【313期-2】科普：常用手机取证概念

【313期-2】科普：常用手机取证概念

整理于网络和本人笔下，欢迎大咖拍砖！

智能手机有很多品牌，每个品牌生产的型号也更多。 不同厂商对手机启动方式的定义不同。 如果一味纠结于这些术语，对于取证来说意义不大！ 就目前手机技术的发展而言，常见的启动模式有六种：一般启动模式（mode）、安全模式（safe mode）、恢复模式（mode）、开机模式（mode）、模式和诊断模式（模式）。

1、一般启动模式（mode）：该模式的作用是正常启动手机，开启方法是在关机状态下按电源键启动。 这种模式俗称开机，进入正常系统，即用户正常使用手机的系统。

2、安全模式：此模式与正常启动相同，但未注册，因此您无法访问或使用您的帐户。 进入方法一般是按住“菜单”键，按下电源键开机，松开“菜单”键直到手机开机。 不同厂家的设置不同，进入方式也不同。

3、模式（模式）：是一个带有手机备份功能的微型系统，可以对手机的各个分区进行擦写，也就是我们常说的刷入模式，类似于安装电脑幽灵； 但只能刷入厂家签名的刷机包； 所以我们需要刷第三方的，绕过官方签名，刷资源丰富的第三方rom包。 在此模式下，使用音量键上下选择，电源键确认。 当然，现在市面上已经出现了带有触摸版的第三方模式，让用户可以使用触摸屏进行操作。 该模式修改权限比较高，可以打开命令解释器（shell）、刷新镜像文件（flash镜像）、进行备份等。该模式可以根据用户的需要进行修改，所以有官方模式也有第三方模式。 第三方模式可以识别第三方rom包，所以可以用来刷机。 官方一般不承认第三方zip文件。 进入方式一般是音量键+电源键。

第三方通常有两种：cwm和twrp，分别由两个不同的团队制作。 它们比官方的功能强大得多，而且都非常易于使用。 经典老式的cwm比较官方，国内用的比较多cmw。 另一个是 twrp，Team Win 的缩写，具有新的图形触摸屏界面。 它是完全触摸屏操作的。 界面比cwm漂亮。 它可以同时刷入多个包，还有一堆cwm没有的功能。 HTC 为主流和外国用户使用 TWRP。 twrp的比较多，twrp也有中文版。

（笔记：

一、TWRP的介绍与使用

2. TWRP刷机教程

3.TWRP简洁实用中文刷机教程）

刷入前一定要注意版本，以cwm为例：

图中红线标记的位置就是当前版本号。 如果版本是v2.xxx，请选择.X。 如果是v3.xxx v4.xxx v5.xxxx，请选择.X。

4、引导模式（mode）：该模式的作用是从SD卡安装一个新的系统镜像（.NBH），包括刷入系统，具有较高的修改权限。 这种模式基本上每部手机都有，只是名字不一定一样。 大多数手机解锁或生根都是使用模式完成的。 进入方式一般为音量键下+电源键。

BL版本不一样，就是不能刷入第三方Rom包，需要匹配BL版本

一般rom厂商都会详细说明支持的BL版本。 BL版本越高，支持的第三方Rom包越少。 最底层的包里面包含了手机系统的所有文件，Boot. 包升级后不能降级，即BL不能降级，只能升级（第三方包不会改变BL）。 以下版本（均指基础包）将更改 BL 版本：

BL=2，国行机只刷过国行0.26、1.11、2.5.0、2.6.0、2.10、2.11

BL=3，2.1基础包，版本号在2.51以上；

BL=4，大部分平行2.2底包都是BL=4；

BL=5，如果你用过国行2.3.4、国行2.12、泄露版2.3.4-128,134和工程机2.1基础包，就是BL=5；

BL=6，刷了国行2.3.6系统，第三方ROM很少，非官方控制的不要升级；

BL=7，新手机基本一样。

5.模式：定义了一个简单的刷机协议。 各家手机厂商不会直接允许在该模式下刷机； 但是在这种模式下，一般是可以烧写、等分区的。

1.部分机型的模式被隐藏。 我们常见的有三星Odin、摩托Rsd等，它们的工作原理一般都是在类似的状态下刷机（比如mode、Rsd mode）

（笔记：

RSD Lite刷机详细图文教程

手机能进入AP模式但RSD无法识别手机终极教程）

2.有小米、Nexus等直接开启协议刷机，可以直接使用命令，比如flash .img。 该模式主要是在电脑上使用命令刷新镜像文件，可以进行清理数据等操作。 进入方法一般是按住音量键+电源键开机，直到屏幕出现字样后松开返回键。

6、诊断模式（mode）：该模式用于测试手机的各项功能。 一般在购买​​新手机时使用该模式来测试手机的CPU、传输速率和屏幕显示效果。 进入方式因手机厂商设置而异。 一般是在表盘界面输入一定的代码（一般是符号和数字的组合，首尾标有“*#*#”。不同品牌和型号的设备有不同的代码。作为商业机密，我们通常不容易获得）。

补充：

1.不同手机的其他启动方式

1.模式（俗称挖煤模式）：三星手机概念，在该模式下，图像一般显示安卓机器人挖煤的状态，故名。

该模式在三星安卓手机刷入官方系统时使用，配合电脑端odin软件进行。 两者配合使用，可以对手机的系统分区、内核等进行刷写。 可以使用三星工具Odin刷入官方格式（系统固件、基带、内核、基带等）的Rom包。 积木教程就是这种模式。 一般的进入方式是音量键+HOME键+电源键。

2、FTM模式（Test Mode，工厂测试模式）：该模式一般可以用来给用户刷机。 当然有些机型需要配合电脑上的RSD软件，但这种模式相对不稳定，所以建议用户使用这种模式刷机。 进入方式一般是音量键+电源键，直到出现FTM字样（注：FTM模式及模式介绍）

3、T卡模式：中兴手机刷新官方系统使用的模式。 一般将系统镜像文件夹（文件夹内需要image.bin文件）复制到SD卡中，将SD卡插入手机。 手机关机进入T卡模式时，可自动识别系统文件并自动刷入。 一般的进入方式是音量键+电源键+返回键。

4、SD卡升级模式（粉屏模式）：当手机无法识别SD卡时，该模式会显示粉屏，俗称“粉屏模式”。 这种模式一般在华为刷官方系统的时候使用。 一般是将文件夹复制到SD卡，然后将SD卡插入手机。 手机关机状态下，同时按住音量键+音量键+电源键，会自动闪灯。

5、AP模式（或BP模式）：该模式存在于部分机型，如moto、defy等，其功能等同于该模式，需要配合电脑软件进行刷机操作

6、iOS的两种模式：

DFU模式：DFU的全称，实际意思是固件的强制降级模式。

恢复模式：在恢复模式下，屏幕上会显示 和数据线图标。

两者的区别：两者最大的区别是DFU模式不启动MAC OS系统，无法判断恢复过程是否中断，因为系统没有启动，相关服务无法启动启用，可以避免很多问题。 据说DFU模式下恢复更彻底。 . 尽量给手机电池充满电（至少50%），这样可以解决部分电池显示错误的问题。 刷机步骤：

1、手机进入dfu模式：开机状态下，用数据线连接电脑。 先长按电源键2秒； 然后，同时按住电源键和主页键8~10秒； 最后，只按住主页按钮 15 秒。

2、检查是否正确进入dfu模式：在dfu模式下，手机黑屏。 如果不成功，请重复第一步。

3、进入DFU状态后，验证为状态，可以看到一个按钮。 这时候，你按住键盘上的shift键，再用鼠标左键点击“”，就会出现一个寻找固件的窗口。 路径之后，然后双击你下载的固件，然后会自动恢复。 过程中不要拔数据线，不要碰自己的，静静等待

4、恢复完成后会弹出一个窗口，一般内容是“您的恢复已经完成，该窗口将在10秒后自动关闭”，关闭该窗口用手机sd卡分区怎么做，然后拔掉数据线，不要使用电脑激活系统，手机激活系统会更纯净。

2、手机常用驱动：刷机时，会进入相应的模式。 如果没有对应的驱动，将无法刷机。 驱动下载请参考各机型通用教程。

1.：大部分手机都有该模式，在该模式下，连接电脑，需要驱动；

2、adb：所有手机，开启调试模式后，连接电脑，需要的驱动；

3、usb：在usb模式下，电脑可以识别手机内存卡，一般不需要额外下载，电脑驱动即可；

4.其他驱动：有些机型有自己的特殊模式，比如驱动等，我们不需要去了解，都是在提供工具的时候加上的。

3.重置

方法是：手机设置-存储-恢复出厂设置

恢复出厂设置清除：

>系统和应用程序数据和设置

> 下载的应用程序

不会清除：（选择格式除外）

>当前系统软件和捆绑应用程序

>存储卡文件，如音乐、照片

四：双清、三清、四清

双清其实就是所谓的“恢复出厂设置”。 在设置中使用这个功能的过程其实就是双清的过程。 三清是清除用户数据、系统缓存和虚拟机缓存，四清是前三加电池调试记录数据。 一般来说，双清可以擦除所有数据，三清和四清很少用到。 总的来说，三清主要是针对小米的。 重启进入模式后，会有清除缓存、清除用户数据和清除手机所有数据的选项； 四清主要是针对三星的。 空分区和格式化分区是存储虚拟缓存和系统分区被清除。

1、双清：Wipe，即擦除手机数据，有两种选择：wipe data/wipe cache，也就是我们通常说的 wipe； 执行后，手机上安装的第三方软件和软件数据将被清除、设置； 它不会影响系统软件和存储卡数据。

2、三清四清还有用吗？ 答案是肯定的，但仅限于极端情况。 比如运行一些APP总是死机，恢复出厂设置也不能解决问题。 这时候可以试试三清； 如果觉得电池显示不等于实际容量，那么可以考虑思擎。

问题来了。 默认情况下，预装的官方手机（模式，长按音量下和电源键进入界面）只会提供双清功能（名称不同，但大概是恢复出厂设置的意思）。 如果要进行三四次清理，需要刷入第三方才能进行。

官方基本摸清了文化

第三方接口

什么，一味的前进就是浪费时间？ 为什么不在系统设置中恢复出厂设置？ 这很简单。 如果手机无法开机，或者一开机就重启，只能恢复出厂设置。

5.根目录

ROOT 本来是计算机领域的一个名词，但在 UNIX 系统（如 AIX、BSD 等）和类 UNIX 系统（如 Linux 等发行版）和系统中，一般将超级用户命名为 root。 如果你参与过我们国内机密电脑的设置，就会知道还有一个Root用户，相当于电脑中的超级管理员账号。 一旦获得手机的root权限，就成为唯一可以启动或停止进程、删除或添加用户、添加或禁用硬件等系统最高权限操作的账号。 获取安卓智能手机的root权限就像破解苹果手机一样。 手机root成功后，用户可以随意下载更多免费安卓游戏和应用，增强手机的娱乐性和个性化。

总的来说，安卓手机root后有以下优点：

1、可以备份手机中的系统、软件应用等重要隐私数据，即使手机出现故障丢失相关数据，也可以在备份中恢复；

2.您可以下载并安装高级程序应用程序。 这是因为平台碎片化，安卓手机厂商版本不一，一些高级程序和应用程序在部分安卓手机没有root的情况下无法正常安装和使用；

3、可以修改手机系统，即root后可以对安卓手机进行刷机，体验不同安卓系统的丰富乐趣。 这也是安卓手机用户比较强烈的需求；

4、可以在SD卡上安装一些程序应用（但.2以下的程序应用默认只能安装在手机上），减轻手机负担，加快手机运行速度。 相信很多安卓用户都会发现，在手机未root之前，下载的程序和应用默认安装在手机内存中，用户无法安装到SD卡中。 万一出现死机、死机，获得root权限后，可以自由选择将程序应用下载到SD卡安装。

5、手机系统可本地化：拥有ROOT权限，我们可以加载本地化包，实现系统的本地化！ 这主要是针对那些默认语言是非中文的安卓手机，而这些手机本来是卖给非中文国家和地区的，但最终还是有中国人和中国用户也在使用。 为了更好的使用这些手机，贴合国人的操作习惯，有必要对这些手机的系统进行汉化。

最常用的好处是：

1）在系统层面删除不需要的软件：一般水货手机上市后，会有很多国内用不到的软件，常见的比如等等，还有一些常见的天气组件，以及一些内置的系统不需要的软件等，可以通过“授权”的形式将这些不需要的程序从系统底层删除到腾讯手机管家、安卓优化大师等安全优化手机软件中。 或者，您也可以使用甜椒刷机助手的“应用管理”功能直接删除。

2）禁止软件后台自动启动：基本上，当前的软件都会被设置为后台联网，但是有了ROOT权限，我们就可以控制它们了。 以腾讯手机管家为例，在手机上安装腾讯手机管家，然后启动软件用手机sd卡分区怎么做，当他询问是否授权ROOT时，请选择“允许”。然后进入软件的工具箱，点击“自动-启动管理”，可以看到后台软件自启动情况，可以根据需要调整

3）控制上网流量：同样以腾讯手机管家为例，拥有ROOT权限，我们可以利用其“流量监控”功能，对联网的各个软件进行控制。 如下所示：

（注：未root的手机无法恢复已删除的文件级数据，并且由于权限不足，很多应用程序的数据提取不完整，没有删除的数据。

一、ROOT权限对取证数据的影响

%%%2F%%3D%3D&#rd

2、越狱权限对取证数据的影响

%2B%%%%2F%%3D%3D&#rd)

在手机取证过程中，只有获得Root权限才能获取更多的数据。 但是，提权的过程必须改变设备系统的相关属性。 这是否违反了原始检验材料？ 也有过争议，但在实践中，总是如此。 如果在质证过程中，公诉人或者辅助证人能够清楚说明为什么获得Root权限以及如何获得的，仍然可以接受审理。

如何获取手机的root权限？

在实践中，获取ROOT权限的方式有3种：一种是在飞行模式下连接电脑，通过电脑破解设备的ROOT权限，即线刷。 常见的软件有刷机精灵、百度一键ROOT、ROOT精灵、Root大师、360一键ROOT等，各个软件支持的机型不尽相同，只能在操作过程中碰碰运气了。 在电脑无法root成功的情况下，尝试使用其他方法root设备，将手机连接本地网络，下载对应的Root工具，在本地执行ROOT工具。 这种方式的一个潜在风险是，如果持有被拘留者关系密码的人远程锁定或清除数据，而此时设备正在联网，会造成数据丢失等麻烦。 三是刷卡。 刷卡主要针对线刷没用过，刷机能力不错的用户。 具体来说就是用户下载安装包并放到手机SD卡目录下，然后按照网上的相关机型的root破解教程进行操作即可。 或者一步步手动操作。 不同型号有不同的操作步骤。 如果不能root成功，只能做一个root包。 不过，这可不是一般技术人员能搞定的。 建议向取证工具厂商或手机厂商寻求帮助。

清根

将手机重置为无根状态不会影响手机数据。

手机root后，可以简单的看成是一个权限管理软件，在手机上生成一个su的二进制文件； 就是删除这两个文件。

有一种情况例外，如果用户的手机是通过刷内核root的，清root后，手机仍然处于root状态； 比如三星手机，有的版本只能通过刷改内核才能root，之后无法清除。 Root，用户可以通过刷入官方内核或者恢复官方系统来清除。 对应机型有官方系统恢复教程。

6、刷机：

闪烁是手机的技术术语。 是指通过一定的方式，改变或替换原手机系统中固有的一些语言、图片、铃声、软件版本甚至操作系统。 简单的说，刷机就是改变手机操作的一种方式。 系统的一个行为相当于在电脑上安装不同的版本或者在电脑上重装系统。 闪烁可以是官方的或非官方的。 大多数制造商的手机都可以刷机。 它可以升级手机的版本，就像从1.5升级到1.6，再升级到2.0、2.3、4.0就像98变成xp，xp升级到win7。 刷机的目的主要是解决老版本软件中的BUG，一般是解决响应速度慢、音量小、短信模板、死机、显示亮度等问题； 有些是为了增强原有机型的功能，比如增加数码变焦、相框类型、图片编辑功能等，可以在不改变手机硬件的情况下改进其功能。 一般情况下客服是可以免费刷的，速度也很快，但是刷之前一定要备份个人通讯录等信息。 如果您的手机正常使用，则无需刷卡。 自己刷机也是可以的，但是需要到网上下载手机软件和刷机包的ROM。 但是，刷机是有一定风险的，关键看你能不能把风险降到最低甚至消除。 首先可以肯定的是，正常刷机操作不会损坏手机硬件。 其次，刷机可以解决手机一些莫名其妙的问题，升级手机的硬件驱动，给手机增加无数的DIY功能。 但是，不正确的刷机方法可能会带来不必要的麻烦，如无法开机、开机死机、功能失效等后果。 一般刷机后保修不会生效，所以如果不是特别需要，最好不要刷机。

刷机有两种方式：

一、方法

就是我们通常把.zip 放到SD 卡里，然后alt-s 的方法。 该方法是调用复制各种img或文件等操作的方法。

2.方法

这个方法其实是一个很酷的方法。 说白了就是直接覆盖已有的分区镜像文件（img文件，类似于我们制作光盘的镜像文件）到指定的分区。 有点类似于我们平时操作系统的Ghost还原。

这两种方法哪个更好，不好比较，总的来说：

方法比较简单，傻傻的把.zip放到SD卡的主目录下，然后进入模式alt-s，但是和傻傻的一样，灵活性很小，而且不会出错甚至不知道如何解决它。 一般来说，为了保证Rom的可靠性，Rom师傅在安装程序的时候会确认一些安装环境，而你的手机环境千变万化，Rom师傅很难仔细考虑。 此外，程序本身也有一些环境验证。

方法更灵活，功能更强大。 该方法不需要依赖于它。 即使底层linux模式坏了，无法进入模式，也可以通过方公恢复。 mode其实是调用spl来刷新机器的，所以如果spl坏了，mode应该进不去，也就是变砖了。 该方法需要你电脑上有程序，手机必须进入模式后才能操作（注意：刷机有风险，操作者需谨慎）。

刷机工具：三星有Odin工具（固件格式Tar），Moto有Rsd（固件格式Sbf），索尼爱立信（固件格式Ftf），Htc有Ruu（可执行文件）。

7、内核：我们常见的内核打包格式是boot.img，当你按下电源键时，它会引导加载内核分区，内核引导系统加载的过程。

8、：()是指手机通讯所需要的模块。 不同地区使用的频段不尽相同。 我们经常需要根据不同的刷机包和地区刷出最好的基带，以保证手机信号的稳定性和系统版本的匹配。 基带版本查询方法：

1.打开手机设置，找到关于设置

2.多找点打开，里面是基带，因为ROM不同，可能和你的手机不一样，不过一般都是这样找基带版本的。

刷基带注意事项：

1、不同手机的基带不通用。 如果用错了，手机将无法开机。

2.基带没有最新最好的，最合适的才是最好的选择

9. S-关/S-开

在S-off状态下，在Hboot模式下，可以刷入各种常用的rom包和官方包；

在S-on状态下（不含官方方案），刷机权限只对官方Ruu和Ota开放，即只能刷官方Rom包。

1、软解（电脑端，使用相关工具，有一定风险）或硬解（内部设备，一般水货手机卖家使用）让手机安全状态s-off，从而刷机等操作；

2.根据官方解释，手机的安全状态还是S-on（第一行出现粉色）； 该模式下可以刷入（系统软件）等分区，但不能刷入手机内核； 刷写完成后会提示官方修复，目的是在模式下刷写内核。

10、Hboot：HBOOT是HTC系列手机中的SPL。 SPL的英文全称是“ ”，负责将操作系统加载到RAM中。 SPL一般提供这些功能：检测手机硬件，查找系统引导分区，启动操作系统，为系统的基本维护提供操作界面。 它可以通过数据线与操作终端（如PC机）建立连接，接受并执行相应的指令。 它包含很多命令，像r2sd、l、（危险命令，他会抹掉）等等。 我们常说的三色屏就是SPL驱动的。 检测SD卡，当你插入一些特制的SD卡时，SPL会在启动时进行校验，并根据SD卡的内容刷入或执行一些命令。 这有点类似于从 PC 上的软盘驱动器启动。 简单来说，SPL相当于PC的BIOS。

十一、Rom包

可以理解为系统固件。 我们简单地将系统固件分为“基础包”和“第三方包”。 第三方包是我们刷机常用的，由第三方作者修改，格式为zip，只支持模式刷机； 使用此rom包，只会更新手机（系统软件）、开机（内核）和部分机型。 基带。

底包是官方出品，可以更新手机的整个系统，包括等。每个厂商的官方固件都不一样。 For , uses Odin to flash into the with Tar, and Moto uses Rsd to flash into the with Ftf. 固件。

12. other of :

1. The of times: you use the Odin cable to flash the ROM in the mode. If you have times, the after-sales will your .

2. MTP mode: The mode since the 4.X has the large- mode in the 2.3 . I it will bring a of to a of oil. I this mode when files You don't need to the SD card, you can the on the phone, and you can also files. If you need to to the large- , go to: USB .

MTP is the of Media, a media , which is an based on the PTP( ) , and is used to media files, among which the is to DRM files. At , only two of WMP10 (Media 10) and WMP11 (Media 11) the MTP . WMP11 adds for and Album art, and the of WMP10 when media file .

MTP the of music files on audio and movie files on media . It is a part of the Media , so it is to Media. Vista has built-in for MTP. To MTP in XP, you need to Media 10 or above. Mac and Linux have that MTP.

The of MTP is into two roles, one is as and the other is as. For : WMP (Media) is, and the media is as. They are all reply , and will not take the to issue . The main is to media files (Media File), and from (to) the , with for of the , and , such as DRM- . can also send to the host.

MTP can be on both the USB and the TCP/IP . It to the upper layer and does not care about the . At , the of most are based on the USB . The that MTP in the Meizu MX2(.x), MX3, Z6, U9, E8, etc., and Sony NWZ-A81X . In short, more and more are to MTP. has a . If your this test, it will you with a logo.

3. EFS file: It is used to the IMEI of the phone, the MAC of the card and the of the . At , it is found that the ROM of the , or wrong - will lead to the loss of EFS . IMEI The is or set to zero, the is , and the be used. (EFS is very , if you Note3, back up EFS, and it again!)

How to back up EFS files on your phone:

4. Five-piece set: ROM, which file, boot file (), core file (CODE), file (MODEM), file (CSC), the five files are and , You can't write it, and the five-piece set is also a bag for !

13. The of the mode of the phone ( and of , the code will be , the list below is not a !)

*#*#7777#*#* Bring up the USB mode

*#*#4636#*#*

phone , , , usage , WiFi

*#*#7780#*#*

to the will not the and SD card files.

*2767*3855#

to the will all files on the SD card.

*#*##*#*

the , or the

*#*#7594#*#*

When you press the for a long time, a will to the phone mode, : mode, mode and . You can use the above code to turn it into a .

*#*#*255**#*#*

Opens a place where you can back up your media files, such as , , and

*#*##*#* Start the mode, you can test some of the phone and the

Code for WLAN, GPS and tests

*#*##*#* or *#*#526#*#* or *#*#528#*#* – WLAN test

*#*##*#* –

*#*##*#* – GPS test

*#*#1575#*#* – other GPS tests

*#*##*#* – test

*#*##*# –

*#*#8255#*#*Start the GTalk to the code of the phone

*#*#4986*#*#*–PDA, Phone, H/W,

*#*#1234#*#* – PDA and Phone

*#*#1111#*#* – FTASW

*#*#2222#*#* – FTAHW

*#*#44336#*#*–PDA, Phone, csc,, anzhi.name, tests

*#*#0283#*#* –

*#*#0*#*#* – LCD test

*#*#0673#*#* or *#*#0289#*#* – test

*#*#0842#*#* – tests such as ,

*#*#2663#*#* – touch

*#*#2664#*#* – touch test

*#*#0588#*#* – test

*#*#3264#*#* –

, there are also ?The by these 4 sets of are too

#

as :

1. Open the : *3001#12345#*

2. Query the IMEI code of the phone: *#06*

3. Check the of the phone: *#33#

4. Turn on/off call : *43#／#43#

同城信息网