16、Android文件系统取证分析指南

Android文件系统取证分析指南

1. Android目录探索

在Android系统中，研究人员可以通过对特定目录下的文件进行实验，找到许多有用且未记录的命令。例如，“/system/customize”目录包含了运营商对手机的特定定制内容，特别是用户界面（UI）方面的定制。而“/system/etc”目录则是Android存储典型Linux/Unix配置（/etc）的地方，这里面有大量值得研究的配置文件，不过不同设备的该目录内容可能会有所不同。

2. FAT文件系统取证分析

2.1 SD卡的重要性

SD卡对于取证调查人员来说就像是一座金矿。所有与手机同步的多媒体文件，或者用手机相机拍摄的内容，都会存储在这里。能够恢复的内容包括图片、视频、语音记录、应用数据、音乐、谷歌地图数据，甚至可能还有使用SD卡进行存储的备份应用的完整备份文件。此外，调查人员还能找到缓存的彩信图像缩略图、与删除对象相关的垃圾信息以及下载的应用APK文件。

例如，用户使用谷歌地图获取到当地购物中心的驾驶路线后，通过对SD卡上“com.google.android.apps.maps/cache”目录的取证检查，能够恢复地图图像切片和导航语音提示。这些语音提示还带有日期和时间戳，调查人员可以借此准确追溯设备在特定时间和日期的位置。

需要注意的是，SD卡可以通过Android系统作为外部大容量存储设备进行挂载，用户可以在SD卡和个人计算机之间传输任何文件。

2.2 FAT时间线分析

为了构建FAT32镜像的文件系统时间线，我们会同时使用The Sleuth Kit（TSK）和另一个优秀的开源取证工具l