论文部分内容阅读
随着移动通信技术的发展、普及和应用,手机犯罪也呈现出新的趋势,手机取证正是打击这类犯罪的有效手段。大多数的传统方法采用直接调用API来提取手机存储的信息,该方法简便易操作,但不能恢复手机已删除数据。而现有方法,可以恢复误操作或故意删除的手机数据信息,但各有其优缺点。例如芯片拆除恢复法,恢复率最高,但要求技术高、实现难度大；暴力估算法,可很好的恢复已删除数据,但只可对整个存储单元整体解析后恢复提取,无法恢复删除数据部分被覆盖的情况。自2011年以来,国内外手机市场以Android手机占有率最高。因此,结合在上海良相智能化工程有限公司实习期间遇到的问题,论文重点针对Android手机数据恢复方法展开研究。主要研究内容如下：为提高删除数据的恢复率,通过深入解析SQLite数据库文件的逻辑与物理结构以及数据的寻址方式,提出了一种基于Android系统的探测估算预提取数据所在表的每个Type字段的方法。该方法首先探测删除数据所在表的每个Type区域值大小,进行恢复并提取；然后结合“尽最大努力恢复法”对删除数据部分被覆盖的情形探索其恢复的可能性,并进行恢复获取；最后在Android手机模拟器端进行验证。实验证明：该方法能成功恢复删除数据,且较暴力估算法,在不影响信息提取精确度的前提下,提高了删除数据的恢复率。为保证提取数据的真实性,提高提取数据作为证据的可采性,提出了一种细粒度数据完整性检验方法。该方法通过分析手机内存结构,根据实际案例中所需数据对象的证据特性来划分粒度,在细粒度层次上进行数据完整性检验。实验结果表明：粒度细化数据完整性检验的引入,使数据提取分析过程的可靠性更高。在实现证据提取与分析过程中数据完整性的同时,提高了电子数据转变为证据被法庭所采用的证据能力。