huì)導(dǎo)致對(duì)數(shù)據(jù)的篡改.因此，融合磁盤(pán)及內(nèi)存數(shù)據(jù)恢復(fù)、數(shù)據(jù)挖掘、加密技術(shù)、反向工程、解決技術(shù)等其它理論和技術(shù)對(duì)證據(jù)應(yīng)該給予充分的安全保障.但是，取證分析師和信息安全工程師們由于缺少應(yīng)有的用于了解相應(yīng)設(shè)備和手持終端的知識(shí)以及技術(shù)，常常會(huì)遇到了巨大的難題.

本文針對(duì)司法鑒定中所涉及的移動(dòng)終端設(shè)備的數(shù)字取證問(wèn)題，從技術(shù)的層面闡述了數(shù)據(jù)恢復(fù)和分析的相關(guān)技術(shù).

1 數(shù)據(jù)取證技術(shù)

安卓取證技術(shù)從本質(zhì)上分為邏輯技術(shù)和物理技術(shù)兩類：邏輯數(shù)據(jù)恢復(fù)技術(shù)和物理數(shù)據(jù)恢復(fù)技術(shù)[4-5].

1.1 邏輯數(shù)據(jù)恢復(fù)技術(shù)

邏輯技術(shù)[4-5]通過(guò)訪問(wèn)文件系統(tǒng)的手段來(lái)實(shí)現(xiàn)對(duì)所分配的數(shù)據(jù)進(jìn)行挖掘.所分配的數(shù)據(jù)是指那些沒(méi)有被刪除的數(shù)據(jù)，可以通過(guò)訪問(wèn)文件系統(tǒng)獲得.針對(duì)安卓系統(tǒng)的邏輯數(shù)據(jù)恢復(fù)技術(shù)一般指從當(dāng)前的文件目錄下獲取數(shù)據(jù)文件，并進(jìn)行邏輯分析

的技術(shù).當(dāng)前對(duì)于安卓操作系統(tǒng)的移動(dòng)終端設(shè)備來(lái)說(shuō)，所有與應(yīng)用程序相關(guān)的數(shù)據(jù)和信息都存放在data/data/目錄下，每種不同的應(yīng)用程序在該目錄下用可區(qū)分的不同子目錄存放本程序的數(shù)據(jù)文件，例如：手機(jī)彩信相關(guān)文件所在目錄為data/ data/com.Android.mms、聯(lián)系人相關(guān)文件所謂目錄為data/data/com.Android.contacts等等.上述的每個(gè)目錄下都會(huì)有一個(gè)databases目錄，這個(gè)目錄中所存儲(chǔ)的是一些對(duì)應(yīng)于該應(yīng)用程序的SQLite數(shù)據(jù)庫(kù)文件（SQLite是安卓操作系統(tǒng)采用的數(shù)據(jù)庫(kù)程序）.通過(guò)google官方提供的調(diào)試工具adb，可以查看所有目錄中存儲(chǔ)的文件，并可以方便的將需要用于邏輯分析的SQLite數(shù)據(jù)庫(kù)文件提取到運(yùn)行adb工具的pc機(jī)上，然后就可以使用某種數(shù)據(jù)庫(kù)文件查看器（例如：SQLite expert）對(duì)提取到的數(shù)據(jù)庫(kù)文件進(jìn)行查看和分析.

這種數(shù)據(jù)獲取和分析方式操作簡(jiǎn)單、易于實(shí)現(xiàn)，可以從SQLite數(shù)據(jù)庫(kù)文件中獲取大量信息，例如：瀏覽器瀏覽記錄、聯(lián)系人、短信/彩信記錄等等.但是這種方式的缺陷也很明顯，用該方法進(jìn)行數(shù)據(jù)取證的唯一來(lái)源就是各種應(yīng)用程序正在使用的SQLite數(shù)據(jù)庫(kù)文件當(dāng)前內(nèi)容，一旦某些應(yīng)用程序已經(jīng)卸載導(dǎo)致該類型數(shù)據(jù)庫(kù)文件不再存在，或者應(yīng)用程序?qū)?shù)據(jù)庫(kù)中的某些內(nèi)容已經(jīng)做過(guò)刪除處理，這些信息就無(wú)法從數(shù)據(jù)庫(kù)文件中獲取.另外，SQLite數(shù)據(jù)庫(kù)的某些文件中數(shù)據(jù)庫(kù)記錄一旦被刪除也將不能顯示.

與傳統(tǒng)的邏輯技術(shù)相比較，在安卓取證中采用一些特殊的工具與技術(shù)，依賴于內(nèi)容提供商內(nèi)置在安卓平臺(tái)或軟件開(kāi)發(fā)套件（SDK）技術(shù)從所獲取的邏輯數(shù)據(jù)中恢復(fù)被刪除的數(shù)據(jù)庫(kù)數(shù)據(jù).

1.2 物理數(shù)據(jù)恢復(fù)技術(shù)

物理技術(shù)[6-9]直接將存儲(chǔ)數(shù)據(jù)的物理介質(zhì)作為目標(biāo)，而不是依賴于文件系統(tǒng)來(lái)實(shí)現(xiàn)對(duì)于數(shù)據(jù)的訪問(wèn).物理技術(shù)最重要的優(yōu)點(diǎn)在于可能可以訪問(wèn)到大量被刪除的數(shù)據(jù).

針對(duì)安卓系統(tǒng)的物理數(shù)據(jù)恢復(fù)技術(shù)指通過(guò)某種手段直接對(duì)安卓設(shè)備的硬件存儲(chǔ)區(qū)域直接進(jìn)行鏡像，生成數(shù)據(jù)鏡像文件并進(jìn)一步分析的技術(shù).獲取目標(biāo)數(shù)據(jù)存儲(chǔ)的物理映像取證技術(shù)通常能夠繞過(guò)口令的保護(hù)獲得被修復(fù)的數(shù)據(jù)按照指數(shù)數(shù)量級(jí)增加.不僅能夠訪問(wèn)到已經(jīng)被刪除的數(shù)據(jù)，而且還能夠訪問(wèn)到系統(tǒng)認(rèn)為不再需要而丟棄的數(shù)據(jù).從結(jié)構(gòu)上說(shuō)物理數(shù)據(jù)恢復(fù)在邏輯數(shù)據(jù)恢復(fù)的下層，是邏輯數(shù)據(jù)恢復(fù)的基礎(chǔ).依據(jù)獲取鏡像手段的不同，可以分為基于硬件的物理數(shù)據(jù)恢復(fù)技術(shù)以及基于軟件的物理數(shù)據(jù)恢復(fù)技術(shù)二大類：

（1）硬件：將硬件與終端設(shè)備實(shí)現(xiàn)連接的方法，或者是物理上實(shí)際獲取終端設(shè)備部件的方法；

（2）軟件：將終端設(shè)備中的軟件在具有root訪問(wèn)權(quán)限條件下運(yùn)行的技術(shù)，以獲得數(shù)據(jù)分區(qū)完整的物理映像.

基于硬件的方法需要專門(mén)并且通常很昂貴的儀器以及對(duì)取證人員培訓(xùn)，但是對(duì)于無(wú)法獲得root訪問(wèn)權(quán)限的終端設(shè)備非常有效.基于軟件的物理技術(shù)是一個(gè)更加直接的數(shù)據(jù)獲取途徑，因而通常也是最好的開(kāi)始點(diǎn).當(dāng)然，必須首先獲得終端設(shè)備上的root訪問(wèn)權(quán)限，基于軟件的技術(shù)才成為可行.

2 數(shù)據(jù)分析技術(shù)

2.1 時(shí)間序列分析技術(shù)

時(shí)間序列分析[10-11]是定量的預(yù)測(cè)方法之一，是任何取證調(diào)查中的關(guān)鍵，是利用按時(shí)間順序排列的一組數(shù)據(jù)序列，應(yīng)用數(shù)理統(tǒng)計(jì)方法加以處理，以預(yù)測(cè)未來(lái)事物的發(fā)展.因?yàn)槿魏问录陌l(fā)生時(shí)間都是取證過(guò)程中的參考指標(biāo)，在數(shù)據(jù)分析過(guò)程中構(gòu)造出正確無(wú)誤的取證時(shí)間序列極其重要.

時(shí)間序列信息主要來(lái)源于文件系統(tǒng)的元數(shù)據(jù)，包括修改（文件元數(shù)據(jù)）、訪問(wèn)、變化（文件內(nèi)容）及創(chuàng)建等時(shí)間戳信息.文件系統(tǒng)跟蹤不同的時(shí)間戳，在取證分析的過(guò)程中計(jì)算延遲和精確度，得出細(xì)微的時(shí)間差別.如果人工分析時(shí)間序列將需要發(fā)費(fèi)大量的工作量，目前，對(duì)于支持的文件系統(tǒng)（如SD卡以及嵌入式多媒體卡[eMMC]上的 FAT16/ FAT32 文件系統(tǒng)），已經(jīng)存在有數(shù)種可以用于構(gòu)建時(shí)間序列的算法.然而，目前沒(méi)有任何分析工具支持 YAFFS2文件系統(tǒng)，對(duì)于不同的安卓終端設(shè)備以及不同的安卓版本，相關(guān)的文件系統(tǒng)都會(huì)有所不同.因而在現(xiàn)有基于Apriori性質(zhì)的時(shí)間序列分析算法的基礎(chǔ)上，需構(gòu)建、設(shè)計(jì)新的自適應(yīng)時(shí)間序列算法來(lái)應(yīng)對(duì)安卓操作系統(tǒng)的更新變化.

新的自適應(yīng)時(shí)間序列算法通過(guò)分析來(lái)自于程序調(diào)試日志、stat 命令以及模擬 NAND 閃存設(shè)備中nanddump的相互對(duì)立數(shù)據(jù)為在 NAND 閃存上的

每一個(gè)文件和目錄都生成 MAC 時(shí)間點(diǎn)，根據(jù)時(shí)間點(diǎn)從在 NAND 閃存上或者是ObjectHeaders（從系統(tǒng)提供但是不存在的塊中的垃圾回收站中找到的）中所收集的完整元數(shù)據(jù)信息中得到完整的時(shí)間信息.新的自適應(yīng)時(shí)間序列算法將是對(duì) YAFFS2 文件系統(tǒng)開(kāi)展取證研究的基礎(chǔ).

2.2 文件系統(tǒng)分析技術(shù)

安卓系統(tǒng)是基于Linux內(nèi)核的開(kāi)源手機(jī)操作系統(tǒng)，與其它操作系統(tǒng)一樣，采用了分層的架構(gòu)[12-13].從高層到低層分成應(yīng)用程序?qū)印?yīng)用程序框架層、中間件層和Linux 核心層等四個(gè)層.如圖1所示.

文件系統(tǒng)分析算法通過(guò)創(chuàng)建一定容量的nandsim終端設(shè)備，容納下Droid 中的“/data”分區(qū).使用nandwrite命令將數(shù)據(jù)和OOB區(qū)域拷貝到模擬的NAND閃存中去.從Droid上獲得的完整的“/data”文件系統(tǒng)，從工作站上可以進(jìn)行訪問(wèn)，匹配適應(yīng)的數(shù)據(jù)分析技術(shù)（SQLite數(shù)據(jù)庫(kù)查看器）就可以對(duì)相關(guān)數(shù)據(jù)進(jìn)行分析鑒定對(duì)數(shù)據(jù)進(jìn)行研究和分析.

2.3 文件分割技術(shù)

文件分割技術(shù)是指對(duì)具體的文件類型進(jìn)行查找與獲取的整個(gè)過(guò)程，它的基本理論是將目標(biāo)文件以二進(jìn)制形式進(jìn)行讀寫(xiě)，并分割成一定大小的多個(gè)二進(jìn)制文件，傳送到目的地后得到的是整個(gè)磁盤(pán)或分區(qū)的取證映像.文件分割的工作原理是基于已知的文件頭信息，通過(guò)檢查二進(jìn)制數(shù)據(jù)對(duì)文件進(jìn)行識(shí)別.如果從文件的格式定義中知曉文件尾，文件分割將從文件頭開(kāi)始掃描，直至找到文件尾（或者是在配置文件中設(shè)置的文件最大長(zhǎng)度），然后將分割的文件保存在磁盤(pán)上，以備隨后對(duì)其進(jìn)行取證檢查.

圖1 安卓操作系統(tǒng)架構(gòu)

傳統(tǒng)的文件分割技術(shù)要求映像中的數(shù)據(jù)按照順序進(jìn)行存儲(chǔ)，因此在文件分段存儲(chǔ)的情況無(wú)法獲得整個(gè)文件.將文件分段存儲(chǔ)的原因是由于文件分割隨著文件系統(tǒng)類型的不同而變化，而且根據(jù)內(nèi)存的不同而不同，如 NAND閃存中非常大的文件（如視頻文件）很難被恢復(fù).

針對(duì)碎片文件的制約問(wèn)題，設(shè)計(jì)獨(dú)立于任何文件系統(tǒng)的文件分割算法從配置文件中讀取滿足要求的文件頭和文件尾定義，使它能夠從原始映像中抽取出文件，用于恢復(fù)文件系統(tǒng)中的重要元素，對(duì)于取證分析來(lái)說(shuō)是一個(gè)非常有價(jià)值的工具.

2.4 字符串匹配技術(shù)

串匹配問(wèn)題是計(jì)算機(jī)科學(xué)中的一個(gè)基本問(wèn)題，也是復(fù)雜性理論中研究的最廣泛的問(wèn)題之一[14].它在文字編輯處理、圖像處理、文獻(xiàn)檢索、自然語(yǔ)言識(shí)別、入侵檢測(cè)等領(lǐng)域有著廣泛的應(yīng)用.串匹配問(wèn)題實(shí)際上就是一種模式匹配問(wèn)題，即在給定的文本串中找出與模式串匹配的子串的起始位置.字符串匹配技術(shù)在數(shù)字取證時(shí)根據(jù)已知信息對(duì)二進(jìn)制信息進(jìn)行快速查找，即通過(guò)關(guān)鍵字搜索獲得準(zhǔn)確信息.字符串匹配的實(shí)現(xiàn)可以有多種算法，以下是常用的匹配算法：BF算法、KMP算法，BM算法等.

由于谷歌地圖服務(wù)已經(jīng)緊密地集成在安卓操作系統(tǒng)中，使安卓終端設(shè)備存在著大量的位置信

息，設(shè)計(jì)運(yùn)行于Ubuntu虛擬機(jī)中的支持功能強(qiáng)大的正項(xiàng)表達(dá)式的復(fù)雜模式匹配算法是必要的.

2.5 其它技術(shù)

在很多取證過(guò)程中，基于物理獲取數(shù)據(jù)之后的邏輯獲取、分析通常可以為案件得到足夠的數(shù)據(jù)信息.然而，某些案件還是需要更深入的分析，以找到已經(jīng)被刪除的文件或未知的文件結(jié)構(gòu)之間內(nèi)在的聯(lián)系.就會(huì)涉及到更多的相關(guān)技術(shù)，如：數(shù)據(jù)庫(kù)技術(shù)和數(shù)據(jù)挖掘技術(shù)，XML解析技術(shù)成為安卓取證中的一項(xiàng)必不可少的技術(shù)，十六進(jìn)制編輯器可以幫助取證分析師準(zhǔn)確地看到存儲(chǔ)的是什么數(shù)據(jù)，尋找其模式，也許還可以去識(shí)別被刪除的或者是從前見(jiàn)到過(guò)的數(shù)據(jù)結(jié)構(gòu).

3 總 結(jié)

本文介紹了針對(duì)基于安卓的移動(dòng)終端數(shù)據(jù)恢復(fù)的邏輯技術(shù)和物理技術(shù)及數(shù)據(jù)分析技術(shù).為公安、法院等各級(jí)偵探和執(zhí)法部門(mén)在案件的偵探和審理過(guò)程中能夠獲取涉案人員在所使用的智能手機(jī)或其他移動(dòng)終端設(shè)備中存有的通訊錄、通話記錄、來(lái)往信息、數(shù)碼照片、各類文件等用戶信息和數(shù)據(jù)，并盡可能對(duì)已經(jīng)被刪除的以上信息和數(shù)據(jù)進(jìn)行恢復(fù)，以滿足對(duì)案件進(jìn)行調(diào)查和審理的需要提供技術(shù)支持.另外，能夠增強(qiáng)人們對(duì)相關(guān)信息和數(shù)據(jù)的保護(hù)意識(shí)、并利用更加有效的手段來(lái)保護(hù)這些信息和數(shù)據(jù)的安全.

[1]武魯,王連海,顧衛(wèi)東.基于云的計(jì)算機(jī)取證系統(tǒng)研究[J].計(jì)算機(jī)科學(xué),2012,39(5):83-85.

[2]吳紹兵.云計(jì)算環(huán)境下的電子證據(jù)取證關(guān)鍵技術(shù)研究[J].計(jì)算機(jī)科學(xué),2012,39(11A):139-142.

[3]王玲,錢(qián)華林.計(jì)算機(jī)取證技術(shù)及其發(fā)展趨勢(shì)[J].軟件學(xué)報(bào),2003,14(9):1635-1644.

[4]殷聯(lián)甫.計(jì)算機(jī)應(yīng)用與軟件,2010,27(12):295:298.

[5]殷聯(lián)甫.計(jì)算機(jī)取證工具分析[J].計(jì)算機(jī)系統(tǒng)應(yīng)用,2005:88-90,94.

[6]周敏,龔箭.分布式計(jì)算機(jī)取證模型研究[J].微電子學(xué)與計(jì)算機(jī),2012,29(2):40-43.

[7]楊澤明,錢(qián)桂瓊,許榕生，徐嘉陵.計(jì)算機(jī)取證技術(shù)研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2003：32-35.

[8]孫波.計(jì)算機(jī)取證方法關(guān)鍵問(wèn)題研究[D].北京：中國(guó)科學(xué)院研究生院，2004.

[9]譚敏,胡曉龍,楊衛(wèi)平.計(jì)算機(jī)取證概述[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用,2006(12):75-77.

[10]李玉龍.計(jì)算機(jī)取證技術(shù)的探討與研究[J].計(jì)算機(jī)安全,2007(5):7-9.

[11]麥永浩,徐云峰.計(jì)算機(jī)取證技術(shù)研究初探[J].警察技術(shù)，2006(4):6-10.

[12]張俊,麥永浩.云計(jì)算環(huán)境下仿真計(jì)算機(jī)取證研究[J].信息網(wǎng)絡(luò)安全,2011(10):7-9,12.

[13]郭陳陽(yáng),楊龍.計(jì)算機(jī)取證技術(shù)在打擊犯罪中的應(yīng)用[J].計(jì)算機(jī)光盤(pán)軟件與應(yīng)用，2012(09)：82-83.

[14]李佟鴻,麥永浩.數(shù)據(jù)挖掘在網(wǎng)絡(luò)取證中的應(yīng)用方法研究[J].信息網(wǎng)絡(luò)安全,2008(8):54-56.

（責(zé)任編輯 薛慶文）

Android-oriented Mobile Devices Data Forensics Technology

ZHAO Bin1,2, QU Huifang1

(1.The Department of Computer Science，Jining University，Qufu 273155，China；2.School of Software Engineering, Beijing University of Technology ，Beijing 100124, China )

In view of the increasingly wide use of Android-based wireless mobile terminal equipment, there are increasing needs for extract, processing and analysedatas from these devices in the process of acquisition and identification of judicial evidence and it became a non-negligible way to obtain evidence. This article describes data recovery logic and physical techniques for mobile devices for Android data forensics analysis.Furthermore, it proposed Time Sequence, File System , String Matching and other related data analysistechniques.

Android；forensics；data recovery；data analyze

TN92

A

1004—1877（2014）03—072—04

2014-01-18

趙斌（1979—），男，山東滕州人，講師，博士研究生，研究方向：網(wǎng)絡(luò)安全與測(cè)試，云計(jì)算，移動(dòng)取證；屈會(huì)芳（1976—），女，山東微山人，講師,碩士，研究方向：軟件工程，軟件測(cè)試.

山東省自然科學(xué)基金計(jì)劃-青年基金項(xiàng)目（ZR2013FQ024）；山東省高?？萍加?jì)劃項(xiàng)目（J12LN70）；山東省軟科學(xué)（2013RKA08007）；濟(jì)寧學(xué)院國(guó)家級(jí)基金計(jì)劃預(yù)研項(xiàng)目（2013YYJJ03）；濟(jì)寧學(xué)院青年科研基金項(xiàng)目（2013QNKJ08）；BS2012CL00)；山東省高等學(xué)校科技計(jì)劃項(xiàng)目(J11LB52)