【自备份在国产安卓手机取证中的应用】

【自备份在国产安卓手机取证中的应用】

来源：盘石软件（ID：）

原著：皮浩、穆东升

概括

随着系统和APP的不断升级，ADB备份已经无法正常使用。 7.0版本之后，久经考验的针对5.x、6.x系统的APP降级备份，面对新兴的7.x甚至8.0系统，已经变得无效； 即使可以保护数据、解锁BL锁，ROOT也是天方夜谭； 随着FDE全盘加密时代的到来，芯片镜像加密更加困难。 自我备份已经成为国产手机取证的最佳解决方案。

关键词 系统、手机取证、加密、备份

注：本文已发表于《计算机科学杂志》2017年第44卷第12A期

与 用于

圆周率

(() 有限公司，中国)

(() 有限公司，中国)

当 OS 和 是 时，无法完成其工作。 7.0，我们使用的 , with ，在 5.x 和 6.x 上可以工作。也许你可以锁定，但它是 7.0 或 8.0 上的 root 权限。 全盘，图像是。 一直是最好的新方式。

, , ,

手机作为当今社会最重要的通讯工具，随着智能化的进步和低廉的价格，其发展速度逐渐超越了传统个人电脑。 其中，由谷歌和开放手机联盟主导开发的开源智能手机操作系统()，成功吸引了大量的开发者和用户。 近年来，基于系统的手机市场份额大幅提升，迅速成为市场主导力量。 据市场研究机构2017年8月发布的2017年第二季度全球移动设备报告显示，目前操作系统全球市场份额已达87.7%，排名第一。 仅2016年第二季度，全球设备出货量就超过3.2亿台。

1 取证基础知识 1.1 系统和手机

2008年9月，谷歌正式发布了 1.0系统，这也是系统的最早版本。 此后，从2009年4月30日发布的 1.5到2017年8月22日发布的 8.0，为了避免可能出现的版权问题，谷歌改变了命名规则，采用甜点作为其系统版本代号的命名方式（图1） ）。 随着手机硬件的快速提升和系统功能的完善和升级，短短5年多的时间，系统已经推出了20多个版本。

图1 各代系统版本

是一个基于 Linux 的免费开源操作系统。 系统的开放平台允许任何移动终端厂商加入联盟。 目前，除了三星、HTC、摩托罗拉等第一批加入阵营的国际知名品牌外，黑莓、诺基亚等专注于其他智能系统的厂商也开始转型； 同时，系统也不例外，受到了国内众多厂商的青睐。 受到青睐，他们推出了基于系统的自主品牌智能手机，如早期的联想、酷派、中兴、华为等。其中不乏小米、魅族、一加等取得了一定成就的新兴企业。仅仅依靠系统和在线营销模式取得了巨大的成功。 品牌和公司。 目前市场上有超过2000种品牌的手机。 随着联发科（MTK）CPU的加入，尤其是千元以下手机的日益普及，新增型号的数量已经无法准确统计。

目前，随着OPPO、vivo的崛起，国产四大品牌华为、OPPO、vivo、小米纷纷扩大分销网络布局，产品快速升级，占据中国市场出货量前四的品牌。

图2 2017年第二季度全球智能手机销量

图3 2017年第二季度中国智能手机市场

1.2 系统特性对证据收集的影响

1.2.锁定

随着移动设备的安全性越来越受到重视，大多数手机厂商都采用了加锁（简称BL锁）的方式来控制用户自行安装非官方ROM的行为，例如三星、小米、华为等。市场上很常见。 HTC等手机厂商都采用了这种方法来保护手机的安全。 那么什么是锁呢？

其实它是在操作系统内核运行之前运行的一个小程序。 通过这个小程序，我们可以初始化硬件设备，建立内存空间映射图，从而使系统的软硬件环境达到合适的状态，为最终调用操作系统内核准备正确的环境。 在嵌入式系统中，通常没有像BIOS这样的固件程序（注意，有些嵌入式CPU还会嵌入一个简短的启动程序），因此整个系统的加载和启动任务完全由它自己完成。

锁（简称BL锁）实际上是防止根包被随意替换。 同时，ROOT权限不会被开放，从而保证了系统的安全性和稳定性。

解锁BL锁有风险吗？ 手机厂商会在各自的网站上明确标识解锁的各种风险，例如：无法保证设备的所有功能正常运行； 设备稳定性会受到影响，通话质量、电池、网络性能都会下降； 部分固件可能无法启动； 安全性降低、无法进行正常升级等，同时手机厂商也会提醒用户，解锁会自动恢复出厂设置。 解锁前请备份用户数据。

很多时候我们可能要尝试解锁才能获得更高的系统权限，但真的像厂家提醒的那样解锁就会清除数据吗？ 通过对很多典型手机的实测，我得到的答案是不一定。 这里的情况非常复杂，本文不做详细介绍。

总之，传统的提权（ROOT）获取方式已经完全受到BL锁的限制，需要探索更新的通用取证方式。

1.2.2 全盘加密

从.0开始，向所有厂商发出要求，系统的全盘加密（FDE）必须强制默认开启。 对于用户来说，这可以更大程度地保护用户安全。

开启全盘加密带来的问题也很明显。 越来越多主张离线物理成像和芯片取证（Chip-Off、ISP和JTAG）的粉丝开始恐慌。 极端案例和故障手机的取证变得越来越困难。 难的。 由于加密，图像文件无法正常解析，这对手机取证最重要的数据挖掘和文件恢复产生巨大影响。 由于采用AES加密算法，且加密数据块中包含RSA密钥，因此解密也是遥不可及。

图4 手机全盘加密

1.2.3 锁屏密码

安卓手机的锁屏密码一直是手机取证领域的一大难题。 锁屏分为两类，一类是系统内置设置； 另一种是第三方锁屏工具。

系统自带的锁屏密码有很多种：图形密码（手势/图案密码）、简单密码（pin码）、复杂密码等。原则上绝大多数是指纹、虹膜等生物识别解锁方式通过与常规密码关联来设置和解密。 无论采用哪种锁屏方式，其实都是通过常规的哈希算法进行简单的加密。 加密后的密文存储在data分区目录下的一系列密钥文件中（例如图案密码存储在\data\\.key中）。 不过，要想获得这些文件进行破解，就必须获得ROOT权限，然后我们又回到拉锯战，解锁BL锁。

图5 手机锁屏密码设置

第三方锁屏工具其实就是一个代替系统设置自带的图形密码来设置屏幕密码的APP。 要破解此类密码，只需将手机置于安全模式即可。 安全模式下，第三方APP将停止运行，设置的图形密码也不会出现，您可以顺利进入系统。

当然，在许多已知的CPU漏洞（如高通9008模式、三星猎户座、MTK等）和系统漏洞（如摄像头漏洞、WiFi热点漏洞、紧急拨号漏洞等）的影响下，我们已经可以采用手动或软件自动化的方法解决部分手机的锁屏密码问题。 但随着CPU的国产化和安全性的加强，以及硬件和系统升级周期的缩短，缺乏通用解决方案的解密思路终将终结。

2 备份取证方法

备份是对现有数据的定期收集和组织。 手机备份根据机制不同通常可以分为五种：ADB备份、备份、自备份、云备份和第三方备份。

2.1 亚行备份

ADB备份是 4.0之后特有的通过ADB工具执行命令实现的数据备份。 备份分析主要适用于没有Root权限或暂时无法一键Root的安卓手机取证。 手动备份的方法是在ADB环境下输入命令。 命令执行后，手机屏幕上会有相应的提示。 当然，市面上很多手机取证软件都有自动ADB备份功能。

图6 ADB备份时手机屏幕提示

完成后，通过手机取证软件分析生成的.ab文件，可以得到与文件系统相似的结果。 这种方法的优点是不需要Root权限，获取的数据比较完整，还可以基于文件进行数据恢复。 缺点是只支持 4.0及以上系统，而且随着系统和APP的不断升级，久经考验的5.x、6.x系统的APP降级备份在面对新兴的7.x或甚至8.0系统。 由于电量不足，获取的数据很少； 另一方面，无法获取未分配集群中的数据，因此不支持基于未分配集群的深度数据挖掘。

2.2 备份

模式，即恢复模式，可以简单理解为刷机电脑的工程模式，就像电脑安装操作系统之前有一个DOS系统一样。 手机一般都会自带，一般可以通过电源、音量等几个组合键进入。 不同手机的输入方法不同。 官方只能恢复出厂设置或者清除手机缓存。 但是，当手机升高或解锁时，可以安装第三方。 第三方提供更多功能选择：

• 现在（立即重新启动系统）

•申请自（从SD卡升级）

•擦除数据/重置（擦除数据并恢复出厂设置）

•擦除缓存（清除缓存区域）

• zip from（从SD卡安装zip升级包）

• 和（备份和恢复）

• 和（加载和存储）

•（高级设置）

图7 共模界面

备份和恢复选项提供了备份手机数据的功能。 通过备份选项，您可以绕过常规系统环境，将数据中的数据、缓存分区导出到手机外部，然后通过专门的手机取证软件进行深入分析。 。 它不仅绕过了烦人的锁屏密码，而且无需最高权限即可获取尽可能多的数据。

图8 备份

2.3 自备份

自我备份是指大部分国产安卓手机都在自己的系统中提供了备份功能。 该功能可以选择性备份本体数据（包括系统信息、基本通讯信息、应用记录、多媒体文件等）。 备份时，数据默认导出至机身。 也可将数据导出至机身外部存储（如U盘、TF卡）或电脑进行存储。 由于没有统一的标准，各手机厂商的备份操作也多种多样，大致可以分为两类：独立APP和系统设置； 导出的备份文件格式不同，大致可分为两类：单个备份文件和多个程序包。

由于 7.0之后ADB备份无法正常使用，因此降级版本备份宣告无效。 即使可以解锁数据，ROOT也是不可能的，而且芯片镜像更是加密，难以解密。 自我备份已经成为国产手机取证的最佳解决方案。

图9 进行自备份

2.4 云备份

随着云服务的兴起，系统内置的备份功能也越来越强大。 很多手机在备份功能上都提供了云服务，即通过网络将身体数据备份到云端服务器，而不占用本地空间。 云备份的数据比较全面，操作简单。 也是刷机前的最佳选择。 但由于需要连接互联网并登录账户才能开始备份，这无疑给巡检数据的安全带来了很大的风险。 另外，云端数据需要账号和密码才能下载，这对于移动取证来说无疑是多余的。 因此，笔者不建议使用云备份来收集数据。 只有当本体或本地数据无法满足案例需要时，才可以考虑访问云账号寻求更多的历史备份作为补充。

2.5 第三方备份

顾名思义，第三方备份是指借助第三方手机助手工具提供的数据备份功能进行备份。 常见的第三方通用手机同步工具（如360手机助手、91助手、腾讯手机管家等），以及厂商官方工具（如华为手机助手、小米助手等）均提供相关功能。 通常各个工具提供的备份数据格式不同，因此不能混合使用。 第三方工具通常包括PC版和移动版。 PC版通过连接手机将身体数据备份到电脑； 手机版备份身体关键数据，方便日后数据恢复，比如著名的钛金。 备份。

由于第三方工具的民用性，其备份的数据范围相对不完整。 另外，该APP将强制安装在手机上。 因此，笔者觉得，不建议将使用第三方工具创建备份数据作为手机取证的首选。 通常，保存的历史备份在计算机取证过程中被识别为证据链的一部分。

图10 常见第三方备份

3 国产手机自我备份取证

系统从4.0版本开始推出了备份功能，但在原生系统中，该功能仅用于帮助系统恢复后的数据恢复，并没有发挥其应有的能效。 直到4.4版本的到来，国内厂商陆续在自家的系统版本中推出了更强大的自备份功能。 该功能选择性备份机身数据（包括系统信息、基本通讯信息、应用记录、多媒体文件等），并可以将数据导出到体外存储。 由于手机厂商定义的备份文件格式各不相同，很难采用固定的方法来适应它们。 因此，对于不同厂商的自我备份，市场上现有的手机取证软件总是滞后且不完善。 目前采用手动操作与现有手机取证软件相结合的方法来解决国产手机的自备份数据分析问题。 解决方案。

下面，笔者对国产四款主流手机自备份的分析方法进行探讨和实验，旨在获得可行的分析方法和解决方案。

3.1 华为手机备份取证

作为连续几年的国产手机品牌，华为持续保持快速发展，在国际市场上占据了较大份额。 此外，其旗舰机型大多采用自家的海思麒麟CPU，这使得使用传统方法取证变得更加困难。 可以说，华为在很多情况下都成为了国产手机取证的重中之重。 华为手机的EMUI系统中通常都会自带一个备份APP。 备份文件路径为\\\，以日期和时间为目录名，应用数据以数据库格式存储。

1）将备份数据复制到电脑上

对于华为7.0版本的手机，我们通过手机的自助备份功能来备份数据。 手机连接电脑后，会出现华为手机存储盘符。 找到目录后，将数据复制到电脑上（华为手机备份应用程序会关联应用程序的apk文件），使用专业软件解析以日期和时间命名的目录（以微信目录为例），如图如图：

图11 华为自行备份文件

2）手机使用痕迹

由于自我备份只能获取已有的应用记录，如果出现嫌疑人卸载APP并清除数据的极端情况，常规取证将无法获取相关记录信息。 此时，犯罪嫌疑人很可能拒绝承认自己使用过相关APP，取证调查此时可能会变得被动。 但笔者通过实验发现，在华为手机拨号界面输入*#*#6130#*#*命令时，手机会显示：手机信息、数据统计、WiFi连接信息记录等内部信息。日志记录，其中包括怀疑人类使用的痕迹。

图12 华为手机使用情况统计

3.2 小米手机备份与取证

小米手机是目前最受欢迎的智能手机品牌之一，在中国市场份额超过10%。 为了增强数据安全，小米为其MIUI系统开发了备份功能，以保护用户数据。 其中，手机中的联系人、通话记录、短信等重要信息一般都存储在存储卡或SIM卡中。 如果用户使用小米备份工具备份这些数据，我们就可以提取并解析备份文件，找到手机中的数据。 关键信息。

与华为手机不同，小米手机的自我备份功能并没有体现在单独的APP中。 相反，您需要进入小米的MIUI系统设置，选择其他高级设置，然后单击备份和重置来执行备份操作。 备份存储位置默认为手机。 手机内置的备份数据范围非常全面，必然会占用大量的内置存储空间。 对于取证来说，这种破坏原始检验材料的操作是非常不利的，所以笔者建议将数据备份到电脑上。 。

图13 小米自备份

1）将备份文件复制到电脑上

小米手机自助备份文件的扩展名为.bak，一般存放在\MIUI\\\xxx（xxx代表备份的日期和时间）目录下。 所有小米7.0手机均支持OTG功能。 笔者使用OTG U盘插入手机数据接口，通过自备份功能对手机进行备份。 选择OTG U盘的备份路径，等待备份完成，然后拔下OTG U盘插入电脑即可查看。 是否备份成功。 浏览对应目录即可看到.bak文件，如图：

图14 小米手机自行备份文件

2）修改bak文件头

笔者用软件打开备份的.bak文件，发现MIUI自备份文件居然多了一个自定义文件头。 通过十六进制编辑功能去掉这个文件头，如图所示选择并删除“41 4E”前面的数据，完成后保存。 然后使用专门的取证软件来解析.bak文件。

图15 使用和修改bak文件头

最近发布的盘石手机取证蜂系列软件已经支持直接分析小米自备份。

图16 使用小米自备份直接分析

3）数据分析

使用7-Zip解压通讯录.bak文件，得到.store和.xml。 打开.store文件，记录数据中代表不同含义的不同标记，如图：

图 17 使用以下命令打开 .store 文件

在：

•0x12为录音开始标志

•0x32被标记为序列号

•0x18为状态标志（0x01为接收，0x02为发送）

•0x0A 是名称标签

•0x22 是姓氏标记

•0x12是名称标签

• 第二个0x0A是电话号码的标签

这样就可以依次解析出通讯录中的每条数据。

同样，使用7-Zip工具解压通话记录.bak，得到.store和.xml； 解压短信.bak，得到sms.store和.xml。 分别打开.store和sms.store文件并解析，即可获取通话记录和短信信息。

3.3 OPPO手机备份取证

1）将备份数据复制到电脑上

OPPO手机备份文件的扩展名为.tar。 一般存储路径为\，应用程序在APP目录下，通讯录/短信在Data目录下。 笔者使用OPPO手机.0版移动系统自带的备份APP来备份数据。 手机连接电脑后，会出现存储盘符。 找到备份文件所在目录后，将数据复制到电脑中，获取备份.tar文件（OPPO手机备份应用程序会关联应用程序的apk文件），如图：

图18 OPPO手机自行备份文件

2）使用7-zip解压.tar文件

大多数计算机都配备了解压软件。 拿到.tar文件后，你会下意识地使用这个软件来解压它。 解压后会发现数据不完整。 这是由于.tar文件的压缩结构的特殊性造成的。 该备份文件需要借助7-zip软件解压。 使用7-zip解压文件，导入专用手机取证软件对com..mm目录进行分析（注意，以微信目录为例）。

3）手机使用痕迹

与华为手机类似，在OPPO手机的拨号界面输入*#*#4636#*#*命令，手机会显示：手机信息、数据统计、WiFi连接信息记录等内部信息。日志记录，数据统计将包括可疑的过去使用痕迹。

图19 OPPO手机使用情况统计

3.4 vivo手机备份取证

随着大街小巷电视网络的广告轰炸，vivo手机和OPPO手机成为这两年曝光度最高的两个国产品牌，也成为国产安卓手机前四。 由于vivo自身OS系统的限制，手机并没有提供自带的备份功能。 6.0及以下版本的手机，可以通过vivo手机助手或ADB备份来备份数据。 备份包含基本信息和应用数据； 升级到7.0后，无法备份应用数据。

1）查询ROOT权限

现在大部分手机都没有ROOT或者不能ROOT，但是从取证的角度来说，既不能污染证据，也不能将数据写入手机。 这种情况就需要根据VIVO手机厂商的说明来判断是否ROOT了。 这里需要输入手机上的拨号键：*#*#001#*#*，其中显示结果中=0“表示没有root”，那么=1“表示有root权限”，如图图中：

图20 查询ROOT权限

2）手机使用痕迹

与OPPO手机一样，vivo手机只需在拨号界面输入*#*#4636#*#*命令即可。 手机上会显示：手机信息、统计数据、WiFi连接信息记录等日志信息。 嫌疑人将被纳入统计。 过去使用的痕迹。

4 自备份取证的缺点

作为7.0以上版本的国产安卓手机完全加密、无法ROOT、无法ADB降级备份的解决方案，自备份足以应对大部分安卓手机的取证问题。 但随着系统安全性的提高、APP功能的扩展以及犯罪嫌疑人反证意识的提高，自我备份取证方式仍存在诸多不足。

4.1 应用程序克隆

自360奇酷手机发布以来，国产安卓手机纷纷推出应用克隆、微信双开等类似概念。 一些第三方应用也以克隆/双开为亮点抢占市场。 一时间，克隆应用成为主流手机的必备。 功能。

克隆功能可以让您在一部手机上安装多个相同的应用程序，并同时登录多个账户，无需切换。 有些是由厂商开发并内置于手机系统中的，例如小米、奇酷、vivo、金立等。 也有一些第三方应用独立实现了这一功能，比如LBE平行空间（原克隆大师）、克隆大师等。其中对手机取证影响最大的主要就是双开或者双开社交通讯应用的多帐户登录。

图 21 应用程序克隆

越来越多的案件中，犯罪嫌疑人同时使用微信等两个或多个APP进行犯罪。 传统的备份取证往往只关注原始APP，而忽略了可能存在的克隆APP或隐藏在同一APP下的克隆数据。 特别的是国产系统自带的克隆功能。 往往利用系统设置，依赖原APP来开启多账号克隆登录功能。 自备份得到的往往是APP数据包，很容易忽略包中可能包含的克隆数据。

图22 系统自带的微信克隆功能

4.2 锁屏密码

自备份制作的前提是手机能够正常启动并进入系统。 如果手机有无法破解或绕过的锁屏密码，那么自我备份取证就会卡在起点，无法实施。

4.3 数据恢复

众所周知，无论采用何种形式的备份，获得的数据范围总是小于整个存储芯片的全部容量。 可以备份的数据通常只是用户产生的记录痕迹的绝大多数，自我备份也是如此。

手机数据恢复通常包括两种类型：基于数据库内容的记录级恢复和基于磁盘空间的文件级恢复。 对于备份而言，由于无法像芯片镜像那样涉及完整的磁盘空间和未分配的簇，因此无法实现文件级恢复。 许多应用程序涉及的多媒体发送和接收记录以及相册涉及的关键视频和图片删除后就无法再看到。 。 相关记录所在的数据库文件完全可用，理论上可以实现记录级恢复。 然而，随着数据库存储机制的发展和变化，数据删除后的收缩和排序对恢复产生了毁灭性的影响。 我们更多的需要从原始数据库文件以外的其他缓存区域寻求更多的机会。

结论

相信系统将在未来很长一段时间内继续主导智能手机市场，手机取证技术的发展值得我们持续关注。 随着系统的升级，系统和数据安全的加强，以及国产手机在国内和全球市场上的不俗份额，利用自备份功能进行手机取证必将点燃新一波热潮在广阔的 取证领域。 星火光。 虽然仍然仅限于加密，有很大的局限性，但结合常规的审讯手段，对解锁的新系统手机进行取证至少为现阶段的某类棘手问题提供了新的思路。 笔者认为，系统取证研究仍将是推动手机取证技术发展的主力中的一支强劲力量，值得所有行业人员期待和关注。

参考

［1］里克·艾尔斯/萨姆/韦恩.NIST 800-101 1. [S]。 出版地点： 美国： 出版商： 美国 出版年份： 2014

[2] 飞飞博客． 轻松解压 MIUI 备份 bak 文件以恢复纯文本数据 [C/OL]。 （2016/10/24）。 获取并访问路径：

[3] 中文百科。 [OL]。 （2011/1/11）。 获取和访问路径：

[4] 百度文库． 系统重要文件类型和系统模式详解[OL]. （2011/9/23）。 获取和访问路径：

[5] 站长之家． 第二季度智能手机报告：三星领跑，Oppo、Vivo股价快速上涨[R/OL]。 （2017/8/24）。 获取和访问路径：

[6] 安卓。 中国手机品牌Q2占据国内市场份额87%[R/OL]。 （2017/7/25）。 获取和访问路径：