CN110191176A

CN110191176A - 一种快速电子取证方法及系统

Info

Publication number: CN110191176A
Application number: CN201910451770.0A
Authority: CN
Inventors: 陈键; 李秀松; 王谦
Original assignee: Liaoning Ruisi Technology Co Ltd
Current assignee: Liaoning Ruisi Technology Co Ltd
Priority date: 2019-05-28
Filing date: 2019-05-28
Publication date: 2019-08-30
Anticipated expiration: 2039-05-28
Also published as: CN110191176B

Abstract

本发明涉及一种快速电子取证方法及系统，在取证前端设备中录入被取证设备持有者的信息，并发送给取证服务器；取证服务器根据设备持有者的信息更新基础安装包，动态生成预取证设备的专用安装包，并将专用安装包的地址发送给取证前端设备；取证前端设备根据接收到的专用安装包地址，生成二维码；被取证设备通过扫描二维码，下载取证app并运行，通过取证app对被取证设备进行电子取证，并将取证数据发送至取证服务器。本发明被取证的智能手机不需要通过手机数据线与取证系统直接连接，不需要开启被取证智能手机的USB调试模式；针对Android系统智能手机的电子数据取证app可实现服务器端动态打包,被取证设备上无需录入任何信息。

Description

一种快速电子取证方法及系统

技术领域

本发明涉及电子数据取证技术领域，具体地说是一种快速电子取证方法及系统。

背景技术

随着智能手机的广泛应用和犯罪手段的数字化，犯罪分子也越来越多的利用智能手机进行职务犯罪、诈骗、毒品交易、盗取个人隐私信息等犯罪行为，智能手机取证可以有效打击这些违法犯罪活动。搜集智能手机中电子数据证据的过程即为电子数据取证。

传统的智能手机电子数据取证方式，通过手机数据线(通常为USB线)将智能手机与计算机相连，进行取证信息采集。首先，传统取证方式需有手机数据线、计算机等设备辅助，移动性不强，不利于对流动人员进行快速及时地取证排查。其次，传统取证方式还要求取证人员熟悉各型号智能手机，对于Android手机系统，取证前需在智能手机中寻找到USB调试模式开关，打开USB调试模式。非专业电子数据取证人员往往需要查找资料才能找到正确打开USB调试模式的方法，不便于执法人员使用。再次，传统取证方式还需要执法人员在计算机上安装相应的手机驱动才能进行取证，而不同的智能手机驱动往往并不相同，执法人员经常也要花费较多时间去查找手机驱动相关的资料。然后，安装驱动之后取证时间也非常漫长，一些取证信息需要对智能手机进行全盘备份才能获取，目前智能手机内存64G、128G已成为常规配置，针对如此大的容量，全盘备份数据也会耗费了大量的时间。最后，由于手机更新换代速度极快，新机型层出不穷，要求计算机安装的取证软件也需频繁更新，否则对新机型无法识别和取证。

发明内容

针对现有技术的不足，本发明提供一种快速电子取证方法及系统，解决了取证时要求手机数据线、计算机外设，开启USB调试模式、安装驱动等操作复杂，取证过程耗时长，取证软件需针对新机型和新app进行专门升级的问题。

本发明为实现上述目的所采用的技术方案是：

一种快速电子取证方法，包括以下步骤：

步骤1：在取证前端设备中录入被取证设备持有者的信息，并发送给取证服务器；

步骤2：取证服务器根据设备持有者的信息更新基础安装包，动态生成预取证设备的专用安装包，并将专用安装包的地址发送给取证前端设备；

步骤3：取证前端设备根据接收到的专用安装包地址，生成二维码；

步骤4：被取证设备通过扫描二维码，下载取证app并运行，通过取证app对被取证设备进行电子取证，并将取证数据发送至取证服务器。

所述动态生成预取证设备的专用安装包，包括：

通过Aapt工具编译res资源文件，把除图片文件外的xml文件编译成二进制文件，生成R.Java文件和resources.arsc文件；

AIDL工具解析Android接口定义语言文件，将.aidl文件编译成.java文件；

javac工具将R.Java文件、.java文件和java源代码生成class文件；

dx工具将项目自身的.class文件和第三方库的.class文件生成classes.dex文件；

apkbuilder工具将项目中所有未被编译的资源、编译过的资源文件和dex文件打包生成apk文件，并通过jarsigner工具给apk文件签名；

使用zipalign工具对签名后的apk文件进行对齐处理。

所述通过取证app对被取证设备进行电子取证，包括

获取用户的操作使用权限，并调用FreeBSD底层Api，获取待取证信息；

通过二维码底层识别库获取取证前端设备录入的被取证设备持有者的信息；

通过ZIP打包底层库、FTP传输底层库、XML解析底层库，将待取证信息和取证前端设备录入的被取证设备持有者的信息打包并上传至取证服务器。

所述被取证设备持有者的信息包括终端信息、SIM卡信息、通讯录信息、通讯录详细信息、通话记录信息、短信记录信息、彩信记录信息和日历记录信息。

将所述取证数据通过压缩加密后发送至取证服务器。

一种快速电子取证系统，包括

取证前端设备，接收被取证设备持有者的信息，并发送给取证服务器；接收预取证设备的专用安装包地址，生成二维码；

取证服务器，根据设备持有者的信息更新基础安装包，动态生成预取证设备的专用安装包，并将专用安装包的地址发送给取证前端设备；

被取证设备，通过扫描二维码下载取证app并运行，通过取证app对被取证设备进行电子取证，并将取证数据发送至取证服务器。

所述动态生成预取证设备的专用安装包，包括：

javac工具将R.Java文件、.java文件和java源代码生成.class文件；

apkbuilder工具将项目中所有未被编译的资源、编译过的资源文件和dex文件打包生成apk文件，并通过jarsigner工具给apk文件签名；使用zipalign工具对签名后的apk文件进行对齐处理。

所述通过取证app对被取证设备进行电子取证，包括

将所述取证数据通过压缩加密后发送至取证服务器。

本发明具有以下有益效果及优点：

1.本发明被取证的智能手机不需要通过手机数据线与取证系统直接连接，不需要开启被取证智能手机的USB调试模式；

2.本发明针对Android系统智能手机的电子数据取证app可实现服务器端动态打包,被取证设备上无需录入任何信息；

3.本发明实现了Android和iOS系列所有智能手机的快速采集、无痕采集，采用无线方式，无需数据线连接，无需对手机系统进行任何设置。

附图说明

图1为本发明的方法流程图；

图2为本发明的动态打包过程示意图；

图3为实施例1中Android系统的智能手机的电子数据取证方法流程图；

图4为实施例2中Android系统的智能手机的电子数据取证方法流程图；

图5为实施例3中iOS系统的智能手机的电子数据取证方法流程图；

图6为实施例4中iOS系统的智能手机的电子数据取证方法流程图；

图7为本发明的系统结构图。

具体实施方式

下面结合附图及实施例对本发明做进一步的详细说明。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明的具体实施方式做详细的说明。在下面的描述中阐述了很多具体细节以便于充分理解本发明。但本发明能够以很多不同于在此描述的其他方式来实施，本领域技术人员可以在不违背发明内涵的情况下做类似改进，因此本发明不受下面公开的具体实施的限制。

除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中在发明的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本发明。

如图1所示为本发明的方法流程图。

方法包括以下步骤：

Android系统用的app安装包，可采用动态打包，非动态打包两种方式。

非动态打包方式，具体包括app应用安装于被取证的android设备后，运行时会提示填入被取证设备的相关信息和被取证设备持有者的相关信息。完成输入操作后，app将自动获取系统权限，自动对android设备进行电子数据取证，自动将取证数据上传至取证服务器。最终的取证数据中将app开始运行时提示填入的信息。

动态打包方式，具体包括app应用先打包出一个基础apk安装包。取证服务器接收到取证前端设备录入的信息后，根据次信息更改基础apk安装包内的资源文件，并重新打包生成被取证android设备的专用apk安装包。专用apk安装包运行后自动获取系统权限，自动对android设备进行电子数据取证，自动将取证数据压缩加密上传至取证服务器。最终的取证数据中将自动包含被取证设备的相关信息和被取证设备持有者的相关信息，便于后期进行数据分析。为了提高再次打包速度，基础apk可用于重新打包的代码和资源全部常驻于内存，取证服务器重新打包时直接在内存中完成。采用动态打包的方式，在被取证设备上，取证人员可减少输入信息等环节，提高取证速度。

所述的动态打包，动态的内容为前端被采集设备持有人的信息和设备信息。根据上述流程，可见将动态的内容，放在未被编译的资源中，将很容易被替换。替换后，只需利用apkbuilder工具打包、利用jarsigner工具签名和zipalign工具对齐即可，省略了之前aapt工具、AIDL工具、javac工具、dx工具的步骤。apkbuilder工具打包到最终的apk文件中的过程，本质与压缩一个zip格式的压缩包相同，速度很快，并且jarsigner工具、zipalign工具的速度也非常迅速。此外，服务将所有文件常驻于内存之中，在内存中完成动态打包工作，也大大提高了打包效率。

如图2所示为动态打包过程示意图。

动态打包过程为：

aapt(The Android Asset Packaing Tool)工具编译res资源文件，把大部分xml文件编译成二进制文件(图片文件除外)，生成R.Java文件和resources.arsc文件。Aapt工具处理的资源文件大多为XML文件，aapt在处理过程中会将这些XML资源文件编译为二进制的XML文件。这些二进制格式的XML文件分别有一个对应的字符串资源池，用来保存文件中所引用到的每个字符串，包括XML元素的标签，属性值，属性名称。这样一来，原始XML文件中每个值都会被映射为一个索引到字符串资源池的整数，而这些整数又被统一的保存到R.java文件中。这个R.java是编译器帮我们自动生成的，并不是我们人为修改的。最终该R.java文件也会和src下的java文件一同编译到apk中。同时，aapt也会收集需要编译的资源文件，最终生成资源索引表resources.arsc。

AIDL工具解析Android接口定义语言文件，将.aidl文件编译成.java文件。

javac工具将所有.java文件(包括R.Java、AIDL工具生成的.java文件，以及java源代码)生成.class文件。

dx工具将项目自身的全部.class文件和第三方库的.class文件生成classes.dex文件。dx工具的主要工作是将Java字节码转成成Dalvik字节码，同时合并常量池，消除多个class文件常量池中的冗余。

apkbuilder工具将项目中所有未被编译的资源(如images等)、编译过的资源文件和dex文件都会被apkbuilder工具打包到最终的apk文件中。这一步生成的apk文件其实是一个zip格式的压缩包，只不过将文件的后缀进行了修改。

jarsigner工具签名apk文件。

最后，使用zipalign工具进行对齐处理。经过对齐处理之后，apk中的各个文件起始偏移位置均为4字节的整数倍，从而提高文件读取的效率。

iOS系统用的ipa安装包，通过苹果授权的企业签名后可不陈列于app store，可通过https服务器下发。app运行时可通过扫描二维码和键盘输入方式填入被取证设备的相关信息和被取证设备持有者的相关信息。之后，app自动获取苹果系统权限，自动获取手机取证数据，压缩加密后上传至取证服务器。

电子数据取证方法的具体过程如下：

(1)取证前端设备启动程序，输入被取证的智能手机所有者的身份信息。

(2)取证前端设备将录入信息发送至电子数据取证服务器。

(3)取证服务器根据(2)所述的录入信息，动态生成用于取证Android智能手机的apk安装包，用于取证iOS智能手机的ipa安装包。并将安装包的链接地址通过发送至电子数据取证前端设备。

(4)取证前端设备将(3)所述的链接地址通过二维码展示。

(5)被取证的Android智能手机扫描取证前端设备提取安卓设备的二维码，被取证的iOS智能手机扫描提取苹果设备的二维码。

(6)被取证的Android、iOS智能手机通过二维码链接到取证服务器，下载对应的安装包后，安装并运行。

(7)被取证的ios智能手机安装ipa后，再次扫描取证前端设备二维码获取被采集设备信息和被采集设备持有人信息。之后，自动对智能手机进行电子数据取证，并将取证结果通过无线网络上传至电子数据取证服务器，提示卸载，期间无人工干预。iOS创建工程后，申请项目相关操作使用权限(相机权限、相册权限、通讯录权限、蓝牙权限、Wifi权限、日历权限、定位权限等)以及FreeBSD底层Api获取以下取证的相关信息。

被取证的Android智能手机安装apk后自动对智能手机进行电子数据取证，并将取证结果通过无线网络上传至取证服务器，提示卸载，期间无人工干预。Android App可获取权限远大于iOS App。在安装时获取READ_USER_DICTIONARY(从一个提供器中获取数据)，.READ_SOCIAL_STREAM(读取用户的社交信息流)、READ_SMS(允许程序读取短信内容)、READ_PROFILE(访问用户个人资料)、READ_PHONE_STATE(允许程序访问电话状态)、READ_LOGS(允许程序读取系统底层日志)、READ_HISTORY_BOOKMARKS(允许程序读取浏览器收藏夹和历史记录)、READ_EXTERNAL_STORAGE(程序可以读取设备外部存储空间)、READ_CONTACTS(允许程序访问联系人通讯录信息)、READ_CALL_LOG(读取通话记录)、READ_CALENDAR(允许程序读取用户的日程信息)、LOCATION_HARDWARE(定位功能)、INTERNET(访问网络连接)、GLOBAL_SEARCH(允许程序允许全局搜索)、CAMERA(允许访问摄像头)、ACCESS_WIFI_STATE(允许程序获取当前WiFi接入的状态以及WLAN热点的信息)、ACCESS_FINE_LOCATION(允许程序通过GPS芯片接收卫星的定位信息)、ACCESS_COARSE_LOCATION(允许程序通过WiFi或移动基站的方式获取粗略的经纬度信息)等。若用户未允许上述权限，则在运行时继续请求获取。并调用私有Api(反编译获的，未在官方文档中列举)，获取取证的相关信息。取证的相关信息结合Apk动态打包中写入的前端填入的信息，打包并上传至取证服务器。

(8)通过二维码底层识别库可获取前端填入的相关信息。之后通过ZIP打包底层库、FTP传输底层库、XML解析底层库实现将取证的相关信息和前端填入的相关信息打包并上传至取证服务器。

(9)app运行完毕，按自动提示卸载。

所述的取证相关信息如下：

1、终端信息

产品应支持获取取证对象的终端信息。

2、SIM卡信息

3、通讯录信息

4、通讯录详细信息

5、通话记录信息

6、短信记录信息

7、彩信记录信息

8、日历记录信息

图3为本实施例1中针对Android系统的智能手机的电子数据取证方法流程图。

实施例1：

首先在取证服务器中部署安装于Android系统的智能手机的apk基础安装包，该apk可安装于被取证的Android系统的智能手机。当手机运行该apk时，可获取和提升手机的系统权限，获取手机的电子数据取证信息，包括：设备基本信息、通讯录、通话记录、短信、彩信、App列表等。

其次，取证前端设备录入被取证设备持有者相关信息等。取证前端设备录入的信息完成后，将通过Webservice接口发送至取证服务器。

接着，取证服务器根据取证前端设备录入的信息，更改基础apk安装包内的资源文件，并重新打包生成被取证android设备的专用apk安装包。为了提高再次打包速度，基础apk可用于重新打包的代码和资源全部常驻于内存。

然后，取证前端设备根据专用apk安装包下载地址生成二维码。

最后，被取证android设备扫描取证前端设备的二维码，从取证服务器下载apk，运行，实现对Android智能手机的电子数据取证。取证完成后，取证数据压缩加密，通过被取证android设备上传至取证服务器。

在具体实现时，被取证android设备和取证服务器之间、取证前端设备和取证服务器之间全部采用无线移动网络传输。

图4为本实施例2中针对Android系统的智能手机的电子数据取证方法流程图。

首先在取证服务器中部署安装于Android系统的智能手机的apk安装包，该apk可安装于被取证的Android系统的智能手机。当手机运行该apk时，可获取和提升手机的系统权限，获取手机的电子数据取证信息，包括：设备基本信息、通讯录、通话记录、短信、彩信、App列表等。

其次，被取证android设备扫描通过扫描二维码的方式获取apk安装包的下载地址。被取证android设备安装并运行app。

接着，在被取证android设备运行的app中填入被取证设备持有者相关信息后，执行下一步操作，App自动获取和提升系统权限，实现对Android智能手机的电子数据取证。取证完成后，取证数据压缩加密，通过被取证android设备上传至取证服务器。

图5为本实施例3中针对iOS系统的智能手机的电子数据取证方法流程图。

首先，在取证服务器中部署安装于iOS系统的智能手机的ipa安装包，该ipa为专用软件，不部署于苹果公司的App Store中。苹果公司提供了企业证书打包的ipa方式，可不需部署在App Store中。部署ipa安装包的地址，没有硬性要求是https，可以访问下载即可以，但部署plist文件的地址必须为https，不然在iPhone设备上会安装失败。

在取证过程实施时，在取证前端设备录入被取证设备持有者相关信息。取证前端设备根据ipa安装包地址和被取证设备持有者相关的信息生成二维码。

接着，使用被取证iOS设备扫描取证前端设备生成的二维码，将从取证服务器下载ipa安装包。在iOS中的“描述文件与设备管理”功能签内点选信任ipa的企业签名，app即可运行。该二维码的https链接形式在取证服务器中将重定向，过滤被取证设备持有者相关的信息，只保留ipa安装包地址。

然后，app运行后,再次扫描取证前端设备的二维码。此时，app对该二维码的内容进行处理，截去ipa安装包地址，只保留被取证设备持有者相关的信息。

最后，app获取苹果系统权限，获取手机基本信息、通讯录等取证数据，压缩加密后上传至取证服务器。

图6为本实施例4中针对iOS系统的智能手机的电子数据取证方法流程图。

首先，在取证服务器中部署安装于iOS系统的智能手机的ipa安装包，该ipa采用苹果公司提供的企业证书进行打包，并将plist文件部署于支持https的服务器。

在取证过程实施时，被取证iOS设备扫描通过扫描二维码的方式获取ipa安装包的下载地址。下载安装后，在iOS中的“描述文件与设备管理”功能签内点选信任ipa的企业签名，app即可运行。

然后，app运行后,填入被取证设备持有者相关信息后，执行下一步操作，App自动app获取苹果系统权限，实现对iOS智能手机的电子数据取证。取证完成后，取证数据压缩加密，通过被取证iOS设备上传至取证服务器。

图7为本发明的系统结构图。

该取证系统包括取证前端设备、取证服务器。

所述的取证前端设备，可录入被取证设备相关信息，展示Android系统的智能手机apk下载包的二维码，展示iOS系统的智能手机ipa下载包的二维码，展示云计算环境下具有客户端的App的远程登录访问的交互页面。

取证服务器，实现了Android、iOS智能手机取证app的下载安装包，取证数据上传的数据仓库，云计算环境下具有客户端的App的远程登录访问，云计算环境下具有客户端的App的取证数据获取，Android、iOS智能手机、云计算环境下具有客户端的App取证数据的解析。

取证前端设备，在取证时录入被取证设备的相关信息，之后将录入信息发送至取证服务器。所述的电子数据取证输入端可以为PC端软件、手机端软件。所述的被取证设备的相关信息为设备所有者姓名、设备所有者身份证号码、设备编号、设备上传地址等信息。

取证前端设备将所录入的信息，通过接口发送至取证服务器。

取证服务器根据取证前端设备的录入信息，自动打包成用于Android系统电子数据取证用的app软件安装包，iOS系统电子取证用的ipa软件安装包。

Claims

1.一种快速电子取证方法，其特征在于，包括以下步骤：

2.根据权利要求1所述的快速电子取证方法，其特征在于：所述动态生成预取证设备的专用安装包，包括：

javac工具将R.Java文件、.java文件和java源代码生成class文件；

使用zipalign工具对签名后的apk文件进行对齐处理。

3.根据权利要求1所述的快速电子取证方法，其特征在于：所述通过取证app对被取证设备进行电子取证，包括

4.根据权利要求1或3所述的快速电子取证方法，其特征在于：所述被取证设备持有者的信息包括终端信息、SIM卡信息、通讯录信息、通讯录详细信息、通话记录信息、短信记录信息、彩信记录信息和日历记录信息。

5.根据权利要求1所述的快速电子取证方法，其特征在于：将所述取证数据通过压缩加密后发送至取证服务器。

6.根据权利要求1～5所述方法的快速电子取证系统，其特征在于，包括

7.根据权利要求6所述的快速电子取证系统，其特征在于，所述动态生成预取证设备的专用安装包，包括：

javac工具将R.Java文件、.java文件和java源代码生成.class文件；

使用zipalign工具对签名后的apk文件进行对齐处理。

8.根据权利要求6所述的快速电子取证系统，其特征在于，所述通过取证app对被取证设备进行电子取证，包括

9.根据权利要求6或8所述的快速电子取证系统，其特征在于，所述被取证设备持有者的信息包括终端信息、SIM卡信息、通讯录信息、通讯录详细信息、通话记录信息、短信记录信息、彩信记录信息和日历记录信息。

10.根据权利要求6所述的快速电子取证系统，其特征在于：将所述取证数据通过压缩加密后发送至取证服务器。