Android系統(tǒng)手機(jī)網(wǎng)盤客戶端的取證

李 楊谷學(xué)匯賈英杰

（1 鐵道警察學(xué)院公安技術(shù)系 河南 鄭州 450003；2 禹城市公安局網(wǎng)安大隊(duì) 山東 禹城 251200）

Android系統(tǒng)手機(jī)網(wǎng)盤客戶端的取證

李 楊1谷學(xué)匯1賈英杰2

（1 鐵道警察學(xué)院公安技術(shù)系 河南 鄭州 450003；2 禹城市公安局網(wǎng)安大隊(duì) 山東 禹城 251200）

犯罪分子利用手機(jī)網(wǎng)盤客戶端傳播淫穢視頻、暴恐音視頻等類案件，常用手機(jī)系統(tǒng)無(wú)法獲取手機(jī)網(wǎng)盤客戶端中的數(shù)據(jù)信息，給偵查辦案帶來(lái)了巨大困難。從Android 系統(tǒng)手機(jī)的數(shù)據(jù)存儲(chǔ)位置出發(fā)，通過(guò)提升用戶對(duì)手機(jī)數(shù)據(jù)文件的操作權(quán)限，進(jìn)而對(duì)手機(jī)中的網(wǎng)盤客戶端進(jìn)行數(shù)據(jù)傳輸與存儲(chǔ)的操作日志進(jìn)行提取和分析，對(duì)獲取手機(jī)中電子數(shù)據(jù)信息提供了一種新的方法。

手機(jī) Android系統(tǒng) 網(wǎng)盤客戶端 數(shù)據(jù) 提取分析

1 引言

隨著手機(jī)的不斷發(fā)展，智能手機(jī)用戶不斷增多，Android系統(tǒng)手機(jī)用戶更是占據(jù)了巨大份額，以云存儲(chǔ)平臺(tái)的手機(jī)網(wǎng)盤客戶端便是使用量日益增多的一款重要軟件。借助于網(wǎng)盤客戶端，人們可以將手機(jī)中的圖片、通訊錄等手機(jī)中的數(shù)據(jù)信息快速地上傳到網(wǎng)盤中，也可以將網(wǎng)盤中的信息在手機(jī)上進(jìn)行下載或者直接通過(guò)網(wǎng)盤客戶端對(duì)網(wǎng)盤文件進(jìn)行瀏覽，提高了手機(jī)可用空間及數(shù)據(jù)存儲(chǔ)的便利性。然而網(wǎng)盤客戶端給人們的生活帶來(lái)巨大便利的同時(shí)，也給不法分子提供了一個(gè)可利用的工具。不法分子借助于網(wǎng)盤傳播信息的高效性及隱蔽性，利用網(wǎng)盤傳播淫穢視頻、反動(dòng)及暴恐音視頻，而現(xiàn)有的取證工具又無(wú)法對(duì)網(wǎng)盤中的數(shù)據(jù)進(jìn)行取證分析，給取證工作造成了很大的困難。因此，尋求一種獲取手機(jī)網(wǎng)盤客戶端瀏覽記錄的方法具有重要意義。

2 Android系統(tǒng)手機(jī)數(shù)據(jù)與取證

Android系統(tǒng)是基于Linux基礎(chǔ)的開(kāi)源系統(tǒng)[1]，可以借助于adb（全稱為Android Debug Bridge）與電腦進(jìn)行相互通信[2]，adb 工具是屬于Android 開(kāi)發(fā)者工具的一部分[3]，包含在sdk中，當(dāng)手機(jī)開(kāi)啟USB 調(diào)試并通過(guò)數(shù)據(jù)線連接到計(jì)算機(jī)（已安裝好USB 驅(qū)動(dòng)）的時(shí)候，通過(guò)adb我們可以在Eclipse中通過(guò)DDMS來(lái)調(diào)試Android程序；還可以針對(duì)手機(jī)進(jìn)行很多操作，如安裝或卸載軟件、系統(tǒng)升級(jí)、運(yùn)行shell命令等。簡(jiǎn)而言之，adb就是連接Android系統(tǒng)手機(jī)與計(jì)算機(jī)的橋梁，可以讓用戶在電腦上對(duì)手機(jī)進(jìn)行全面的操作。借助于adb命令，可以對(duì)手機(jī)中的數(shù)據(jù)進(jìn)行提取分析，從而獲取有效的電子數(shù)據(jù)。

Android系統(tǒng)手機(jī)中的數(shù)據(jù)文件主要存儲(chǔ)于data文件夾下[4]，如短信息數(shù)據(jù)庫(kù)文件的存儲(chǔ)位置為data/data/com.android.mms。通常情況下，用戶對(duì)數(shù)據(jù)庫(kù)文件夾的讀取權(quán)限很低，甚至無(wú)法查看其內(nèi)部數(shù)據(jù)，因此，我們需要對(duì)手機(jī)中的data數(shù)據(jù)庫(kù)文件進(jìn)行權(quán)限的提升，將所需數(shù)據(jù)庫(kù)文件的權(quán)限提升為讀寫(xiě)后，就可以對(duì)其進(jìn)行導(dǎo)出，并在數(shù)據(jù)庫(kù)管理平臺(tái)對(duì)提取的數(shù)據(jù)進(jìn)行瀏覽分析。

手機(jī)取證主要分為兩大部分：數(shù)據(jù)提取和數(shù)據(jù)分析。數(shù)據(jù)提取就是取證工作人員為了案件的需要將涉案手機(jī)中的數(shù)據(jù)提取出來(lái)，保存至本地計(jì)算機(jī)；數(shù)據(jù)分析則是取證工作人員對(duì)所提取到的手機(jī)中的數(shù)據(jù)進(jìn)行詳細(xì)分析的過(guò)程。

3 網(wǎng)盤及網(wǎng)盤客戶端

網(wǎng)盤，是用戶在Web、PC、Android、iPhone和WindowsPhone手機(jī)客戶端多平臺(tái)進(jìn)行數(shù)據(jù)共享的云存儲(chǔ)平臺(tái)。該平臺(tái)依托于強(qiáng)大的云存儲(chǔ)集群機(jī)制，發(fā)揮了強(qiáng)有力的云端存儲(chǔ)優(yōu)勢(shì)，提供超大的網(wǎng)絡(luò)存儲(chǔ)空間，如目前百度云網(wǎng)盤存儲(chǔ)空間為2056G。用戶可以輕松把自己的文件上傳到網(wǎng)盤上，并可以隨時(shí)隨地跨終端瀏覽或下載分享等。

網(wǎng)盤客戶端是指安裝在手機(jī)上的應(yīng)用軟件，如QQ、微信客戶端一樣，通過(guò)賬號(hào)密碼登錄。安裝在Android系統(tǒng)手機(jī)中的網(wǎng)盤客戶端主要有以下幾個(gè)方面的特性：手機(jī)中的照片、音樂(lè)以及小視頻等各種數(shù)據(jù)，都可輕松的上傳至網(wǎng)盤，也支持批量上傳，不受手機(jī)本地空間容量的束縛；支持手機(jī)通訊錄以及短信息等與網(wǎng)盤同步備份功能，并可將備份信息恢復(fù)至手機(jī)，確保了手機(jī)數(shù)據(jù)的安全性；電腦上傳至網(wǎng)盤的文件，可隨身隨地在手機(jī)上查看或者下載，不再依賴數(shù)據(jù)線，更高效更便利；支持短信、微信、郵件、朋友圈等的分享方式，文件或文件夾都能一鍵分享給好友；網(wǎng)盤存儲(chǔ)的視頻文件可在線播放，支持主流視頻格式、字幕選擇；其巨大的存儲(chǔ)容量（如百度云網(wǎng)盤容量為2056G）也使得我們隨時(shí)將拍下的風(fēng)景照片或喜歡的電影上傳至網(wǎng)盤中，很大程度上解決了手機(jī)存儲(chǔ)不足帶來(lái)的困擾。

4 獲取Android系統(tǒng)手機(jī)網(wǎng)盤客戶端數(shù)據(jù)

Android系統(tǒng)手機(jī)的文件主要存儲(chǔ)于data文件夾下，其存儲(chǔ)位置一般為data下的子文件夾中，如百度云網(wǎng)盤的存儲(chǔ)位置為data/data/com.baidu.netdisk，其文件夾下有6個(gè)部分組成：app_webview、cache、code_cache、databases、files、lib和shared_prefs. 數(shù)據(jù)庫(kù)文件存儲(chǔ)于databases文件夾下，其存儲(chǔ)了網(wǎng)盤中的所有上傳或下載以及瀏覽的操作記錄。因此，只要我們將此文件夾內(nèi)容讀取出來(lái)，就可以實(shí)現(xiàn)取證的目的。

Databases文件下的數(shù)據(jù)庫(kù)文件主要包括以下幾個(gè)方面：Cloud-image.db：主要存儲(chǔ)圖片信息，包括手機(jī)上傳的和電腦上傳的圖片信息；Filelist.db：存儲(chǔ)所有文件的信息，包括上傳、下載及瀏覽過(guò)的圖片、音視頻等文件信息；cloudp2p.db：主要存儲(chǔ)通訊錄信息以及備份的短信息等；account.db：存儲(chǔ)了用戶的賬號(hào)信息。只要我們對(duì)手機(jī)網(wǎng)盤客戶端內(nèi)容進(jìn)行了瀏覽、上傳下載等操作，其操作信息都會(huì)存儲(chǔ)于此數(shù)據(jù)庫(kù)中。

本文以百度云網(wǎng)盤客戶端數(shù)據(jù)庫(kù)為提取目標(biāo)，對(duì)安裝在海信e602t手機(jī)中的百度云網(wǎng)盤客戶端進(jìn)行了實(shí)驗(yàn)。具體過(guò)程如下：

第1步：實(shí)驗(yàn)準(zhǔn)備，申請(qǐng)1個(gè)百度云網(wǎng)盤賬號(hào)，昵稱為：“取證實(shí)驗(yàn)”，并在電腦中上傳至百度云網(wǎng)盤圖片10張，通過(guò)手機(jī)登錄百度云網(wǎng)盤賬號(hào)，上傳手機(jī)通訊錄信息3條進(jìn)行備份，小視頻1個(gè)，如圖1所示。

圖1 Pc端百度云網(wǎng)盤中信息

第2步：將手機(jī)連接至電腦，打開(kāi)手機(jī)USB調(diào)試（設(shè)置—開(kāi)發(fā)人員選項(xiàng)—USB調(diào)試），通過(guò)adb命令 adb devices 查看手機(jī)連接情況，如圖2所示。

圖2 查看手機(jī)與電腦連接

手機(jī)連接成功后，進(jìn)入到data文件夾下（命令：cd data），查看data文件夾下的內(nèi)容（命令：ls -l），如圖3所示。

圖3 adb命令下查看data文件夾內(nèi)容

第3步：由圖3可以知道，對(duì)data文件夾下的數(shù)據(jù)沒(méi)有讀取權(quán)限，進(jìn)而在DDMS中將數(shù)據(jù)打開(kāi)，亦發(fā)現(xiàn)無(wú)法對(duì)其數(shù)據(jù)進(jìn)行讀取操作，如圖4所示。

圖4 DDMS中的data文件夾

因此，我們需要對(duì)其進(jìn)行讀取權(quán)限的提升（命令為：chmod 777 data），如圖5、圖6所示。

圖5 提升權(quán)限

圖6 提升權(quán)限后的data文件夾

第4步：將百度云網(wǎng)盤客戶端數(shù)據(jù)庫(kù)文件夾進(jìn)行讀取權(quán)限提升（chmod 777 -R data/data/com.baidu. netdisk/databases），最終達(dá)到可以讀取數(shù)據(jù)庫(kù)文件的目的。將提升權(quán)限后的百度云網(wǎng)盤客戶端數(shù)據(jù)庫(kù)文件夾導(dǎo)出至本地電腦中，進(jìn)而通過(guò)數(shù)據(jù)庫(kù)管理平臺(tái)對(duì)其進(jìn)行查看，如圖7、圖8所示。

最后，對(duì)導(dǎo)出的百度云網(wǎng)盤客戶端數(shù)據(jù)庫(kù)文件在SQLite databasesBtoserPortable數(shù)據(jù)庫(kù)管理器中進(jìn)行打開(kāi)分析，其結(jié)果如圖9所示。

圖7 對(duì)權(quán)限完全提升后可看到的百度云網(wǎng)盤數(shù)據(jù)庫(kù)存儲(chǔ)內(nèi)容

圖8 DDMS下查看百度云網(wǎng)盤下的數(shù)據(jù)庫(kù)文件

圖9 百度云網(wǎng)盤中的賬戶信息

其上傳的通訊錄、手機(jī)信息如圖10、圖11所示。

圖10 百度云網(wǎng)盤中存儲(chǔ)的手機(jī)通訊錄

圖11 百度云網(wǎng)盤中的圖片等文件信息

實(shí)驗(yàn)數(shù)據(jù)顯示，手機(jī)中的網(wǎng)盤可以存儲(chǔ)大量的電子數(shù)據(jù)，如通訊錄、短信息、照片以及保存在網(wǎng)盤中的音視頻等，而且只要在手機(jī)中瀏覽過(guò)或者是手機(jī)上傳、下載過(guò)的信息，都可以將其中的數(shù)據(jù)瀏覽信息進(jìn)行查看，初步了解其是否含有對(duì)案件偵查有價(jià)值的信息，從而進(jìn)一步確定如何獲取更多的證據(jù)。同時(shí)本實(shí)驗(yàn)利用adb提升權(quán)限的方法獲取云網(wǎng)盤數(shù)據(jù)瀏覽信息具有可行性和通用性，對(duì)未來(lái)辦案提供了一種新思路，同時(shí)為取證工具進(jìn)行功能提升指出了新的方向。

5 結(jié)論

手機(jī)中的電子數(shù)據(jù)已不再是機(jī)身內(nèi)存和存儲(chǔ)卡信息，而依托于云存儲(chǔ)的網(wǎng)盤存儲(chǔ)也將是獲取手機(jī)電子數(shù)據(jù)的關(guān)鍵。本文以Android手機(jī)中電子數(shù)據(jù)的提取與分析為方向，從存儲(chǔ)于手機(jī)中數(shù)據(jù)文件的存儲(chǔ)位置入手，將安裝于Android系統(tǒng)手機(jī)中的網(wǎng)盤客戶端為提取目標(biāo)，通過(guò)adb提升手機(jī)數(shù)據(jù)文件的讀取權(quán)限，進(jìn)而對(duì)獲取的手機(jī)網(wǎng)盤客戶端數(shù)據(jù)庫(kù)文件進(jìn)行瀏覽分析。實(shí)驗(yàn)有效地提取出了上傳至網(wǎng)盤的數(shù)據(jù)以及瀏覽網(wǎng)盤文件的信息。

[1]Andrew Hoog.Android取證實(shí)戰(zhàn)(調(diào)查分析與移動(dòng)安全)[M].北京:機(jī)械工業(yè)出版社,2013:82-83.

[2]危蓉,麥永浩.鎖屏Android智能手機(jī)取證方法的研究[J].中國(guó)司法鑒定,2015(1):67-68.

[3]杜江.Android手機(jī)取證之權(quán)限提升[J].技術(shù)研發(fā),2013(14):50-51.

[4]鐘華,繆紅,李進(jìn).面向Android 智能手機(jī)的電子數(shù)據(jù)取證分析[J].信息安全與通信保密,2014(7):103-104.

（責(zé)任編輯：于 萍）

Forensics of Android Mobile Phone SkyDrive Client

LI Yang1GU Xue-hui1JIA Ying-jie2
(1 The Public Security Department of Railway Police College Henan Zhengzhou 450003; 2 Network Security Brigade of Yucheng Public Security Bureau Shandong Yucheng 251200)

The mobile phone SkyDrive client is used by criminals to disseminate the pornographic video, audio and video of terrorist and violence. The commonly used mobile phone systems cannot be used to obtain the data information of mobile phone SkyDrive client, which brings huge diff culties to the investigation. Starting from the data storage location of the Android mobile phone system and through the promotion of operating authorization, the operation log of the data transmission and storage of mobile phone in the SkyDrive client is extracted and analyzed, which provides a new method of obtaining electronic data information of mobile phone.

Mobile phone Android SkyDrive client Data Extraction and analysis

TP309.1

A

2095-7939(2017)02-0107-04

10.14060/j.issn.2095-7939.2017.02.022

2016-11-14

公安部技術(shù)研究計(jì)劃項(xiàng)目（編號(hào)：2016JSYJB38）；河南省高等學(xué)校重點(diǎn)科研項(xiàng)目計(jì)劃資助（編號(hào)：15A520092）；中央高校基本科研業(yè)務(wù)經(jīng)費(fèi)項(xiàng)目（編號(hào)：2016TJJBKY021）。

李楊（1989-），男，山東禹城人，鐵道警察學(xué)院公安技術(shù)系助教，主要從事網(wǎng)絡(luò)安全執(zhí)法研究。