搜索

[20964] 2020-04-15_Andorid安全（七）之android取证工具介绍

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-18
2020-04-15_Andorid安全（七）之android取证工具介绍 A n d o r i d 安 全 （ 七 ） 之 a n d r o i d 取 证 工 具 介 绍 L e m o n S e c   2 0 2 0 - 0 4 - 1 5 A n d o r i d 安 全 （ 七 ） 之 a n d r o i d 取 证 工 具 介 绍 在 A n d o r i d - A P P   安 全 （ 六 ） 中 例 举 了 多 种 手 工 取 证 方 式 （ a d b   p u s h 、 手 动 转 储 数 据 库 、 数 据 备 份 ： N A N D r o i d 、 a d b   b a c k u p 、 供 应 商 取 证 等 多 种 取 证 方 式 ） 。 在 这 个 深 度 拥 抱 移 动 互 联 网 的 时 代 里 ， 智 能 手 机 已 经 渗 透 到 了 生 活 的 各 个 角 落 里 并 潜 移 默 化 地 改 变 着 人 们 的 生 活 方 式 。 自 然 地 ， 只 能 手 机 保 存 了 用 户 使 用 所 留 下 的 大 量 痕 迹 信 息 ， 也 因 此 成 为 了 取 证 调 查 人 员 需 重 点 关 注 的 证 据 源 。 传 统 智 能 手 机 取 证 的 关 注 对 象 大 多 集 中 在 手 机 的 内 置 存 储 器 ， 并 且 相 关 的 研 究 更 侧 重 于 探 讨 数 据 的 获 取 方 法 ， 在 数 据 分 析 方 面 较 少 有 所 提 及 。 然 而 ， 随 着 手 机 内 置 存 储 器 中 数 据 的 种 类 和 数 量 不 断 增 多 ， 简 单 地 罗 列 提 取 的 数 据 已 无 法 满 足 现 实 取 证 的 需 求 ， 需 要 对 数 据 进 行 进 一 步 更 深 层 次 的 研 究 。 此 外 ， 处 于 保 护 用 户 数 据 隐 私 的 目 的 ， 最 新 版 本 的 手 机 应 用 程 序 逐 渐 开 始 对 数 据 进 行 加 密 存 储 。 收 集 内 置 存 储 器 中 获 取 到 的 数 据 基 本 是 加 密 后 的 乱 码 信 息 ， 因 而 需 要 将 只 能 手 机 取 证 的 研 究 关 注 点 适 时 地 转 向 手 机 的 A R M 存 储 器 。 脱 离 手 工 取 证 ， 本 篇 A n d o r i d - A P P   安 全 （ 七 ） 简 单 介 绍 几 种 工 具 取 证 方 式 。 笔 主 并 不 是 取 证 大 师 ， 只 是 在 自 己 学 习 研 究 的 道 理 上 做 了 总 结 ， 欢 迎 指 点 交 流 。   手 机 取 证 可 以 说 是 成 长 和 发 展 速 度 最 快 的 数 字 取 证 学 科 ， 这 得 益 于 手 机 行 业 的 快 速 增 长 ， 给 取 证 行 业 的 从 业 者 提 供 了 重 要 的 基 于 以 及 许 多 挑 战 。 无 论 数 字 设 备 的 类 型 是 哪 一 种 ， 数 字 取 证 调 查 的 过 程 都 会 包 括 数 据 获 取 和 数 据 分 析 两 个 阶 段 ， 具 体 是 指 将 设 备 中 的 数 据 克 隆 或 复 制 到 外 部 存 储 器 ， 接 着 用 分 析 工 具 对 从 设 备 中 获 取 到 的 数 据 进 行 分 析 ， 以 此 提 取 出 有 价 值 的 信 息 。 A n d r o i d 手 机 取 证 的 研 究 工 作 也 可 分 为 这 两 个 部 分 ， 即 获 取 和 分 析 设 备 中 的 数 据 。 数 据 取 证 的 方 法 已 相 对 成 熟 ， 主 要 有 手 工 提 取 、 逻 辑 提 取 和 物 理 提 取 三 种 方 式 . 每 种 方 式 需 要 使 用 到 的 技 术 和 所 能 提 取 到 的 数 据 都 是 不 尽 相 同 的 ， 调 查 取 证 人 员 需 要 根 据 具 体 实 情 进 行 恰 当 的 选 择 。 相 同 的 是 ， 三 种 方 式 都 需 要 调 查 人 员 对 取 证 调 查 活 动 所 要 涉 及 到 的 平 台 与 工 具 有 足 够 的 了 解 。 对 A n d r o i d 基 础 等 要 有 深 入 了 解 。 之 前 文 章 有 对 A n d r o i d 基 础 的 介 绍 ， A n d r o i d - A P P   安 全 （ 五 ） 之 a n d r o i d 取 证 - 文 件 系 统 与 数 据 结 构 h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 0 0 1 8 4 . h t m l 。 以 及 针 对 A P P 手 工 取 证 h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 0 1 9 3 1 . h t m l 。 L i n u x 内 存 获 取 方 法 内 存 获 取 方 法 = = = = = = = = = = = = = = = = = = = = = = = = = 在 对 计 算 机 系 统 进 行 取 证 调 查 时 ， 具 备 获 取 和 分 析 物 理 内 存 （ R A M ） 数 据 的 能 力 是 至 关 重 要 的 。 因 为 ， 物 理 内 存 中 不 仅 保 存 有 最 近 运 行 程 序 、 打 开 文 件 以 及 访 问 网 络 等 操 作 所 留 下 的 痕 迹 信 息 ， 并 且 还 能 检 索 到 一 些 只 在 内 存 中 出 现 且 未 曾 保 存 到 硬 盘 上 的 数 据 信 息 ， 例 如 恶 意 代 码 入 侵 的 痕 迹 信 息 以 及 磁 盘 加 密 文 件 的 解 密 秘 钥 等 易 失 性 数 据 信 息 。 于 此 类 似 的 是 ， 在 进 行 A n d r o i d 手 机 取 证 调 查 时 ， 同 样 需 要 具 备 获 取 和 分 析 物 理 内 存 数 据 的 能 力 。 由 于 A n d r o i d 系 统 是 基 于 L i n u x 内 核 开 发 的 ， 因 为 可 以 把 L i n u x 内 存 取 证 的 研 究 思 路 借 鉴 到 A n d r o i d 物 理 内 存 取 证 的 研 究 中 。 获 取 L i n u x 内 存 镜 像 传 统 的 方 法 是 在 d e v / m e m 目 录 下 使 用 d d 命 令 获 取 物 理 内 存 的 映 射 文 件 。 A n d r o i d 取 证 ： 使 用 A D B 和 D D 对 文 件 系 统 做 镜 像             关 于 a d b 结 合 d d 的 使 用 ， 网 上 已 经 有 很 多 文 章 了 ， 这 里 只 做 一 个 详 细 步 骤 的 描 述 。 已 经 看 过 相 关 文 章 的 童 鞋 跳 过 ~           d d 工 具 是 取 证 中 最 常 用 的 工 具 之 一 ， 以 便 为 数 据 提 取 过 程 创 建 映 像 。   换 句 话 说 ， 它 用 于 将 指 定 的 输 入 文 件 转 换 并 复 制 为 输 出 文 件 。   通 常 在 分 析 期 间 ， 我 们 不 允 许 与 证 据 直 接 交 互 和 更 改 。   因 此 ， 获 得 设 备 文 件 系 统 的 映 像 ， 然 后 对 其 执 行 分 析 总 是 一 个 好 的 选 择 。 默 认 情 况 下 ， d d 工 具 在 大 多 数 基 于 L i n u x   的 系 统 中 ， 以 及 在   A n d r o i d   设 备 中 的 / s y s t e m / b i n 中 都 存 在 。 如 果 它 不 存 在 于 你 的 设 备 中 ， 您 可 以 安 装   B u s y B o x ， 它 将 安 装 d d 以 及 一 些 其 他 有 用 的 二 进 制 文 件 。 你 可 以 从   B u s y B o x   应 用 程 序 （ h t t p s : / / p l a y . g o o g l e . c o m / s t o r e / a p p s / d e t a i l s ? i d = s t e r i c s o n . b u s y b o x ） 获 取 d d 的 二 进 制 文 件 ， 或 者 你 甚 至 可 以 自 己 交 叉 编 译 。 1 . 我 们 需 要 找 到 的 第 一 个 东 西 是 不 同 的 分 区 ， 它 们 存 在 于 我 们 的 A n d r o i d 设 备 上 ， 就 像 我 们 之 前 做 的 一 样 。 这 可 以 通 过 查 看 / p r o c / m t d 文 件 的 内 容 来 完 成 。
    2 . 接 下 来 ， 我 们 需 要 了 解 数 据 分 区 的 位 置 ， 因 为 这 里 我 们 采 集 数 据 分 区 的 备 份 。 在 这 种 情 况 下 ， 它 位 于 m t d b l o c k 6 。 这 里 ， 我 们 将 启 动 d d ， 并 将 映 像 存 储 在 s d c a r d 中 。 稍 后 我 们 将 使 用 命 令 拉 取 映 像 。 命 令 只 是 简 单 地 允 许 你 将 文 件 从 设 备 拉 取 到 本 地 系 统         3 . 复 制 可 能 需 要 一 些 时 间 ， 一 旦 复 制 完 成 ， 我 们 可 以 推 出 a d b   s h e l l ， 访 问 我 们 的 终 端 ， 并 键 入 以 下 代 码 ：         a d b   p u l l   / m n t / s d c a r d / d a t a . i m g   d a t a . i m g         4 . 我 们 还 可 以 使 用 n e t c a t 工 具 将 映 像 直 接 保 存 到 远 程 位 置 / 系 统 。 为 此 ， 我 们 首 先 需 要 将 端 口 从 设 备 转 发 到 系 统 。         a d b   f o r w a r d   t c p : 5 5 6 6   t c p : 5 5 6 6         5 . 同 时 ， 我 们 需 要 在 这 里 启 动 n e t c a t 工 具 ， 监 听 端 口 5 5 6 6         n c   1 2 7 . 0 . 0 . 1 : 5 5 6 6   >   d a t a . i m g         6 . 此 后 ， 我 们 必 须 执 行 a d b   s h e l l 进 入 设 备 ， 然 后 启 动 d d 工 具 ， 并 将 输 出 转 发 到 n e t c a t 。         n c   – l   – p   5 5 6 6   – e   d d   i f = / d e v / b l o c k / m t d b l o c k 6         这 将 把 映 像 保 存 到 系 统 中 ， 而 不 是 保 存 在 设 备 上 的 任 何 位 置 ， 然 后 再 拉 取 它 ， 如 果 你 手 机 上 没 有 d d 二 进 制 ， 你 也 可 以 安 装 B u s y B o x 来 获 得 d d 二 进 制 。         开 始 取 证 之 前 应 该 确 保 的 一 件 事 是 ， 检 查 设 备 是 否 被 设 置 为 在 超 级 用 户 模 式 下 操 作 ， 这 通 常 需 要 设 备 的 r o o t 。 然 而 ， 我 们 遇 到 的 所 有 设 备 并 不 都 是 r o o t 。 在 这 些 情 况 下 ， 我 们 将 使 用 我 们 的 自 定 义 恢 映 像 来 启 动 手 机 ， 然 后 r o o t 设 备 。 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 目 前 取 证 调 查 人 员 主 要 采 取 手 工 提 取 、 逻 辑 提 取 和 物 理 提 取 三 种 取 证 方 式 来 获 取 手 机 中 的 数 据 。 数 据 提 取 与 手 机 系 统 相 互 作 用 的 层 次 关 系 如 图 ： a d b   p u l l a d b   p u l l
数 据 提 取 方 式 与 手 机 系 统 相 互 作 用 的 层 次 图 数 据 获 取 方 法 1 ） 手 工 提 取 ： 对 于 从 手 机 中 提 取 数 据 来 说 手 工 提 取 是 一 种 简 单 的 方 法 。 取 证 调 查 人 员 使 用 手 机 键 盘 便 可 获 取 手 机 中 的 内 存 。 这 种 方 法 的 优 点 是 ， 操 作 过 程 最 为 简 单 ， 它 不 需 要 提 前 训 练 取 证 调 查 人 员 如 何 检 索 手 机 内 容 。 它 适 用 于 所 有 的 手 机 型 号 ， 进 行 数 据 采 集 时 不 需 要 任 何 数 据 线 。 这 种 方 法 存 在 的 缺 点 是 ， 它 不 能 保 全 数 据 的 完 整 性 。 此 外 ， 它 不 能 提 取 手 机 上 的 所 有 数 据 ， 如 已 被 删 除 和 隐 藏 的 文 件 。 另 一 个 缺 点 是 ， 如 果 设 备 处 于 关 闭 状 态 或 用 户 设 置 有 手 机 锁 屏 时 ， 则 无 法 执 行 手 工 提 取 。 2 ） 逻 辑 提 取 ： 逻 辑 获 取 意 味 着 检 索 的 对 象 是 驻 留 在 手 机 存 储 器 逻 辑 分 区 中 的 数 据 信 息 。 因 此 ， 逻 辑 提 取 的 方 式 不 能 恢 复 位 于 逻 辑 分 区 之 外 的 数 据 ， 如 系 统 未 分 配 存 储 空 间 中 标 记 为 已 删 除 的 文 件 。 但 是 ， 在 权 衡 数 据 完 整 性 和 操 作 难 度 两 个 指 标 后 ， 现 有 的 手 机 取 证 调 查 过 程 大 多 采 用 的 都 是 逻 辑 提 取 的 方 式 。 在 提 取 过 程 中 手 机 需 要 通 过 数 据 线 和 取 证 调 查 人 员 的 电 脑 相 连 接 ， 并 在 电 脑 上 执 行 响 应 的 操 作 命 令 来 提 取 ， 这 种 提 取 方 式 也 存 在 几 个 弱 点 ， 如 无 法 恢 复 已 删 除 的 文 件 ， 物 理 损 坏 的 手 机 也 不 能 采 用 这 种 数 据 提 取 方 式 ， 并 且 不 能 绕 过 手 机 屏 幕 锁 的 限 制 。 3 ） 物 理 提 取 ： 物 理 提 取 方 式 被 定 义 为 按 物 理 地 址 位 数 顺 序 地 复 制 手 机 内 存 芯 片 中 每 一 个 比 特 字 节 的 信 息 ， 从 而 得 到 存 储 器 整 个 物 理 地 址 空 间 完 整 的 信 息 拷 贝 。 可 以 通 过 软 件 的 方 式 获 取 存 储 器 的 物 理 镜 像 ， 也 可 以 通 过 硬 件 的 方 式 卸 载 下 手 机 的 存 储 器 芯 片 ， 再 对 芯 片 做 物 理 镜 像 。 相 比 操 作 难 度 和 技 术 风 险 也 最 大 。 操 作 稍 微 不 慎 就 有 可 能 损 坏 物 理 芯 片 ， 造 成 不 可 挽 回 的 后 果 。 A n d r o i d 收 集 取 证 的 数 据 源 收 集 取 证 的 数 据 源 = = = = = = = = = = = = = = = = = = = = = = = A n d r o i d 手 机 包 含 非 易 失 性 和 易 失 性 两 种 类 型 的 存 储 器 ， 各 自 服 务 于 不 同 的 目 的 。 非 易 失 性 内 存 主 要 指 的 是 N A N D 闪 存 ， 也 被 称 作 机 身 内 存 。 易 失 性 内 存 主 要 指 的 是 R A M 内 存 ， 也 被 称 作 运 行 内 存 。 机 身 内 存 是 非 易 失 性 存 储 器 ， 即 使 关 机 或 重 启 之 后 存 储 的 数 据 依 然 存 在 。 这 类 存 储 器 主 要 用 来 存 储 系 统 文 件 、 应 用 程 序 数 据 和 用 户 的 数 据 文 件 等 静 态 类 型 的 数 据 。 最 新 的 A n d r o i d 手 机 的 机 身 内 存 不 断 增 大 ， 可 提 取 的 数 据 信 息 的 类 型 和 数 量 也 在 快 速 增 多 。 机 身 内 存 中 保 存 的 数 据 类 型 总 体 可 以 分 为 手 机 基 本 信 息 、 下 载 安 装 的 应 用 程 序 数 据 以 及 用 户 存 储 的 数 据 文 件 。 并 且 ， 机 身 内 存 中 的 应 用 程 序 数 据 大 多 都 是 以 S Q L i t e 数 据 库 文 件 的 形 式 保 存 的 。 很 多 新 版 本 的 手 机 应 用 程 序 为 了 保 护 用 户 的 隐 私 ， 对 应 用 程 序 数 据 进 行 了 加 密 存 储 。 运 行 内 存 是 易 失 性 存 储 器 ， 手 机 重 启 后 存 储 器 中 的 数 据 就 会 消 失 ， 就 像 计 算 机 的 内 存 R A M 一 样 。 它 主 要 保 存 系 统 和 应 用 程 序 运 行 过 程 中 的 动 态 数 据 ， 其 中 包 含 了 许 多 重 要 的 信 息 ， 例 如 用 户 名 、 密 码 、 加 密 秘 钥 、 打 开 的 文 件 、 网 络 活 动 信 息 等 应 用 程 序 数 据 等 。 存 储 器 的 内 容 会 随 着 时 间 不 断 变 化 ， 并 且 以 明 文 的 形 式 呈 现 。 下 面 是 整 理 出 较 为 通 用 和 规 范 的 A n d r o i d 手 机 取 证 流 程 模 型 ， 如 图
手 机 机 身 内 存 中 通 常 都 存 储 有 短 信 、 通 话 记 录 和 通 讯 录 等 手 机 基 本 信 息 及 手 机 浏 览 器 、 高 德 地 图 和 下 载 管 理 等 应 用 程 序 的 数 据 信 息 。 随 着 机 身 内 存 容 量 的 不 断 增 大 ， 用 户 也 开 始 把 与 生 活 和 工 作 相 关 的 文 档 资 料 、 音 视 频 文 件 和 照 片 （ 扫 描 件 ） 等 隐 私 数 据 存 储 到 机 身 内 存 中 。 这 些 数 据 与 用 户 的 生 活 和 工 作 行 为 息 息 相 关 ， 潜 在 着 巨 大 的 取 证 价 值 。 之 前 文 章 中 有 介 绍 手 工 取 证 ， 针 对 应 用 取 证 的 工 具 推 荐 如 下 ： 三 方 应 用 获 取 方 法 三 方 应 用 获 取 方 法 = = = = = = = = = = = = = = = = = = = = = = = = =     随 着 手 机 端 安 装 的 第 三 方 应 用 程 序 的 种 类 和 数 量 越 来 越 丰 富 ， 近 期 的 研 究 更 侧 重 于 提 取 和 分 析 保 存 在 A n d r o i d 手 机 文 件 系 统 层 的 第 三 方 应 用 程 序 数 据 ， 这 些 应 用 程 序 的 主 要 类 别 包 括 地 理 位 置 的 定 位 、 即 使 通 讯 、 移 动 医 疗 、 移 动 云 存 储 等 。 A n d r i l l e r   是 由   D e n i s   S a z o n o v   以   P y t h o n   编 写 的 开 源 多 平 台 取 证 工 具 ， 它 有 助 于 从 设 备 中 提 取 一 些 基 本 信 息 ， 并 且 有 助 于 进 行 取 证 分 析 。 分 析 完 成 后 ， 将 生 成   H T M L   格 式 的 取 证 报 告 。 A n d r o i d 提 取 联 系 人 、 通 话 记 录 和 短 信 ： A F L o g i c a l         我 们 从   G i t H u b   库 h t t p s : / / g i t h u b . c o m / v i a f o r e n s i c s / a n d r o i d - f o r e n s i c s 下 载 项 目 的 源 代 码 。 下 载 后 ， 我 们 可 以 将 此 项 目 导 入 我 们 的 E c l i p s e   工 作 区 并 进 行 构 建 。 我 们 可 以 从 我 们 现 有 的 代 码 中 访 问 F i l e   |   N e w |   O t h e r   |   A n d r o i d   |   A n d r o i d   P r o j e c t ， 然 后 选 择 下 载 的 源 代 码 路 径 。 一 旦 我 们 将 项 目 导 入 到 我 们 的 工 作 区 ， 我 们 就 可 以 在 我 们 的 设 备 上 运 行 它 ， 方 法 是 右 键 单 击 项 目 并 选 择 “ 运 行 为   A n d r o i d 应 用 程 序 ” 。 一 旦 我 们 运 行 它 ， 我 们 将 注 意 到 ， 我 们 的 设 备 上 的 A F L o g i c a l 应 用 程 序 提 供 了 选 项 来 选 择 要 提 取 什 么 信 息 。 在 以 下 屏 幕 截 图 中 ， 你 将 看 到   A F L o g i c a l   在 设 备 上 运 行 ， 并 询 问 用 户 有 关 要 提 取 的 详 细 信 息 ：
我 们 将 检 查 所 有 东 西 ， 然 后 单 击 C a p t u r e 。 A F L o g i c a l   将 开 始 从 不 同 来 源 捕 获 详 细 信 息 ， 并 将 捕 获 的 详 细 信 息 保 存 在   S D 卡 中 的 c s v 文 件 中 。 捕 获 过 程 完 成 后 ， 我 们 会 注 意 到 一 个 警 告 框 。     我 们 现 在 可 以 查 看 我 们 的   S D   卡 路 径 ， 我 们 可 以 找 到 保 存 的 . c s v 文 件 。 然 后 我 们 可 以 在 任 何 . c s v 文 件 查 看 器 中 打 开 这 些 . c s v 文 件 来 查 看 详 细 信 息 。 因 此 ， A F L o g i c a l   是 一 个 快 速 有 效 的 工 具 ， 用 于 从 设 备 中 提 取 一 些 信 息 ， 如 联 系 人 ， 通 话 记 录 和 消 息 。 A n d r o i d 提 取 应 用 数 据 ： A n d r i l l e r A n d r i l l e r   是 由   D e n i s   S a z o n o v   以   P y t h o n   编 写 的 开 源 多 平 台 取 证 工 具 ， 它 有 助 于 从 设 备 中 提 取 一 些 基 本 信 息 ， 并 且 有 助 于 进 行 取 证 分 析 。 分 析 完 成 后 ， 将 生 成   H T M L   格 式 的 取 证 报 告 。 为 了 下 载 它 ， 我 们 可 以 访 问 官 方 网 站 h t t p : / / a n d r o i d . s a z . l t / c g i - b i n / d o w n l o a d . p y 并 下 载 必 要 的 包 。 如 果 我 们 在   L i n u x   或   M a c   环 境 中 ， 我 们 可 以 简 单 地 使 用 w g e t 命 令 来 下 载 并 解 压 软 件 包 。 因 为 它 只 是 一 个   P y t h o n   文 件 ， 以 及 一 些 其 他 必 要 的 二 进 制 文 件 ， 所 以 没 有 必 要 安 装 它 ;   相 反 ， 我 们 可 以 直 接 开 始 使 用 它 。 $   w g e t h t t p : / / a n d r o i d . s a z . l t / d o w n l o a d / A n d r i l l e r _ m u l t i . t a r . g z S a v i n g   t o :   ' A n d r i l l e r _ m u l t i . t a r . g z ' 1 0 0 % [ = = = = = = = = = = = = = = = = = = = = = = = = = = = = = > ]   1 , 0 6 5 , 5 7 4         1 1 4 K B / s     i n   9 . 2 s 2 0 1 3 - 1 2 - 2 7   0 4 : 2 3 : 2 2   ( 1 1 3   K B / s )   -   ' A n d r i l l e r _ m u l t i . t a r . g z ' s a v e d   [ 1 0 6 5 5 7 4 / 1 0 6 5 5 7 4 ]   $   t a r   - x v z f   A n d r i l l e r _ m u l t i . t a r . g z       一 旦 解 压 完 成 ， 我 们 可 以 访 问   A n d r i l l e r   文 件 夹 ， 之 后 只 需 使 用 p y t h o n   a n d r i l l e r . p y 运 行 它 。 A n d r i l l e r   的 主 要 依 赖 之 一 是   P y t h o n
3 . 0 。 如 果 你 使 用   P y t h o n   2 . 7   ， 它 预 装 在 大 多 数 操 作 系 统 上 ， 你 可 以 从 官 方 网 站 h t t p : / / p y t h o n . o r g / d o w n l o a d / r e l e a s e s / 3 . 0 / 或 h t t p : / / g e t p y t h o n 3 . c o m / 下 载   3 . 0   版 本   。 现 在 ， 一 旦 我 们 连 接 了 设 备 ， 我 们 可 以 继 续 运 行 A n d r i l l e r . p y ， 以 便 从 设 备 捕 获 信 息 ， 并 创 建 日 志 文 件 和 数 据 库 。 $   p y t h o n   A n d r i l l e r . p y 一 旦 开 始 运 行 ， 我 们 会 注 意 到 ， 它 会 打 印 出 设 备 的 几 个 信 息 ， 如   I M E I   号 码 ， 内 部 版 本 号 和 安 装 的 社 交 网 络 应 用 程 序 。 这 里 ， 它 检 测 到   W h a t s A p p 应 用 程 序 以 及 与 其 相 关 联 的 电 话 号 码 ， 因 此 它 将 继 续 并 拉 取   W h a t s A p p   应 用 程 序 的 所 有 数 据 库 。 分 析 完 成 后 ， 我 们 将 看 到 类 似 以 下 屏 幕 截 图 的 屏 幕 ： 如 果 我 们 分 析 这 个 应 用 程 序 的 源 代 码 ， 我 们 可 以 在 A n d r i l l e r . p y 的 源 代 码 中 看 到 ， 它 会 检 查 设 备 中 存 在 的 不 同 包 。 我 们 还 可 以 在 这 里 添 加 我 们 自 己 的 包 并 保 存 数 据 库 ， 我 们 希 望   A n d r i l l e r   为 我 们 寻 找 它 。 如 下 面 的 截 图 所 示 ， 你 可 以 手 动 添 加 更 多 要 使 用 A n d r i l l e r   备 份 的 数 据 库 。   机 身 内 存 数 据 的 获 取 机 身 内 存 数 据 的 获 取 = = = = = = = = = = = = = = = = = = = = = = = = 机 身 内 存 中 存 储 的 手 机 基 本 信 息 主 要 包 括 ： 手 机 短 信 、 通 讯 录 以 及 通 话 记 录 等 。 手 机 基 本 信 息 和 应 用 程 序 的 数 据 主 要 存 储 在 系 统 / d a t a / d a t a 目 录 下 各 自 相 对 应 的 子 文 件 中 。 但 是 需 要 拥 有 系 统 r o o t 权 限 才 能 访 问 到 / d a t 分 区 中 的 数 据 。 处 于 对 设 备 自 身 安 全 的 考 虑 ， 默 认 情 况 下 A n d r o i d 手 机 中 的 r o o t 权 限 是 未 被 启 用 的 。 由 于 A n d r o i d 手 机 的 应 用 数 据 都 是 以 S Q L i t e 数 据 库 文 件 的 形 式 组 织 管 理 的 ， 之 前 对 于 S Q L i t e 数 据 库 文 件 的 提 权 有 详 细 讲 解 ， 可 查 看 我 之 前 文 章 。 A n d o r i d 手 工 取 证 ： h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 0 1 9 3 1 . h t m l 。 短 信 相 关 的 数 据 存 储 在 系 统 / d a t a / d a t a / c o m . a n d r o i d . p r o v i d e r . t e l e p h o n y / d a t a b a s e s 目 录 下 的 S Q L i t e 数 据 库 文 件 m m s s m s . d b 中 。
通 讯 录 和 通 话 记 录 数 据 存 储 在 / d a t a / d a t a / c o m . a n d r o i d . p r o v i d e r . c o n t a c t s / d a t a b a s e s 目 录 下 的 S Q L i t e 数 据 库 文 件 c o n t a c t s 2 . d b 中 。 手 机 用 户 日 常 的 通 话 记 录 数 据 存 储 在 S Q L i t e 数 据 表 c a l l s 中 。   手 机 的 应 用 程 序 数 据 与 短 信 、 通 话 记 录 和 通 讯 录 一 样 ， 也 是 以 S Q L i t e 数 据 库 文 件 的 方 式 存 储 在 手 机 特 定 的 系 统 目 录 中 。 因 此 可 以 采 用 与 前 文 相 似 的 方 法 分 析 从 机 身 内 存 中 提 取 到 的 应 用 程 序 的 数 据 。 如 ： G o o g l e 手 机 浏 览 器 的 数 据 信 息 存 储 在 系 统 目 录 / d a t a / d a t a / c o m . g o o g l e . a n d r o i d / b r o w s e r / d a t a b a s e s 下 的 两 个 S Q L i t e 数 据 库 文 件 b r o w s e 2 . d a 和 w e b v i e w . d b 中 。 A n d r o i d 运 行 内 存 的 取 证 运 行 内 存 的 取 证 = = = = = = = = = = = = = = = = = = = = = = = = 现 有 的 A n d r o i d 手 机 取 证 研 究 绝 大 多 数 都 只 把 机 身 内 存 作 为 所 关 注 的 数 据 源 ， 从 中 提 取 出 手 机 的 短 信 、 通 话 记 录 以 及 应 用 程 序 数 据 等 信 息 。 但 是 ， 出 去 保 护 用 户 数 据 隐 私 的 目 的 ， 最 新 版 本 的 手 机 应 用 程 序 开 始 对 数 据 进 行 加 密 存 储 ， 应 用 程 序 的 S Q L i t e 数 据 库 文 件 所 保 存 的 是 加 密 后 的 乱 码 信 息 。 故 需 要 将 关 注 点 适 时 地 转 向 运 行 内 存 数 据 。 内 存 取 证 的 提 前 是 要 获 取 R A M 存 储 器 的 镜 像 内 容 ， 为 后 续 使 用 各 种 分 析 方 法 来 得 到 系 统 相 关 的 有 价 值 信 息 提 供 必 要 准 备 。 现 有 的 A n d r o i d 手 机 运 行 内 存 数 据 获 取 方 法 主 要 包 括 基 于 硬 件 的 获 取 方 法 和 基 于 软 件 的 获 取 方 法 两 大 类 。 其 中 ， 基 于 硬 件 的 获 取 方 法 主 要 是 利 用 物 理 内 存 的 残 存 效 应 ， 即 利 用 专 门 的 硬 件 设 备 对 拆 卸 下 的 R A M 芯 片 制 作 镜 像 文 件 。 但 是 ， 这 种 方 法 操 作 难 度 大 、 风 险 高 并 且 对 操 作 环 境 要 求 严 苛 ， 需 要 操 作 人 员 具 备 过 硬 的 技 术 水 平 和 丰 富 的 实 践 尽 管 ， 稍 有 操 作 不 慎 就 有 可 能 损 坏 芯 片 ， 造 成 不 可 挽 回 的 后 果 。 相 比 之 下 ， 基 于 软 件 的 获 取 方 法 操 作 难 度 小 、 风 险 低 。 因 此 现 在 研 究 领 域 主 要 采 用 的 是 基 于 软 件 方 式 的 A n d r o i d 运 行 内 存 数 据 获 取 方 法 ， 但 是 其 中 能 够 真 的 获 取 到 存 储 器 完 整 镜 像 内 容 的 工 具 只 有 L I M E 。 L i M E L i M E （ L i n u x   M e m o r y   E x t r a c t o r ） 是 用 来 提 取 易 失 性 内 存 的 可 加 载 内 核 模 块 ,   支 持 L i n u x 以 及 A n d r o i d 等 操 作 系 统 。 L i M E 是 首 个 用 于 提 取 A n d r o i d 完 整 内 存 镜 像 的 工 具 ,   也 是 目 前 使 用 最 为 广 泛 的 方 法 之 一 。 L i M E 的 工 作 原 理 如 下 ： 1 ） 分 析 内 核 结 构 体 i o m e m _ r e s o u r c e 得 到 系 统 R A M 的 物 理 地 址 范 围 。 2 ） 将 步 骤 1 ） 分 析 出 的 物 理 地 址 转 换 成 内 存 页 的 虚 拟 地 址 。 3 ） 读 取 每 一 个 内 存 页 中 的 数 据 并 将 数 据 写 入 设 备 的 S D 卡 中 ,   或 者 通 过 T C P 导 出 。 L i M E 提 取 内 存 镜 像 基 本 工 作 流 程 如 图 1 所 示 。 L i M E 最 大 的 优 点 是 可 以 获 取 完 整 的 内 存 镜 像 。 然 而 L i M E 实 际 操 作 起 来 有 很 多 的 局 限 。 1 ） 需 要 获 取 与 取 证 目 标 A n d r o i d 版 本 一 样 的 源 代 码 进 行 L i M E 工 具 的 交 叉 编 译 。 2 ） 因 为 需 要 将 L i M E 模 块 加 载 到 取 证 目 标 操 作 系 统 中 ,   因 此 要 求 获 取 目 标 手 机 的 R o o t 权 限 并 绕 过 手 机 屏 幕 锁 ,   以 便 能 开 启
U S B 调 试 模 式 进 行 L i M E 模 块 加 载 和 后 续 的 镜 像 传 输 。 3 ） 需 要 绕 过 A n d r o i d 的 内 核 检 查 机 制 。 4 ） 由 于 L i M E 需 要 加 载 进 内 核 ,   为 了 尽 量 减 少 对 内 存 的 覆 盖 ,   从 而 保 证 证 据 的 完 整 性 ,   该 工 具 在 提 取 镜 像 的 过 程 中 仅 提 供 非 常 有 限 的 用 户 与 内 核 空 间 的 交 互 接 口 。 以 上 局 限 导 致 L i M E 在 实 际 应 用 中 困 难 重 重 。 M E M G R A B T H I N G 等 人 提 出 M E M G R A B 方 法 ,   通 过 系 统 调 用 P t r a c e 接 口 来 跟 踪 进 程 ,   控 制 进 程 的 执 行 并 访 问 进 程 的 地 址 空 间 。 P t r a c e 是 L i n u x 提 供 的 用 户 态 调 试 接 口 ,   最 初 被 用 于 断 点 调 试 和 系 统 函 数 跟 踪 。 P t r a c e 接 口 提 供 了 一 种 让 一 个 进 程 控 制 另 一 个 进 程 的 方 法 ,   通 过 P t r a c e 接 口 可 以 获 取 运 行 进 程 的 全 部 内 存 页 面 ,   包 括 A R T 虚 拟 机 的 堆 内 存 页 面 。 具 体 工 作 原 理 如 下 ： 1 ） 使 用 P t r a c e （ P T R A C E _ A T T A C H , t a r g e t _ p i d ,   0 ,   0 ） 跟 踪 目 标 进 程 。 2 ） 通 过 W a i t p i d 等 待 目 标 进 程 停 止 。 3 ） 通 过 P r o c f s 读 取 目 标 进 程 的 虚 拟 内 存 。 4 ） 通 过 P t r a c e （ P T R A C E _ D E T A C H , t a r g e t _ p i d ,   0 ,   0 ） 结 束 跟 踪 ,   并 重 启 被 跟 踪 的 进 程 。 M E M G R A B 方 法 提 取 R A M 镜 像 工 作 流 程 如 图 2 所 示 。 A n d r o i d 设 备 内 存 取 证 ： R e t r o S c o p e
（ 1 ） 运 行 e m u l a t o r - M A G I C 模 拟 器 。 （ 2 ） 开 启 另 一 个 终 端 ， 执 行 命 令 ： 开 启 终 端 ， 执 行 命 令 ， 以 监 视 R e t r o S c o p e A P P 的 日 志 信 息 ： $   a d b   l o g c a t   | g r e p   - E   " R e t r o S c o p e | Z M B "   开 启 R e t r o S c o p e   A P P ， 以 进 行 安 卓 手 机 指 定 进 程 的 内 存 取 证 工 作 ， 并 根 据 监 视 得 到 的 日 志 信 息 进 行 调 试 ： 网 上 关 于 R e t r o S c o p e 工 具 的 介 绍 很 多 ， 可 以 参 考 此 链 接 进 行 安 装 测 试 ： h t t p s : / / b l o g . c s d n . n e t / r z w i n t e r s / a r t i c l e / d e t a i l s / 7 6 9 9 9 3 9 8 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 成 功 获 取 动 态 内 存 镜 像 之 后 ,   下 一 步 就 可 以 从 动 态 内 存 镜 像 中 分 析 出 有 用 的 信 息 。 动 态 内 存 中 有 大 量 的 结 构 化 和 非 结 构 化 的 各 类 数 据 ,   通 过 动 态 内 存 分 析 可 以 分 析 出 的 有 价 值 的 数 据 一 般 包 括 进 程 列 表 、 动 态 链 接 库 、 打 开 文 件 列 表 、 网 络 连 接 、 注 册 表 等 结 构 化 数 据 ,   以 及 加 密 密 钥 、 账 户 密 码 、 聊 天 记 录 片 段 、 网 页 缓 存 片 段 、 电 子 邮 件 缓 存 片 段 、 图 片 文 档 片 段 等 非 结 构 化 数 据 。 目 前 动 态 内 存 镜 像 分 析 方 法 可 分 为 两 类 ,   一 类 是 从 系 统 的 角 度 去 分 析 全 局 信 息 ,   如 活 动 进 程 、 进 程 地 址 空 间 、 环 境 变 量 和 系 统 信 息 、 打 开 的 文 件 、 网 络 信 息 等 ,   这 类 方 法 一 般 要 求 有 完 整 的 动 态 内 存 镜 像 。 另 一 类 从 具 体 的 应 用 出 发 ,   根 据 具 体 应 用 数 据 的 结 构 特 征 在 动 态 内 存 的 碎 片 数 据 中 查 找 一 些 敏 感 信 息 ,   如 账 号 密 码 、 文 字 、 图 片 等 。 这 类 方 法 针 对 性 较 强 , 一 般 不 需 要 完 整 的 动 态 内 存 镜 像 ,   有 指 定 的 进 程 的 动 态 内 存 数 据 即 可 。 这 类 分 析 方 法 也 相 对 单 一 ,   主 要 通 过 正 则 表 达 式 来 匹 配 敏 感 字 段 ,   但 是 不 同 应 用 、 相 同 应 用 不 同 的 版 本 数 据 表 达 不 尽 相 同 ,   往 往 需 要 针 对 性 地 编 写 查 找 规 则 。 携 程 A P P 是 出 行 类 应 用 中 最 受 欢 迎 的 应 用 之 一 ,   下 面 以 分 析 携 程 A P P 存 储 在 动 态 内 存 中 的 账 号 密 码 为 例 展 示 动 态 内 存 镜 像 的 内 存 分 析 过 程 ： 1 ） 在 智 能 手 机 上 执 行 携 程 A P P 账 号 登 录 操 作 ; 2 ） 登 录 成 功 后 提 取 智 能 手 机 动 态 内 存 中 携 程 A P P 进 程 的 内 存 原 始 数 据 并 存 储 至 本 地 ; 3 ） 通 过 w i n h e x 查 看 内 存 镜 像 文 件 ,   并 通 过 匹 配 正 则 表 达 式 找 到 用 户 名 和 密 码 的 明 文 ,   如 图 所 示 。
存 储 在 手 机 动 态 内 存 中 的 用 户 名 “   1 2 3 4 5 6 @ q q . c o m ” 存 储 在 手 机 动 态 内 存 中 的 密 码 “   a b c 1 2 3 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理