代禮維 李奧

【 摘 要 】 隨著科技的進(jìn)步和發(fā)展，我國智能手機(jī)的發(fā)展進(jìn)入了高速期，針對新型的移動通信設(shè)備，要建立有效的管理和取證措施，才能保證取證程序的完整，如何優(yōu)化運行有效的取證機(jī)制，是需要研究人員在實際問題處理過程中深化思考的。論文針對智能手機(jī)取證原則、取證過程以及具體取證工具進(jìn)行了詳細(xì)的闡釋，并且對數(shù)據(jù)分析結(jié)構(gòu)展開了討論，旨在為管理人員提供有效的技術(shù)指導(dǎo)。

【 關(guān)鍵詞 】 智能手機(jī)；應(yīng)用程序；取證技術(shù)

【 中圖分類號 】 TP311

【 文獻(xiàn)標(biāo)識碼 】 A

【 Abstract 】 With the progress and development of science and technology， the development of China's smart phone entered the period of rapid， for new mobile communication equipment， it is necessary to establish effective management and measure of evidence， in order to ensure complete forensic procedures， how to optimize the operation of effective forensics mechanism， is required to researchers in a practical problem processing in the process of deepening thinking. In this paper， the principle of smart phone forensics， evidence collection process and the specific tools for a detailed explanation， and the data analysis of the structure is discussed， designed to provide effective technical guidance for the management staff.

【 Keywords 】 smart phone； application； forensic technology

1 引言

隨著科學(xué)技術(shù)的不斷發(fā)展，針對手機(jī)取證工作的研究，也在不斷地深入。在進(jìn)行智能手機(jī)取證時，項目研究人員要集中遵循幾項原則。

第一，合法取證原則。進(jìn)行智能手機(jī)取證的前提就是相應(yīng)的項目符合法規(guī)，只有在合法授權(quán)條件下，才能建立相應(yīng)的取證行為。在建立取證活動過程中，要設(shè)立取證人員、取證物品、取證技術(shù)手段以及取證基本程序等，保證取證行為在手段和技術(shù)合法的機(jī)制下運行。

第二，全面取證原則[1]。在進(jìn)行手機(jī)取證的過程中，項目管理人員要保證建立有效的項目處理機(jī)制，運行高效的信息提取技術(shù)，真正實現(xiàn)完整的數(shù)據(jù)鏈，通過對手機(jī)上相應(yīng)的瀏覽記錄進(jìn)行跟蹤和取證，保證整體數(shù)據(jù)信息的完整。

第三，無損取證原則。在對數(shù)據(jù)信息進(jìn)行集中取證的過程中，管理人員要根據(jù)實際情況建立建立有效的項目處理機(jī)制，從根本上確保信息數(shù)據(jù)的完整和真實有效。特別要注意的是，在信息取證的過程中，智能手機(jī)要保證開機(jī)狀態(tài)，且不能對手機(jī)日志進(jìn)行自行的刪改，也要遠(yuǎn)離高磁場以及高溫地區(qū)，避免由于載體損傷才造成的信息受損。

第四，及時取證原則。在信息收取的過程中，管理人員要針對手機(jī)即時生成的系統(tǒng)日志和系統(tǒng)進(jìn)程進(jìn)行有效跟蹤，一定要避免由于手機(jī)本身容量導(dǎo)致的信息覆蓋問題。

2 智能手機(jī)取證技術(shù)運行過程

在實際智能手機(jī)取證時，研究人員要根據(jù)實際情況建立最優(yōu)化的項目分析機(jī)制，保證整體取證過程符合具體要求。

首先，取證人員要針對取證項目建立相應(yīng)的取證單據(jù)，以保證整體取證行為的合法化，針對取證工作進(jìn)行有效的標(biāo)注和分析，建立最優(yōu)化的取證登記。

其次，取證人員要對收集進(jìn)行基本的物理處理。在處理過程中，相應(yīng)的處理人員要利用具體技術(shù)保證信息的完整和真實有效，物理處理中要對指紋解鎖的手機(jī)進(jìn)行指紋處理，以保證有權(quán)對手機(jī)能信息進(jìn)行讀取和收集，將SIM卡取下，放置在屏蔽器內(nèi)，以保證收集停止接受外界信息，并且有效的保留原始狀態(tài)。由于手機(jī)不能進(jìn)行鏡像處理，智能利用專業(yè)連接收集的信息收集芯片進(jìn)行信息的處理，保證手機(jī)能實現(xiàn)有效的物理和網(wǎng)絡(luò)連接，進(jìn)行工具包的實時恢復(fù)。

再次，進(jìn)行數(shù)據(jù)恢復(fù)，針對于整個取證過程，數(shù)據(jù)的恢復(fù)是重中之重，取證人員要利用鏡像專門檢查，保證手機(jī)內(nèi)相應(yīng)的數(shù)據(jù)得到很好的留存，利用相應(yīng)的技術(shù)手段對數(shù)據(jù)進(jìn)行優(yōu)化提取，保證對SIM卡內(nèi)的內(nèi)容進(jìn)行及時的智能讀寫，或者是在實際信息取證過程中利用TULP2G技術(shù)以及SimBrush技術(shù)等，利用MMC軟件以及SD技術(shù)對存儲卡內(nèi)的信息進(jìn)行讀取。特別要注意的是兩方面信息的收集和讀取：其一是ROM存儲，主要存儲的系統(tǒng)操作軟件[2]；其二是RAM，主要存儲的是及時運行數(shù)據(jù)，在手機(jī)實際運行過程中，主要是利用內(nèi)存形式進(jìn)行數(shù)據(jù)的擦除和寫入，相應(yīng)運行操作也是需要次數(shù)限制的，因此，取證人員要運行最優(yōu)化的信息收集方案。

最后，是所有的相應(yīng)技術(shù)操作完畢后，利用相應(yīng)的技術(shù)進(jìn)行證據(jù)的有效提取和分析，保證文件得到有效的恢復(fù)。

3 智能手機(jī)取證工具

本文針對蘋果的IOS系統(tǒng)進(jìn)行取證工具的分析，蘋果手機(jī)內(nèi)部存在閃存區(qū)，多數(shù)信息都存儲在閃存區(qū)內(nèi)部，大約空間為300M，主要是實際操作系統(tǒng)和應(yīng)用軟件，并且其默認(rèn)數(shù)據(jù)都存儲在存儲器內(nèi)部，始終保持出廠設(shè)置，剩余部分劃分為用戶使用區(qū)，用戶將自身使用信息以及運行內(nèi)容直接存儲進(jìn)去。這樣的設(shè)計時蘋果公司為了優(yōu)化客戶的實際體驗而建立的，旨在手機(jī)兩個區(qū)域內(nèi)進(jìn)行相應(yīng)活動。出廠設(shè)置區(qū)域內(nèi)部安裝取證工具具有非常安全的工作環(huán)境，第二區(qū)有大量使用者的實際信息，是取證工作的重點。

在對取證工具進(jìn)行劃分的過程中，管理人員要根據(jù)實際情況建立最優(yōu)化的通信方式選擇，不僅包括串口通信，也包括WiFi以及藍(lán)牙結(jié)構(gòu)，都能實現(xiàn)信息的傳輸，在達(dá)成串口協(xié)議后，通過指令的發(fā)送就是實現(xiàn)模式的恢復(fù)。

另外，還要進(jìn)行數(shù)據(jù)的恢復(fù)模型和數(shù)據(jù)完整性保存，在智能手機(jī)開機(jī)后，只有利用相應(yīng)的措施才能保證不會受到數(shù)據(jù)的污染，但是若是電話和其他設(shè)備進(jìn)行同步連接，蘋果手機(jī)就能集中復(fù)制對接電話的電話號碼，照片以及其他數(shù)據(jù)，因此，在實際取證前，相應(yīng)的管理人員要將Syncing設(shè)置為不能自動同步模式。以保證安裝取證工具后，不會損壞手機(jī)原有的分區(qū)。

在實際數(shù)據(jù)恢復(fù)過程中，相應(yīng)的管理人員要利用必要的數(shù)據(jù)信息進(jìn)行集中的處理，保證對相應(yīng)操作系統(tǒng)進(jìn)行有效的管控，其中最基本的Unix系統(tǒng)部分中，OpenSSH是基本的安全系統(tǒng)，Netcat是利用網(wǎng)絡(luò)發(fā)送數(shù)據(jù)的系統(tǒng)，The md5是建立硬盤鏡像的系統(tǒng)軟件，The dd是復(fù)制硬盤鏡像結(jié)構(gòu)來訪問磁盤項目的。在實際取證工具建立的過程中，主要的步驟包括下載最新版本的系統(tǒng)軟件，叫做iLiberty+，直接運行至C：＼盤，然后利用相應(yīng)的串口保證電腦USB接口的實時連接，一旦兩者建立相應(yīng)的聯(lián)系，就能識別項目中的具體數(shù)據(jù)和信息，真正落實取證工具的安裝[3]。

4 智能手機(jī)數(shù)據(jù)分析

在手機(jī)中進(jìn)行數(shù)據(jù)和信息的收集以及取證，需要研究人員針對不同問題進(jìn)行不同軟件的運行，以保證整體信息傳遞的實效性。其中包括：users/Desktop/Recovered iphone files等目錄，且能實現(xiàn)相關(guān)聯(lián)數(shù)據(jù)在整體程序中有效運行，在數(shù)據(jù)處理過程中，相應(yīng)管理人員要利用具體操作進(jìn)行集中數(shù)據(jù)庫分析，利用SQLite對Addressbook、SQLitedb以及addressbookimages.sqlitedb兩個數(shù)據(jù)庫進(jìn)行集中的數(shù)據(jù)處理，真正實現(xiàn)有效的取證技術(shù)整合。

取證人員能通過相應(yīng)的瀏覽工具進(jìn)行數(shù)據(jù)的處理和分析，真正實現(xiàn)主數(shù)據(jù)閾限的有效控制。除此之外，相關(guān)取證人員也可以利用GPS系統(tǒng)跟蹤進(jìn)行有效的取證數(shù)據(jù)分析，保證對人員的時間信息以及空間信息進(jìn)行直接的指引和運用，也能利用GPS系統(tǒng)對用戶的興趣點和愛好進(jìn)行詳細(xì)信息的收集和整理沒保證利用歷史記錄進(jìn)行有效信息的取證。

5 結(jié)束語

總而言之，在智能手機(jī)取證技術(shù)運行的過程中，取證人員要針對具體問題建立具體分析機(jī)制，保證對有效信息進(jìn)行集中的收集，并且遵循信息取證原則，嚴(yán)格遵守相應(yīng)的取證標(biāo)準(zhǔn)進(jìn)行取證操作，在取證過程中優(yōu)化運行相應(yīng)的取證技術(shù)，提高取證工具的安裝行為，建立最為有效的取證操作。我國智能手機(jī)用戶已經(jīng)突破了10億，要進(jìn)行優(yōu)化的取證工作，就需要相關(guān)取證人員在實際工作中不斷更新思路，建立最優(yōu)化取證路徑，推動整體工作的可持續(xù)發(fā)展。

參考文獻(xiàn)

[1] 辛蔚妮.智能手機(jī)：醫(yī)學(xué)教育的新工具[C].第七屆東西方聯(lián)盟大會暨第十四屆海峽兩岸及香港地區(qū)醫(yī)學(xué)教育研討會論文集.2013：59，135.

[2] AnneDiNardo，周怡.掌上革命在繼續(xù)——零售商利用智能手機(jī)技術(shù)成為趨勢[C].第十五屆國際商業(yè)論壇論文集.2012：51-51.

[3] 蔣文明，楊志新，蔣敏等.智能手機(jī)應(yīng)用程序圖標(biāo)設(shè)計的可用性研究[J].人類工效學(xué)，2015，21（03）：21-24，30.

作者簡介：

代禮維（1983-），男，貴州遵義人；主要研究方向和關(guān)注領(lǐng)域：電子數(shù)據(jù)現(xiàn)場勘察、電子物證取證。

李奧（1984-），男，貴州安順人；主要研究方向和關(guān)注領(lǐng)域：電子數(shù)據(jù)現(xiàn)場勘察、電子物證取證。