CN101557579A - 一种ota应用数据取证装置及取证方法 - Google Patents

Abstract

本发明的实施例公开了一种OTA应用数据取证装置及取证方法，涉及取证技术，能够解决传统的OTA取证量不足的问题。所述OTA应用数据取证装置包括：菜单显示单元，用于获取并显示OTA菜单；数据获取单元，用于获取所述菜单显示单元显示的OTA菜单中的关键菜单项关联的应用数据相应的服务信息。所述OTA应用数据取证方法包括：获取并显示OTA菜单；获取所述OTA菜单中的关键菜单项关联的应用数据相应的服务信息。本发明适用于手机取证。

Description

一种OTA应用数据取证装置及取证方法

技术领域

本发明涉及取证技术，尤其涉及一种OTA(Over the Air，空中下载)应用数据取证装置及取证方法。

背景技术

手机取证是指对存在于手机内存、SIM(Subscriber Identity Module，客户识别模块)卡、闪存卡和移动运营商网络以及短信服务提供商的系统中的电子证据进行提取、保护与分析，整理出有价值的案件线索或能被法庭所接受的证据的过程。SIM卡作为手机鉴权和个人信息存储的重要介质，其中含有大量有证据价值的数据，如何获得这些信息是手机取证领域的重要课题。现今的一些SIM卡取证系统通常静态地获取卡内的IMSI(International Mobile Subscriber Identiy，国际移动台识别码)，电话薄，短信息等信息。随着IC(Integrated Curcuit，集成电路)卡技术的发展，SIM卡的容量虽然在不断增加，但是总体来说容量还是非常小的，一般都只有几十K bytes(比特)左右。这样就限制了卡内信息的存储容量，而且卡内存储的数据内容都是静态的，不但数量有限，而且进一步分析处理的价值有限。

因而常规的SIM卡取证系统难以得到更多有效的证据，对手机取证造成了障碍。

发明内容

本发明提供一种OTA应用数据取证装置及取证方法，通过与OTA菜单的互操作来获取重要的证据，能够解决传统的SIM卡取证能够获取的信息量有限的问题。

为达到上述目的，本发明的实施例采用如下技术方案：

一方面，本发明提供了一种OTA应用数据取证装置，包括：

菜单显示单元，用于从SIM卡上获取并显示OTA菜单；

数据获取单元，用于从SIM卡上获取所述菜单显示单元显示的OTA菜单中的关键菜单项关联的应用数据相应的服务信息。

本发明提供的OTA应用数据取证装置，通过菜单显示单元从SIM卡上获取并显示OTA菜单，由数据获取单元获取所述菜单显示单元显示的OTA菜单中的关键菜单项关联的应用数据相应的服务信息，这些服务信息比传统的SIM卡取证所能获取的信息量更为丰富，能够给取证人员提供远端服务器信息从而能够进行远端服务器侧的取证。

另一方面，本发明提供了一种OTA应用数据取证方法，包括：

从SIM卡上获取并显示OTA菜单；

从SIM卡上获取所述OTA菜单中的关键菜单项关联的应用数据相应的服务信息。

本发明提供的一种OTA应用数据取证方法，从SIM卡上获取并显示OTA菜单，并获取所述OTA菜单中的关键菜单项关联的应用数据相应的服务信息，这些服务信息比传统的SIM卡取证所能获取的信息量更为丰富，能够给取证人员提供远端服务器信息从而能够进行远端服务器侧的取证。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本发明的实施例OTA应用数据取证装置的示意图；

图2为本发明的一较佳实施例OTA应用数据取证装置的示意图；

图3为本发明的实施例菜单显示单元的示意图；

图4为本发明的实施例菜单项选择模块的示意图；

图5为本发明的实施例数据处理模块的示意图；

图6为本发明的实施例分析解码模块的示意图；

图7为本发明的实施例数据处理模块的另一种结构示意图；

图8为本发明的OTA应用数据取证方法的流程图；

图9为本发明的一较佳实施例OTA应用数据取证方法的流程图。

具体实施方式

下面结合附图对本发明实施例一种OTA应用数据取证装置及取证方法进行详细描述。

应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

OTA是通过移动通信的空中接口对SIM卡数据及应用进行远程管理的技术，空中接口可以采用WAP(Wireless Application Protocol，无线应用协议)、GPRS(General Packet Radio Service，通用分组无线服务技术)、CDMA1X及短消息技术等。OTA基于短消息机制，通过手机终端或网上服务器的方式实现SIM卡内业务菜单的动态下载、删除与更新，使用户获取个性化信息服务。OTA技术的应用，使得移动通信不仅可以提供语音和数据服务，而且还能提供新业务下载。OTA菜单中可以包括：例如信息点播、互动娱乐、位置服务以及银行交易等内容。用户可以对OTA菜单中的内容可以进行定制。如果对OTA菜单进行分析，就可以清楚地了解SIM卡的持卡人订阅了哪些应用，对什么应用比较偏好等重要信息；进一步地，对于关键应用，可以通过与应用菜单的互操作来动态获取应用数据，这些应用数据信息有助于服务器侧的取证。

如图1所示，本发明的实施例一种OTA应用数据取证装置，包括：菜单显示单元100、数据获取单元200。

所述菜单显示单元100，用于从SIM卡上获取并显示OTA菜单。将本发明的实施例OTA应用数据取证装置与SIM卡的读卡器连接后，则所述菜单显示单元100可以通过所述读卡器获取到SIM卡中的OTA菜单。

数据获取单元200，用于从SIM卡上获取所述菜单显示单元100显示的OTA菜单中的关键菜单项关联的应用数据相应的服务信息。

上述应用数据相应的服务信息可以是SP(Service Provider，服务提供商)的服务器号码和/或所述应用数据的时间戳。取证人员获取到这些信息后，则能够到服务器侧进行进一步的取证。

所述菜单显示单元100和数据获取单元200与读卡器之间的接口为串口或USB(Universal Serial BUS，通用串行总线)口。

本发明提供的OTA应用数据取证装置，通过菜单显示单元100获取并显示OTA菜单，由数据获取单元200获取所述菜单显示单元100显示的OTA菜单中的关键菜单项关联的应用数据相应的服务信息，这些服务信息比传统的SIM卡取证所能获取的信息量更为丰富，能够给取证人员提供远端服务器信息并进行远端服务器侧的取证。本发明的实施例能够对关键菜单项进行选择，从而获取对应的应用数据，因而能够有针对性进行取证，大大提高了取证的灵活性。

在图1所示方案的基础上，本发明的一较佳实施例如图2所示。所述菜单显示单元100可以进一步包括：菜单读取模块110和菜单显示模块120。

所述菜单读取模块110，用于从读卡器中读取SIM卡上的OTA菜单。菜单读取模块110通过串口向读卡器发出读取OTA菜单的指令，读卡器将该指令通知SIM卡，并由SIM卡读取OTA菜单并通过读卡器将信息反馈给菜单读取模块110。

所述菜单显示模块120，用于显示所述菜单读取模块110读取的OTA菜单。显示的方式可以是级联方式。

该实施例中所述菜单显示单元100可以只包括上述两个模块，或者还可以进一步包括第一判断单元130，如图3所示。所述第一判断单元130用于判断所述菜单读取模块110读取OTA菜单是否成功，如果成功，则通知所述菜单显示模块130显示所述OTA菜单；如果读取OTA菜单失败，则通知所述菜单读取模块110退出读取OTA菜单。在所述菜单显示模块120显示OTA菜单之前，本发明的实施例还可以包括另一个判断单元，用于对所述菜单读取模块110读取的OTA菜单是否有效进行判断，如果无效，则可以通知所述菜单读取模块110退出读取OTA菜单。

如表1所示为中国移动梦网的OTA菜单。

表1.中国移动梦网的OTA菜单

如果SIM卡的持卡人订阅了这项业务，则OTA菜单中就包括足球追踪菜单项。“移动梦网”下一级有“公众信息”菜单项，“公众信息”菜单项下一级有“新闻”菜单项，“新闻”菜单项里就包含“足球追踪“菜单项。这个OTA菜单可以通过级联的方式显示出来。表1中的SEND SMS表示获取该菜单项的方式为通过服务器发送短消息的形式获得；GET PUT表示获得该菜单项的方法为用户输入数据，例如PIN(Personal Identification Number，个人识别码)数据，密码等等。

如图2所示，所述数据获取单元200包括：菜单项选择模块210和数据处理模块220。

菜单项选择模块210，用于在所述菜单显示单元100显示的OTA菜单中指定关键菜单项。

数据处理模块220，用于从SIM卡上读取所述菜单项选择单元指定的关键菜单项关联的应用数据，并获取所述应用数据相应的服务信息。

如图4所示，所述菜单项选择模块210可以进一步包括：设定模块211和选择模块212。

所述设定模块211，用于设定与取证相关的关键菜单项。

所述选择模块212，用于根据所述设定模块设定的关键菜单项遍历所述菜单显示单元显示的OTA菜单，并从中选择出所述关键菜单项。

菜单项选择模块210可以由人工选定关键菜单项，例如在OTA菜单显示之后则可以选定表1中的“足球追踪”。当然也可以由设定模块211设定好关键菜单项，例如可以由设定模块211设定好“足球追踪”为关键菜单项，再由选择模块212从OTA菜单中找到该关键菜单项，并通知给数据处理模块220；采用这种方式对批量SIM卡的取证极为方便。

如图5所示，所述数据处理模块220可以包括：数据读取模块221和分析解码模块222。

所述数据读取模块221，用于从读卡器中读取SIM卡上所述菜单项选择模块210指定的关键菜单项关联的应用数据。

例如，如果“足球追踪”是关键菜单项，则数据读取模块221从读卡器中读取SIM卡上与“足球追踪”关联的应用数据。

所述分析解码模块222，用于对所述数据读取模块221读取的应用数据进行分析解码并获取相应的服务信息。具体地，可以先获取应用数据的编码方式，例如UCS2，USC2是Unicode(统一码)的双字节定长编码方式，是指将单个的字符(1-2个字节)按ISO/IEC10646的规定，转变为16位的Unicode宽字符；由于应用数据通常是以短消息的方式发送的，因此应用数据有一定的组织结构，分析解码模块222可以分别对每个结构段进行分析解码，并转换为可视化显示，从而能够获取到这些应用数据的相关SP的服务器号码以及时间戳等信息，当然还可以包括接收方代号、数据内容等。如表2所示为所述分析解码模块222获得的结果。

表2.分析解码模块222获得的结果

SP服务器号码	10628080
		接收方号码	13401073430
时间戳	2009.3.10
		数据内容	中超第三轮北京国安与江苏舜天的比赛双方以1∶1握手言和，赛后国安球迷围住舜天车队常达一小时之久。

取证人员可以根据上述信息在代号为10628080的服务器侧取证与时间戳为2009.3.10(之前或之后)相关的证据。本发明能够获取的信息并不局限于上述结果，还可以包括其它的服务信息，本发明的实施例仅是举了对取证较为有效的服务信息。

如图6所示，在本发明的一较佳实施例中，所述分析解码模块222可以进一步细化为包括：编码方式获取模块2221、解码模块2222和服务信息获取模块2223。

所述编码方式获取模块2221，用于获取所述数据读取模块221读取的应用数据的编码方式。

所述解码模块2222，用于根据所述编码方式获取模块2221获取的编码方式对应的解码方式将所述应用数据逐个结构段进行解码。具体地，所述编码方式获取模块2221可以分为SP服务器号码解码模块、接收方号码解码模块、时间戳解码模块以及数据内容解码模块。

所述服务信息获取模块2223，用于根据所述解码模块2222解码的结果获取可视化的服务信息。

在上述方案的基础上，所述数据处理模块220可以进一步包括第二判断单223元，如图7所示。第二判断单223元用于判断所述数据读取模块221读取应用数据是否成功，如果成功，则通知所述分析解码模块222获取所述应用数据相应的服务信息；如果失败，则通知所述数据读取模块221退出应用数据的读取。

本发明的实施例OTA应用数据取证装置，能够设定与取证紧密相关的关键菜单项，从而能够针对该菜单项获取关联的应用数据，因而本发明的实施例相对于现有技术，取证有针对性，能够获得更为有效的取证数据。第一判断单元130能够在所述菜单读取模块110读取OTA菜单失败时，及时通知所述菜单读取模块110退出读取OTA菜单；第二判断单元223能够在所述数据读取模块221读取应用数据失败时及时通知数据读取模块221退出应用数据读取。因而本发明的实施例在取证过程中能够尽快从错误或失败中退出，提高了取证效率。

如图8所示，本发明的实施例还提供了一种OTA应用数据取证方法，包括：

S801、从SIM卡上获取并显示OTA菜单；

S802、从SIM卡上获取所述OTA菜单中的关键菜单项关联的应用数据相应的服务信息。

本发明提供的一种OTA应用数据取证方法，从SIM卡上获取并显示OTA菜单，并获取所述OTA菜单中的关键菜单项关联的应用数据相应的服务信息，这些服务信息比传统的SIM卡取证所能获取的信息量更为丰富，能够给取证人员提供远端服务器信息并进行远端服务器侧的取证。本发明能够对关键菜单项进行选择，从而获取对应的应用数据，因而能够有针对性进行取证，大大提高了取证的灵活性。

在上述实施例的基础上，本发明的另一较佳的实施例可以按照图8所示的步骤进行OTA应用数据的取证。如图8所示，本实施例的步骤可以包括：

S801、向读卡器发送串口指令要求读取OTA菜单。当然也可以通过USB口发送指令，本发明的实施例对此不做限制。

S802、读卡器接收到该指令后，与SIM卡进行交互获取OTA菜单。

S803、判断读卡器读取OTA菜单是否成功，如果成功，则执行步骤S804；如果失败，则提示错误并退出OTA菜单的读取。

S804、接收读卡器返回的SIM卡提供的OTA菜单。

S805、将所述OTA菜单进行级联显示。例如表1中所示的各级菜单。

本发明并不局限于此，在显示OTA菜单之前，还可以判断读卡器返回OTA菜单数据是否为有效数据，如果无效则提示错误并退出OTA菜单的读取。

S806、在显示的OTA菜单中指定关键菜单项。

例如，可以指定表1中所示的“足球追踪”为关键菜单项。除了人工指定关键菜单项外，还可以通过设定与取证相关的关键菜单项，再根据所设定的关键菜单项遍历所述OTA菜单，从中选择出对取证意义重大的关键菜单项。

S807、向读卡器发送串口指令要求获取关键菜单项关联的应用数据。同样，也可以通过USB口发送该指令，本发明的实施例对此不做限制。

S808、读卡器在接收到该指令后，与SIM卡进行交互获取关键菜单项关联的应用数据。

S809、判断读卡器读取应用数据是否成功，如果成功，则执行S810；如果失败，则退出对应用数据的读取。

S810、接收读卡器返回的关键菜单项关联的应用数据。

S811、对读卡器返回的应用数据进行分析解码并获取所述应用数据相应的服务信息。

具体地，可以先获取应用数据的编码方式(例如UCS2)；由于应用数据通常是以短消息的方式发送的，因此应用数据有一定的组织结构，可以分别对每个结构段采用与所述编码方式对应的解码方式进行解码，并转换为可视化显示，从而能够获取到这些应用数据的相关SP的服务器号码以及时间戳等信息，当然还可以包括接收方代号、数据内容等内容，可以参考表2所示的结果。

下面举例对SP服务器号码进行解码进行简单的说明。首先要获取SP服务器号码对应的应用数据的长度，具体地可以在将应用数据分为各个结构段时获取到所述长度。然后采用与编码方式对应的解码方式对SP服务器号码对应的应用数据进行解码。在解码获得的数据中可能会带有“F”，“F”通常为编码时所加上的无效数据。如果最后一个字符不是“F”，则认为该数据即为SP服务器号码；如果最后一个字符是“F”，则将“F”去掉，并将去掉“F”的数据作为SP服务器号码。

取证人员就可以根据表2所示的信息在代号为10628080的服务器侧取证与时间戳为2009.3.10(之前或之后)相关的证据。

本发明的实施例OTA应用数据的取证方法，针对关键菜单项进行OTA应用数据的取证，能够获得更为有效的取证数据。实施例判断读取空中下载菜单是否成功，并在读取失败时及时退出OTA菜单的读取；实施例还判断读取应用数据是否成功，并在读取失败时及时退出应用数据的读取。因而本发明的实施例在取证过程中能够尽快从错误或失败中退出，提高了取证效率。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (15)

1、一种空中下载应用数据取证装置，其特征在于，包括：

菜单显示单元，用于从SIM卡上读取并显示空中下载菜单；

数据获取单元，用于在所述菜单显示单元显示的空中下载菜单中选择关键菜单项，并获取所述SIM卡上所述关键菜单项关联的应用数据相应的服务信息。

2、根据权利要求1所述的装置，其特征在于，所述菜单显示单元包括：

菜单读取模块，用于通过读卡器中读取SIM卡上的空中下载菜单；

菜单显示模块，用于显示所述菜单读取模块读取的空中下载菜单。

3、根据权利要求2所述的装置，其特征在于，所述菜单显示单元进一步包括：

第一判断单元，用于判断所述菜单读取模块读取空中下载菜单是否成功，如果成功，则通知所述菜单显示模块显示所述空中下载菜单；如果失败，则通知所述菜单读取模块退出空中下载菜单的读取。

4、根据权利要求1所述的装置，其特征在于，所述数据获取单元包括：

菜单项选择模块，用于在所述菜单显示单元显示的空中下载菜单中选择关键菜单项；

数据处理模块，用于通过读卡器从SIM卡上读取所述菜单项选择模块选择的关键菜单项关联的应用数据，并获取所述应用数据相应的服务信息。

5、根据权利要求4所述的装置，其特征在于，所述菜单项选择模块包括：

设定模块，用于设定与取证相关的关键菜单项；

选择模块，用于根据所述设定模块设定的关键菜单项遍历所述菜单显示单元显示的空中下载菜单，并从中选择出所述关键菜单项。

6、根据权利要求4所述的装置，其特征在于，所述数据处理模块包括：

数据读取模块，用于通过读卡器读取SIM卡上所述菜单项选择模块选择的关键菜单项关联的应用数据；

分析解码模块，用于对所述数据读取模块读取的应用数据进行分析解码并获取相应的服务信息。

7、根据权利要求6所述的装置，其特征在于，所述分析解码模块包括：

编码方式获取模块，用于获取所述数据读取模块读取的应用数据的编码方式；

解码模块，用于根据所述编码方式获取模块获取的编码方式对应的解码方式将所述应用数据逐个结构段进行解码；

服务信息获取模块，用于根据所述解码模块解码的结果获取可视化的服务信息。

8、根据权利要求6所述的装置，其特征在于，所述数据处理模块进一步包括：

第二判断单元，用于判断所述数据读取模块读取应用数据是否成功，如果成功，则通知所述分析解码模块获取所述应用数据相应的服务信息；如果失败，则通知所述数据读取模块退出应用数据的读取。

9、根据权利要求1至8中任一项所述的装置，其特征在于，所述服务信息包括：所述应用数据的服务提供商的服务器号码和/或所述应用数据的时间戳。

10、根据权利要求2至8中任一项所述的装置，其特征在于，所述菜单显示单元或所述数据获取单元与所述读卡器之间的接口为串口或通用串行总线。

11、一种空中下载应用数据取证方法，其特征在于，包括：

从SIM卡上读取并显示空中下载菜单；

在所述空中下载菜单中指定关键菜单项；

获取所述SIM卡上所述关键菜单项关联的应用数据相应的服务信息。

12、根据权利要求11所述的方法，其特征在于，所述在所述空中下载菜单中指定关键菜单项具体为：

设定与取证相关的关键菜单项；

根据所设定的关键菜单项遍历显示的空中下载菜单，从中选择出所述关键菜单项。

13、根据权利要求11所述的方法，其特征在于，所述获取所述SIM卡上所述关键菜单项关联的应用数据相应的服务信息具体为：

通过读卡器读取SIM卡上所述关键菜单项关联的应用数据；

对所述应用数据进行分析解码并获取所述应用数据相应的服务信息。

14、根据权利要求13所述的方法，其特征在于，所述对所述应用数据进行分析解码并获取所述应用数据相应的服务信息具体为：

获取所述应用数据的编码方式；

根据所述编码方式对应的解码方式将所述应用数据逐个结构段进行解码；

根据解码的结果获取可视化的服务信息。

15、根据权利要求11至14中任一项所述的方法，其特征在于，所述服务信息包括：所述应用数据的服务提供商的服务器号码和/或所述应用数据的时间戳。

Images