17、Android设备取证分析：应用数据与文件系统洞察

Android设备取证分析：应用数据与文件系统洞察

1. YAFFS2文件系统数据恢复

缺乏支持YAFFS2文件系统的商业工具，并不意味着无法恢复额外数据。在Ubuntu工作站上使用免费的开源工具，能为调查提供强大助力。结合十六进制分析，调查人员可从Android设备的YAFFS2分区中提取证据。当遇到运行基于YAFFS2文件系统的嵌入式Linux医疗设备相关案件时，调查人员可自信开展调查。

2. Android应用分析概述

对Android设备进行取证和安全调查时，了解关键应用的数据存储位置很有帮助。以下分析10个重要应用，提供应用信息、文件和目录、重要数据库表以及分析注意事项等数据。所有时间戳均为Unix Epoch毫秒（自1970年1月1日起的毫秒数）。这些应用在设备上安装使用后，用自定义Python程序进行分析。

2.1 消息应用（SMS和MMS）

• 应用信息
  • 应用名称：Messaging
  • 包名：com.android.providers.telephony
  • 版本：2.2
  • 设备：HTC Incredible
  • 开发者：Android
• 目录、文件和文件类型 ：位于/data/data/com.android.providers.telephony
• 重要数据库表和文件
  | 数据库表