15、Android应用与取证分析全解析

Android应用与取证分析全解析

1. 数据采集与初步处理

在对安卓设备进行取证时，有多种技术可供选择。若设备设置了密码保护，需先绕过该保护才能提取数据。不过，并非在所有情况下都能成功绕过密码。一旦设备可访问，取证分析师可选择逻辑采集或物理采集。逻辑采集主要关注通过内容提供者可访问的未删除数据；物理采集则更全面，但技术要求更高。

1.1 使用tar工具进行数据归档

可使用tar工具将文件和目录放入单个存档（通常称为tarball）。例如，将包含短信/彩信消息的“/data/data”目录和“/cache”目录传递给tar进行归档。可通过网络发送该存档，也可将其保存到SD卡。

1.2 其他数据采集工具

当获得安卓设备的root权限并充分了解其架构后，可使用nanddump、dd、tar、netcat和adb创建取证镜像或数据副本进行分析。

2. 分析技术概述

2.1 时间线分析

时间线分析应是任何调查的关键组成部分，因为事件发生的时间几乎总是相关的。构建取证时间线有多种方法，但除非使用专业软件，否则过程可能很繁琐。以下是时间线分析的相关要点：
- 软件工具 ：包括The Sleuth Kit和log2timline等免费开源取证工具，以及其他法医工具都可创建时间线。
- 支持的文件系统 ：对于支持的文件系统（如SD卡和嵌入式多媒体卡[eMMC]上的FAT16/FAT32文件系统），有许多工具可创建时间线。但YAFFS2目前不受任何分析工具支持，创建时间线需要大量手动分析。