可以看杂志的软件 【自备份在国产安卓手机取证中的应用】(6)

现在大部分手机都没有ROOT或者无法ROOT，但是从取证角度来说既不能污染证据，也不能给手机里面写数据，这样需要借助VIVO手机厂家指令来判断是否ROOT，这里需要在手机拨号键输入：*#*#001#*#*，其中显示结果中is_root=0"表示未root" ，则is_root=1“表示具有root权限”，如图：

图20 查询ROOT权限

2) 手机使用情况痕迹

与OPPO手机一样，vivo手机只需要在拨号界面输入*#*#4636#*#*指令，手机端会显示：手机信息，数据统计，WiFi连接信息记录等日志信息，数据统计中会包含嫌疑人曾经的使用痕迹。

4 自备份取证的不足

自备份作为全盘加密、无法ROOT、无法ADB降版本备份的7.0以上版本国产安卓手机的解决方案，已经足够应对绝大多数安卓手机的取证问题。但是，随着系统安全性的提升、APP功能的拓展，以及嫌疑人反取证意识的提高，自备份取证方式还存在着很多的不足。

4.1 应用分身

分身功能可以实立，还有一些第三方应用单独实现了此功能，如LBE平行空间（原分身大师）、克隆大师等。其中对手机取证起到最大影响的主要还是社交通联类APP的双开或多账号登录。

图21 应用分身

4.2 锁屏密码

自备份制作的前提是手机能够正常启动并进入到系统内，如果出现手机有锁屏密码，又无法破解或者绕过的情形，那自备份取证便被困在起点，无法实施了。

4.3 数据恢复

众所周知，不管是哪种形式的备份，得到的数据范围总是小于整个存储芯片的完整容量的，能够备份到的数据通常只是用户产生的记录痕迹的绝大部分，自备份也一样。

针对手机的数据恢复通常包含两种：基于内容的记录级恢复和基于磁盘空间的文件级恢复。对于备份而言，由于无法像芯片镜像那样涉及完整的磁盘空间和未分配簇，文件级恢复当然无法实现，很多APP涉及的多媒体收发记录及相册中涉案的关键视频和图片删除后也因此无法重见天日。相关记录所在的文件是完全可以获得的，记录级恢复理论上也可以实现，但是随着存储机制的发展和变化，数据删除后的收缩整理给恢复带来了毁灭性的影响，我们更多的需要从原文件以外其他缓存区域寻求更多的机会。

结束语

相信在未来的很长一段时间内，安卓系统都将继续统治智能手机市场，安卓手机取证技术的发展也值得我们持续关注。随着安卓系统的升级、系统和数据安全性的加固，以及国产安卓手机在国内乃至全球市场的骄人占有率，利用自备份功能实现的手机取证也势必将在安卓取证的广阔领域燃起一星火光。虽然其依然囿于加密情形，具有很大的局限性，但结合常规的审讯手段，对解锁后的新系统手机取证至少为现阶段某一类棘手的问题提供了新的思路。笔者相信在推动手机取证技术的发展的主力中安卓系统取证研究将仍然是一股强劲的力量，值得所有行业人员一起拭目以待。

参考文献

〔1〕Rick Ayers/Sam Brothers/Wayne Jansen.NIST Special Publication 800-101 Revision 1.Guidelineson Mobile Device Forensics [S]. 出版地：美国: 出版者：U.S. Department of Commerce 出版年：2014

〔2〕菲菲博客. 轻松解包MIUI备份bak文件 还原出明文数据〔C/OL〕.(2016/10/24).获取和访问路径：

〔3〕安卓Android中文百科.〔OL〕.(2011/1/11).获取和访问路径：

〔4〕百度文库. 安卓系统重要文件类型与系统模式详解〔OL〕.(2011/9/23).获取和访问路径：?url=O_vDdK990ncmwImjATG86Uh-t9RSCn0iX_9KNwMxb5M2E8oED0mgcx9X3GdZ6Ts8Ho0QAMtZ7034gwkA5ARH3tBpAMLJB53ZzRYNcFwTEcm

〔5〕站长之家. Gartner第二季度智能机报告：三星居首 Oppo、Vivo份额快速上升〔R/OL〕.(2017/8/24).获取和访问路径：

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/shouji/article-60735-6.html