15、移动设备取证实验结果与分析

移动设备取证实验结果与分析

1. Android 设备取证实验

在 Android 设备取证实验中，使用了之前提到的两种方法。实验设备为运行 Android 8.0.0 版本的三星 Galaxy S7，取证工作站是一台 2011 年的 iBuyPower 游戏笔记本，上面安装了 Android Debug Bridge (ADB)、Android Backup Extraction (ABE)、FTK Imager、DB Browser for SQLite 以及各种版本的 Odin、TWRP、ncat、CF Auto Root 和适用于 Windows 的三星 Galaxy S7 驱动。

1.1 非 root 设备的逻辑数据提取

以下是具体操作步骤：
1. 准备工作 ：将设备更新到 Android 8.0.0 版本，确保安全可绕过，连接模式为 MTP，并启用 USB 调试模式。
2. 确认设备连接 ：使用命令 “adb devices” 确保 adb 能找到设备。
3. 创建备份 ：
- 创建一个名为 “image” 的新文件夹。
- 切换到该文件夹，使用命令 “adb backup -all -f backup.ab” 创建 Android 设备的新备份。
4. 同意备份并输入密码 ：Android 设备会提示是否对所有数据进行备份，同意并输入密码。
5. 解压备份文件 ：使用 abe.jar 解压新创建的备份，由于