14、移动设备数据提取与分析：从山寨机到安卓手机

移动设备数据提取与分析：从山寨机到安卓手机

在当今数字化时代，移动设备存储着大量有价值的信息，对于刑事调查、数据恢复等领域具有重要意义。本文将探讨MTK山寨机的内存数据以及安卓智能手机的位置数据相关内容。

MTK山寨机内存数据分析

MTK山寨机在处理电话簿数据和通话记录的添加与删除时，有着独特的机制。

通话记录数据特点

通过对MTK山寨机内存转储的分析发现，手机操作系统通常只能获取最新的电话簿条目和通话记录。但实际上，二进制镜像中往往包含了在不同时间创建和存储的多个数据副本。例如，一个通话时长为40秒的通话记录，其在二进制镜像中的数据与通过手机用户界面手动获取的数据相匹配。不过，手机仅记录对应电话号码的最后一次通话时间信息，所有通话的时间信息无法通过用户界面获取，只要数据未被覆盖，这些信息就能在二进制文件中找到。

时间序列重建

由于闪存内存的擦除和分配机制，当非易失性随机访问存储器（NVRAM）中的数据项更新时，手机可能会修改随机存取存储器（RAM）中的旧数据项，并将整个块复制到新地址，同时将旧数据项的内存地址标记为无效，从而产生多个数据副本。这些副本会一直存在，直到内存空间被其他数据覆盖。虽然副本的创建时间未被存储，但仍有可能构建出副本创建时的时间序列。

为了验证这一点，我们对山寨机依次执行了一系列操作来修改电话簿中的数据项，操作如下表所示：
| 序号 | 操作 | 联系人 | 电话号码 |
| ---- | ---- | ---- | ---- |
| 1 | 添加一个条目 | PHONE0001 | 135704****2 |
| 2 | 添加一个