CN105357383B - 一种高效分析智能手机底层数据的方法 - Google Patents

Abstract

本发明公开了一种高效分析智能手机底层数据的方法，包括步骤：S1：读取手机数据的选定区域；S2：从手机数据存储的多重通用特征中抽象出匹配模版用以描述特定的特征数据；S3：通过匹配模版遍历指定区域的数据以获取到特征数据。本发明的有益效果如下：可以获取手机中所有分区信息，建立用于扫描指定数据的匹配模块，可以快速、通用地分析获取手机的系统数据、应用数据、外置存储数据中有价值的特征数据,降低数据检索时间，并提高数据搜索成功率，提高数据检索和恢复的工作效率，帮助破案。

Description

一种高效分析智能手机底层数据的方法

技术领域

本发明涉及信息安全技术领域，特别涉及一种高效分析智能手机底层数据的方法。

背景技术

由于智能手机的普及，人们的生活、工作、学习、社交、娱乐等都离不开智能手机的使用，智能手机在使用的过程中会随着时间的推移产生和存储大量的用户数据。这些用户数据可能是用户的照片、视频、语音、文档等常见文件，更多的则是智能手机系统或是运行在手机系统中的应用程序产生的用户使用痕迹数据文件。用户使用痕迹数据文件可以是任意格式，包括数据库文件、日志文件、程序序列化文件、多媒体文件等。这些海量的使用痕迹数据文件中记录了大量的用户私人数据，往往这些数据是在用户并不之情的情况下保存下来的，但也是手机程序在运行过程中必然的。

因此任何一款使用过的智能手机都具有一定的数据分析价值，主要是对手机使用者本人的数据进行分析，用于电子证据的提取、关键特征数据的查找等。

传统的数据分析是基于winhex等十六进制数据浏览软件，分析工作限制于PC且对底层十六进制数据需要有专业的认识，分析过程费时费力。目前市面上还没有一种能快速大量分析智能手机底层数据的方法。综上所诉，开发一种能够高效分析智能手机底层数据的方法显得尤为重要。

本发明所涉及的专业知识如下：

一、智能手机数据存储区域的简单介绍

智能手机系统存储数据的区域一般主要包括三部分：第一部份为操作系统分区，主要用作手机操作系统的安装以及系统运行文件的交互、第二部份为应用数据分区，主要用作手机应用程序的安装以及应用数据文件的存储、第三部分为数据扩展存储分区，主要用作存储用户的照片、视频等文件，连接电脑后可直接进行访问。在应用数据分区与数据扩展存储分区中记录着大量用户对手机的使用操作数据。其中在应用数据分区中每一个应用都有自己独有的文件目录。

二、数据在存储区域布局情况的简单介绍

一般情况数据都是以文件的方式存放在数据分区中的，其中文件有多种类型，不同格式的文件具有不同的数据存储结构。一条数据在文件中的存放位置由文件结构决定，要找到文件中的某一条数据，最快的方式就是完全掌握该文件格式的数据存储结构。如果我们删除了某个正常的文件，其实文件并没消失，只是数据不在以文件的方式存放在分区中，而是由多块碎片在分区的文件系统中分散存储，并且被标记删除状态，随时会被新的写入分区的文件覆盖填充，若在数据被彻底填充之前要找到删除文件的数据的存放位置，最快的方式就是完全掌握该分区的文件系统结构。存在类似上述删除数据结构的还有数据库文件。

发明内容

本发明针对现有技术的缺陷，提供了一种高效分析智能手机底层数据的方法，能有效的解决上述现有技术存在的问题。

一种高效分析智能手机底层数据的方法，包括步骤：

S1：读取手机数据的选定区域；

S2：从手机数据存储的多重通用特征中抽象出匹配模版用以描述特定的特征数据；

S3：通过匹配模版遍历指定区域的数据以获取到特征数据,并展现出来。

作为优选，所述S1中需要先选择查找的范围：

若选择范围为分区，通过手机系统api获取各分区路径；

若选择范围为应用，通过手机系统api获取应用路径；

若选择范围为文件，通过手机系统api浏览手机根目录选择指定的文件。

作为优选，所述S2的详细步骤为：

(1)若选择查找的数据区域是分区，则指定分区的文件系统类型记入匹配模板中；

若选择查找的数据区域是目录或文件，则指定需要扫描的文件类型记入匹配模板中；

(2)指定需要匹配的字符组记入匹配模板中；

(3)指定需要匹配的字符编码记入匹配模板中；

(4)指定是否匹配删除数据，若选择匹配则将带有删除标记的数据特征记入匹配模板中；

(5)指定匹配结果的组装方式,可在确定字符组的顺序后将匹配到的字符进行拼接。

作为优选，所述S3的详细步骤如下：

(1)若选择查找的数据区域是分区，则解析文件系统结构，通过文件系统结构解析方法，解析出文件系统的正常数据区域和未使用区域；

(2)若选择的数据区域是目录或文件，则判断文件类型解析文件结构，通过文件头扫描判断方法，过滤掉不属于指定类型的文件，并且解析出指定文件的结构；

(3)将字符组转换为需要匹配的编码，将字符组中的多个字符转换成指定的不同编码格式；

(4)将编码转换为正则式，将上述转换后的编码字符转换为特定的十六进制正则式；

(5)根据文件系统或文件类型进行正则递归扫描，通过正则式对文件系统或文件解析后的区域进行扫描；

(6)判断是否存在删除区域并正则扫描删除区域，若指定了获取删除数据且数据结构中存在删除区域，则对解析出的删除区域进行正则扫描；

(7)按照组装方式，组装递归的字符组产生的结果，对正则式扫描得出的结果进行修正拼接产生分析结果。

与现有技术相比本发明的优点在于：可以获取手机中所有分区信息，建立用于扫描指定数据的匹配模块，可以快速、通用地分析获取手机的系统数据、应用数据、外置存储数据中有价值的特征数据,降低数据检索时间，并提高数据搜索成功率，提高数据检索和恢复的工作效率，帮助破案。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下举实施例，对本发明做进一步详细说明。

一种高效分析智能手机底层数据的方法，包括步骤：

S1：读取手机数据的选定区域；

S2：从手机数据存储的多种通用特征(通用特征为手机中数据存储的常用特征)中抽象出匹配模版用以描述特定的特征数据；

S3：通过特征匹配算法遍历S2选定区域数据以获取到特征数据,并展现。

所述S1的详细步骤为：

如通过手机系统api获取各分区路径来选择整个数据分区；

需要分析手机中某个分区中的特征数据，手机的数据选择区域可以根据手机系统api提供的分区路径来选择整个数据分区。

如通过手机系统api获取应用路径来选择指定应用目录；

需要分析手机中应用程序的特征数据，手机的数据选择区域可以选择指定的应用目录，也可以根据应用的系统权限来选择具有特定系统权限才能产生特定数据的应用，还可以通过应用的根目录名来匹配判断是否在上述扩展分区中存在关联数据目录来一并选择。

如通过手机系统api浏览手机根目录选择指定的文件；

需要清楚数据存放的文件,可以直接指定某个文件分析其中的数据。

所述S2的详细步骤为：

(1)若选择查找的数据区域是分区，则指定分区的文件系统类型，文件系统分区类型包括：FAT32、EXFAT、EXT4等；

若选择查找的数据区域是目录或文件，则指定需要扫描的文件类型，文件类型包括：jpg、mp3、word等。

(2)指定需要匹配的字符组，指定一个或者多个需要匹配的文字字符，例如一个人的名字或者是一个词语都表示文字字符。

(3)指定需要匹配的字符编码，指定上述字符将以那些字符编码后进行匹配,字符编码包括(UTF8、UNICODE等)。

(4)指定是否匹配删除数据，若选择匹配则将带有删除标记的数据特征记入匹配模板中。

(5)指定匹配结果的组装方式,可在确定字符组的顺序后将匹配到的字符进行拼接。

S3：通过特征匹配算法遍历S2中选定区域数据以获取到特征数据的详细步骤如下：

(1)若选择查找的数据区域是分区，则解析文件系统结构，通过文件系统结构解析方法，解析出文件系统的正常数据区域和未使用区域。

(2)若选择的数据区域是目录或文件，则判断文件类型解析文件结构，通过文件头扫描判断方法(文件头扫描就是将符合文件头的指定类型的文件记录)，过滤掉不属于指定类型的文件，并且解析出指定文件的结构，特定的文件类型可以通过第三方算法库来进行读取操作。

(3)将字符组转换为需要匹配的编码，将字符组中的多个字符转换成指定的不同编码格式。

(4)将编码转换为正则式，将上述转换后的编码字符转换为特定的十六进制正则式。

(5)根据文件系统或文件类型进行正则递归扫描，通过正则式对文件系统或文件解析后的区域进行扫描。

(6)判断是否存在删除区域并正则扫描删除区域，若指定了获取删除数据且数据结构中存在删除区域，则对解析出的删除区域进行正则扫描。

(7)按照组装方式，组装递归的字符组产生的结果，对正则式扫描得出的结果进行修正拼接产生分析结果。

本领域的普通技术人员将会意识到，这里所述的实施例是为了帮助读者理解本发明的实施方法，应被理解为本发明的保护范围并不局限于这样的特别陈述和实施例。本领域的普通技术人员可以根据本发明公开的这些技术启示做出各种不脱离本发明实质的其它各种具体变形和组合，这些变形和组合仍然在本发明的保护范围内。

Claims (2)

1.一种高效分析智能手机底层数据的方法，包括步骤：

S1：读取手机数据的选定区域；

S2：从手机数据存储的多重通用特征中抽象出匹配模版用以描述特定的特征数据；

S3：通过匹配模版遍历指定区域的数据以获取到特征数据,并展现出来；

所述S1中需要先选择查找的范围：

若选择范围为分区，通过手机系统api获取各分区路径；

若选择范围为应用，通过手机系统api获取应用路径；

若选择范围为文件，通过手机系统api浏览手机根目录选择指定的文件；

所述S2的详细步骤为：

(1)若选择查找的数据区域是分区，则指定分区的文件系统类型记入匹配模板中；

若选择查找的数据区域是目录或文件，则指定需要扫描的文件类型记入匹配模板中；

(2)指定需要匹配的字符组记入匹配模板中；

(3)指定需要匹配的字符编码记入匹配模板中；

(4)指定是否匹配删除数据，若选择匹配则将带有删除标记的数据特征记入匹配模板中；

(5)指定匹配结果的组装方式,可在确定字符组的顺序后将匹配到的字符进行拼接。

2.根据权利要求1所述的一种高效分析智能手机底层数据的方法，其特征在于所述S3的详细步骤如下：

(1)若选择查找的数据区域是分区，则解析文件系统结构，通过文件系统结构解析方法，解析出文件系统的正常数据区域和未使用区域；

(2)若选择的数据区域是目录或文件，则判断文件类型解析文件结构，通过文件头扫描判断方法，过滤掉不属于指定类型的文件，并且解析出指定文件的结构；

(3)将字符组转换为需要匹配的编码，将字符组中的多个字符转换成指定的不同编码格式；

(4)将编码转换为正则式，将上述转换后的编码字符转换为特定的十六进制正则式；

(5)根据文件系统或文件类型进行正则递归扫描，通过正则式对文件系统或文件解析后的区域进行扫描；

(6)判断是否存在删除区域并正则扫描删除区域，若指定了获取删除数据且数据结构中存在删除区域，则对解析出的删除区域进行正则扫描；

(7)按照组装方式，组装递归的字符组产生的结果，对正则式扫描得出的结果进行修正拼接产生分析结果。