CN112054911B - 一种基于物联网的智能设备多途径调查取证装置 - Google Patents

Abstract

本发明公开一种基于物联网的智能设备多途径调查取证装置，包括：壳体；有线取证模块，连接于壳体外，包括若干个与智能设备的连接器接口匹配且类型各异的数据接口，用于与智能设备形成有线网络连接并获取目标取证信息；无线取证模块，设置于壳体内，用于与智能设备形成无线网络连接并获取目标取证信息；数据解析模块，与有线取证模块及无线取证模块信号连接、用于根据其获取的目标取证信息生成解析结果。如此，通过多种数据接口与智能设备的连接器接口匹配连接，实现与智能设备的有线网络连接，同时通过多种无线网络连接方式与智能设备形成无线网络连接，因此能够通过多种连接途径实现与智能设备的网络连接，同时提高通用性，扩大信息取证范围。

Description

一种基于物联网的智能设备多途径调查取证装置

技术领域

本发明涉及物联网技术领域，特别涉及一种基于物联网的智能设备多途径调查取证装置。

背景技术

物联网(The Internet of Things)是指通过各种信息传感器、射频识别技术、全球定位系统、红外感应器、激光扫描器等各种装置与技术，实时采集任何需要监控、连接、互动的物体或过程，采集其声、光、热、电、力学、化学、生物、位置等各种需要的信息，通过各类可能的网络接入，实现物与物、物与人的泛在连接，实现对物品和过程的智能化感知、识别和管理。物联网是一个基于互联网、传统电信网等的信息承载体，它让所有能够被独立寻址的普通物理对象形成互联互通的网络。

目前，智能终端连接互联网数量已经远超电脑数量，且智能设备具有形态各异、物物互联、贴近日常生活及办公等特点，静默记录了大量的人群活动、社交、身体监测、交互的历史数据，通过分析统计可以获取目标对应时间、所处位置、运行速度、行为内容等数据，因此此类数据可以作为案件侦破过程中追踪目标行为轨迹的重要依据。此外当下网络犯罪也越来越普遍，如大量信息泄漏、越权操作公共设施导致治安风险、窃取公共水电资源、电信诈骗等等，而网络犯罪的方法也不局限于电脑勒索病毒等传统形式，包括通过智能设备的越权控制，蠕虫病毒导致大批僵尸网络，借助智能设备功能越权监控偷窥等，因此采集智能终端数据作为犯罪取证材料也变得尤为必要。

传统的针对智能设备的调查取证手段，通常只能针对特定设备进行，并且连接方式单一，适应性较差，无法覆盖市面主流的智能设备，同时执行过程繁琐，需要操作者具备技术基础，容易导致智能设备无法连接、犯罪痕迹遗漏、耽误最佳破案时间或缺乏足够的案件破获所需参考资料等问题。

因此，如何通过多种连接途径实现与智能设备的网络连接，同时提高通用性，扩大信息取证范围，是本领域技术人员面临的技术问题。

发明内容

本发明的目的是提供一种基于物联网的智能设备多途径调查取证装置，能够通过多种连接途径实现与智能设备的网络连接，同时提高通用性，扩大信息取证范围。

为解决上述技术问题，本发明提供一种基于物联网的智能设备多途径调查取证装置，包括：

壳体；

有线取证模块，连接于所述壳体外，包括若干个与智能设备的连接器接口匹配且类型各异的数据接口，用于与智能设备形成有线网络连接并获取目标取证信息；

无线取证模块，设置于所述壳体内，用于与智能设备形成无线网络连接并获取目标取证信息；

数据解析模块，与所述有线取证模块及所述无线取证模块信号连接、用于根据其获取的目标取证信息生成解析结果。

优选地，所述数据接口包括串行接口、USB接口、Lightning接口及USB动态调试口。

优选地，所述有线取证模块还包括：

权限获取模块，用于在所述数据接口与智能设备通过串行接口连接时，执行密码爆破脚本并获取串行接口root权限；

文件传输模块，用于通过文件传输方式将智能设备的本地数据传输至所述数据解析模块。

优选地，所述有线取证模块还包括：

环境安装模块，用于在智能设备中安装文件传输系统或文件传输工具。

优选地，所述有线取证模块还包括：

内网扫描模块，用于在所述数据接口与智能设备通过USB动态调试口连接时，扫描智能设备的内网端口地址，并构造数据包从各所述内网端口地址获取返回信息。

优选地，所述无线取证模块包括：

低速网络取证模块，用于通过Bluetooth、Zigbee、GSM通信协议与智能设备形成无线网络连接并获取目标取证信息；

高速网络取证模块，用于通过WIFI通信协议与智能设备形成无线网络连接并获取目标取证信息。

优选地，所述无线取证模块还包括：

广播数据模块，与所述低速网络取证模块信号连接，用于接收智能设备的广播数据包，并解析智能设备的设备信息；

第一提权模块，与所述广播数据模块信号连接，用于根据设备信息匹配漏洞库并执行提权脚本，以与智能设备信号连接并通过构造的数据包使其反馈运行日志信息；

第一捕获模块，与所述第一提权模块信号连接，用于对智能设备上传与其操作系统对应的信息捕获程序，并获取智能设备的本地存储信息。

优选地，所述无线取证模块还包括：

网络连接模块，与所述高速网络取证模块信号连接，用于扫描智能设备的网络端口并破解连接，以通过构造的数据包使其反馈流量日志信息；

第二提权模块，与所述网络连接模块信号连接，用于根据流量日志信息匹配漏洞库并执行提权脚本，以获取智能设备的运行日志信息；

第二捕获模块，与所述第二提权模块信号连接，用于对智能设备上传与其操作系统对应的信息捕获程序，并获取智能设备的本地存储信息。

优选地，所述数据解析模块包括：

设备分类模块，用于根据获取的目标取证信息中携带的标识信息对各智能设备进行类型区分；

关系建模模块，用于根据获取的目标取证信息生成各智能设备的空间分布模型、各智能设备的运行时间模型、各智能设备的数据传输模型；

轨迹生成模块，用于根据所述关系建模模块建立的各个模型生成各智能设备的对应用户的行为轨迹。

优选地，所述壳体的表面设置有用于提供人机交互界面的显示屏。

本发明所提供的基于物联网的智能设备多途径调查取证装置，主要包括壳体、有线取证模块、无线取证模块和数据解析模块。其中，壳体为本装置的主体结构，主要用于安装和容纳其余结构及模块。有线取证模块连接在壳体外，并且包括若干个数据接口，各个数据接口的类型各异，并能够与各种不同智能设备的连接器接口匹配连接，从而实现本装置与智能设备的有线网络连接，并从智能设备处获取目标取证信息。无线取证模块设置在壳体内，主要用于通过无线网络连接方式与智能设备形成无线网络连接，并从智能设备处获取目标取证信息。数据解析模块同时与有线取证模块和无线取证模块信号连接，主要用于对两者从智能设备处获取的目标取证信息进行汇总分析，并生成解析结果，方便用户查看。如此，本发明所提供的基于物联网的智能设备多途径调查取证装置，能够通过多种不同数据接口与各类智能设备的连接器接口匹配连接，实现与智能设备的有线网络连接，同时能够通过多种不同无线网络连接方式与各类智能设备形成无线网络连接，因此能够通过多种连接途径实现与智能设备的网络连接，同时提高通用性，扩大信息取证范围。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明所提供的一种具体实施方式的整体结构示意图。

图2为本发明所提供的一种具体实施方式的模块结构示意图。

其中，图1—图2中：

壳体—1，有线取证模块—2，无线取证模块—3，数据解析模块—4，显示屏—5；

数据接口—21，权限获取模块—22，文件传输模块—23，环境安装模块—24，内网扫描模块—25，低速网络取证模块—31，高速网络取证模块—32，广播数据模块—33，第一提权模块—34，第一捕获模块—35，网络连接模块—36，第二提权模块—37，第二捕获模块—38，设备分类模块—41，关系建模模块—42，轨迹生成模块—43。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参考图1、图2，图1为本发明所提供的一种具体实施方式的整体结构示意图，图2为本发明所提供的一种具体实施方式的模块结构示意图。

在本发明所提供的一种具体实施方式中，基于物联网的智能设备多途径调查取证装置主要包括壳体1、有线取证模块2、无线取证模块3和数据解析模块4。

其中，壳体1为本装置的主体结构，主要用于安装和容纳其余结构及模块。

有线取证模块2连接在壳体1外，并且包括若干个数据接口21，各个数据接口21的类型各异，并能够与各种不同智能设备的连接器接口匹配连接，从而实现本装置与智能设备的有线网络连接，并从智能设备处获取目标取证信息。

无线取证模块3设置在壳体1内，主要用于通过无线网络连接方式与智能设备形成无线网络连接，并从智能设备处获取目标取证信息。数据解析模块4同时与有线取证模块2和无线取证模块3信号连接，主要用于对两者从智能设备处获取的目标取证信息进行汇总分析，并生成解析结果，方便用户查看。

如此，本实施例所提供的基于物联网的智能设备多途径调查取证装置，能够通过多种不同数据接口21与各类智能设备的连接器接口匹配连接，实现与智能设备的有线网络连接，同时能够通过多种不同无线网络连接方式与各类智能设备形成无线网络连接，因此能够通过多种连接途径实现与智能设备的网络连接，同时提高通用性，扩大信息取证范围。

为方便用户进行操作，本实施例在壳体1的表面上设置有显示屏5，以通过该显示屏5为用户提供人机交互界面。

在关于数据接口21的一种优选实施例中，该数据接口21主要包括串行接口、USB接口、Lightning接口及USB动态调试口等。其中，USB接口又可细分为microUSB公口、Type-C公口、USB母口等。为方便各个数据接口21的安装，可将各个数据接口21集成安装在一个集合连接器上，并通过数据线缆连接到壳体1内。一般的，该集合连接器可呈矩形结构，各个数据接口21可分别连接在集合连接器的不同侧面上。

在关于有线取证模块2的一种优选实施例中，该有线取证模块2主要包括权限获取模块22、文件传输模块23、环境安装模块24和内网扫描模块25，其工作原理如下所述：

首先，通过数据线连接智能设备的可用接口，装置自动检测当前连接是否有效物理连接，并在显示屏5上提示当前连接的数据接口21的接口类型。

当检测到数据接口21为串行接口时，装置自动连接串口，若在运行后检测到要输入用户名和密码等信息，则通过权限获取模块22自动执行密码爆破脚本获取串行接口root权限。

然后，装置检测智能设备的本地环境是否有sftp、ss等预装环境，若有，则文件传输模块23直接通过物理数据线将智能设备的本地数据传输给数据解析模块4；若智能设备不存在文件传输环境，则先检测本地网络环境，并通过环境安装模块24在智能设备中安装文件传输系统或文件传输工具，之后即可通过物理数据线回传智能设备的本地数据。若智能设备不兼容本地传输工具安装，则装置还可以通过自动化脚本自动遍历和运行cd、ls、cat、head、vi、gedit、echo等指令，并通过保存运行日志的方式记录信息。

对于数据接口21为USB动态调试口的情况，则装置自动连接USB动态调试口，然后执行adb指令，通过adb remount和adb shell尝试是否有设备最高权限，再通过chmod–R777dir和adb pull指令捕获智能设备的本地数据，同时通过ls/data/app和adbbackuppackagename指令备份智能设备的本地数据。

之后，内网扫描模块25通过ifconfig–all指令查看智能设备的网络连接信息，在通过adb installTermux.apk方式实现内网跨网后，内网扫描模块25再自动运行装置中预装的nmap等扫描设备扫描智能设备的内网IP及开放端口，之后内网扫描模块25依次构造数据包对各个内网IP发送数据请求包，当内网IP反馈后，分别记录各个返回包信息，如功能、行为日志、设备设置状态信息、设备控制指令等信息。此外，还可通过智能设备的各个开放端口预判可能存在的漏洞，以便自动构造数据包尝试提权，若提权成功则保存返回包日志信息。

最后，有线取证模块2再通过4G模块等与数据解析模块4信号连接，将获取的设备连接情况日志、操作日志及捕获信息上传至数据解析模块4。

当然，对于数据接口21仅为纯充电连接，或者智能设备根本没有设置连接器接口的情况，则无法与智能设备形成有线网络连接，此时可以直接通过无线取证模块3进行无线网络连接。

在关于无线取证模块3的一种优选实施例中，该无线取证模块3主要包括低速网络取证模块31和高速网络取证模块32。其中，低速网络取证模块31主要用于通过Bluetooth、Zigbee、GSM等通信协议与智能设备形成无线网络连接，并据此获取智能设备的目标取证信息，而高速网络取证模块32主要用于通过WIFI等通信协议与智能设备形成无线网络连接，并据此获取智能设备的目标取证信息。显然，无线取证模块3包括两种取证模式，即低速网络取证模式和网速网络取证模式，对于具体的智能设备，需要根据其设备类型选择连接模式。

对于低速网络取证模式，搭配广播数据模块33、第一提权模块34和第一捕获模块35，其工作原理如下所述：

首先，装置自动打开搭载的蓝牙、zigbee、GSM等模块，广播数据模块33接收周围的智能设备所发送的广播数据包，并解析各个广播数据包携带的设备信息，分析出智能设备的设备厂商信息、设备类型信息、MAC地址、信息主体内容等，同时也可以对MAC地址进行匹配，以进一步区分设备类型。

其次，第一提权模块34根据广播数据模块33所分析出的设备信息匹配漏洞库，并自动执行提权脚本，从而获得较高权限，并实现与智能设备的网络连接。之后，第一提权模块34再构造通信数据包，发送给智能设备，请求智能设备的运行日志信息，如开关门记录、不同位置电器启用关闭记录、音箱对话记录、智能机器人指令发送记录、异常报警记录、运动频率日志等；以及设备特定信息，如联系人列表、通话记录、短信记录信息等。

然后，第一捕获模块35向已成功提权的智能设备上传对应操作系统的信息捕获程序，使得信息捕获程序成功上传到智能设备后自动运行，并进一步执行提权脚本，从而捕获智能设备的本地日志信息、设备缓存信息等本地存储信息。

最后，低速网络取证模块31再通过4G模块等与数据解析模块4信号连接，将获取的设备信息、运行日志信息和本地存储信息等均上传至数据解析模块4。

对于高速网络取证模式，搭配网络连接模块36、第二提权模块37和第二捕获模块38，其工作原理如下所述：

首先，装置自动打开搭配的Wi-Fi等模块，使网络连接模块36对周围的智能设备进行网络扫描，并对检测到的内网网络依次进行自动破解和连接。期间，网络连接模块36具体可通过TCP、UDP两种扫描方式对网络空间全端口扫描，扫描得到的存活端口信息生成二次扫描任务池，然后再对二次扫描任务池中的所有存活端口进行精确扫描，以通过端口数值及构造的数据包解析预判端口对应的协议类型，之后再发送对应的协议探测报文获取智能设备的流量日志信息。

其次，第二提权模块37解析网络连接模块36获取的流量日志信息，解析出与智能设备对应的设备操作系统、设备型号、厂商信息、应用软件类型及版本号信息等关键信息，同时还可进行自动分类资产类型，如网络设备、智能电器、个人电脑、手持平板、手机、智能安防、智能手表、智能音箱、智能机器人等。

之后，第二提权模块37根据网络连接模块36获取的流量日志信息依次匹配漏洞库，查询漏洞库中对应的目标提权脚本，并自动生成网络攻击数据包，再执行目标提权脚本，从而获取目标权限。接着第二提权模块37即可从智能设备处获取网络设备连接设备书信息、电器使用记录信息、门锁设备开关门等运行日志信息。

然后，第二捕获模块38向已成功提权的智能设备上传对应操作系统的信息捕获程序，使得信息捕获程序成功上传到智能设备后自动运行，并进一步执行提权脚本，通过网络流量将捕获的智能设备的本地日志信息、设备缓存信息等本地存储信息反馈到数据解析模块4。此外，信息捕获程序执行完成后会自动结束自身进程，并删除自身运行生成的缓存文件、日志信息以及威胁自身程序执行的文件。

最后，高速网络取证模块32再通过4G模块等与数据解析模块4信号连接，将获取的设备信息、运行日志信息和本地存储信息等均上传至数据解析模块4。

在关于数据解析模块4的一种优选实施例中，该数据解析模块4主要包括设备分类模块41、关系建模模块42和轨迹生成模块43，其工作原理如下：

首先，设备分类模块41通过获取的网关设备连接日志、通信包中MAC地址、数据包中设备标识信息、信息上传时携带的标识信息将智能设备进行归类，如网络设备1、网络设备n、智能电器1、智能电器n、个人电脑、手持平板、手机1、手机2、智能烟雾报警器、智能手表、智能音箱、智能机器人等。

其次，关系建模块根据设备分类依次解析获取数据，列举对应的信息，如开关门记录、不同位置电器启用关闭记录、音箱对话记录、智能机器人指令发送记录、智能机器人捕获的人脸图片、异常报警记录、运动频率日志等；以及设备特定信息，如联系人列表、通话记录、短信记录信息等信息。其中，通话记录自动匹配是否为网络标记的诈骗号码，短信自动匹配是否包含钓鱼连接，应用是否包含敏感权限及应用本地存储信息等。

然后，关系建模模块42根据各类智能设备的现场实际分布生成空间分布模型，同时根据解析数据绘制各类智能设备的运行时间模型，比如使用时间先后关系拓扑图，还可以根据各类智能设备的数据传输关系生成数据传输模型，比如数据传输关系拓扑图。

最后，轨迹生成模块43再关系建模模块42建立的空间分布模型、使用时间先后关系拓扑图、数据传输关系拓扑图深度遍历计算路径，从而生成目标环境、目标智能设备使用者的行为轨迹。

此外，还可将数据解析模块4的解析结果生成pdf等格式的文件，即为调查取证报告，方便用户查看。

综上所述，本实施例所提供的基于物联网的智能设备多途径调查取证装置，通过对取证地点所有智能设备进行自动化取证，增加犯罪侦查的参考维度，提供多种网络协议、多种数据接口21支持，解决不同类型设备信息获取问题，并在收集完成后在服务器端自动生成分析报告，便于犯罪侦查的使用和分析。当装置运行后，通过显示屏5的人机交互，自动化运行渗透脚本和信息获取脚本，便于操作，获取的信息可以用于网络类案件的溯源和侦破，也可用于目标犯罪分子行为轨迹的侦破工作。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (9)

1.一种基于物联网的智能设备多途径调查取证装置，其特征在于，包括：

壳体(1)；

有线取证模块(2)，连接于所述壳体(1)外，包括若干个与智能设备的连接器接口匹配且类型各异的数据接口(21)，用于与智能设备形成有线网络连接并获取目标取证信息；

无线取证模块(3)，设置于所述壳体(1)内，用于与智能设备形成无线网络连接并获取目标取证信息；

数据解析模块(4)，与所述有线取证模块(2)及所述无线取证模块(3)信号连接、用于根据其获取的目标取证信息生成解析结果；

所述数据解析模块(4)包括：

设备分类模块(41)，用于根据获取的目标取证信息中携带的标识信息对各智能设备进行类型区分；

关系建模模块(42)，用于根据获取的目标取证信息中的各类智能设备的现场实际分布生成各智能设备的空间分布模型、根据获取的目标取证信息中的解析数据绘制各智能设备的运行时间模型、根据获取的目标取证信息中的各类智能设备的数据传输关系生成各智能设备的数据传输模型；

轨迹生成模块(43)，用于根据所述关系建模模块(42)建立的各个模型生成目标环境、各智能设备的对应用户的行为轨迹。

2.根据权利要求1所述的基于物联网的智能设备多途径调查取证装置，其特征在于，所述数据接口(21)包括串行接口、USB接口、Lightning接口及USB动态调试口。

3.根据权利要求2所述的基于物联网的智能设备多途径调查取证装置，其特征在于，所述有线取证模块(2)还包括：

权限获取模块(22)，用于在所述数据接口(21)与智能设备通过串行接口连接时，执行密码爆破脚本并获取串行接口root权限；

文件传输模块(23)，用于通过文件传输方式将智能设备的本地数据传输至所述数据解析模块(4)。

4.根据权利要求3所述的基于物联网的智能设备多途径调查取证装置，其特征在于，所述有线取证模块(2)还包括：

环境安装模块(24)，用于在智能设备中安装文件传输系统或文件传输工具。

5.根据权利要求4所述的基于物联网的智能设备多途径调查取证装置，其特征在于，所述有线取证模块(2)还包括：

内网扫描模块(25)，用于在所述数据接口(21)与智能设备通过USB动态调试口连接时，扫描智能设备的内网端口地址，并构造数据包从各所述内网端口地址获取返回信息。

6.根据权利要求1所述的基于物联网的智能设备多途径调查取证装置，其特征在于，所述无线取证模块(3)包括：

低速网络取证模块(31)，用于通过Bluetooth、Zigbee、GSM通信协议与智能设备形成无线网络连接并获取目标取证信息；

高速网络取证模块(32)，用于通过WIFI通信协议与智能设备形成无线网络连接并获取目标取证信息。

7.根据权利要求6所述的基于物联网的智能设备多途径调查取证装置，其特征在于，所述无线取证模块(3)还包括：

广播数据模块(33)，与所述低速网络取证模块(31)信号连接，用于接收智能设备的广播数据包，并解析智能设备的设备信息；

第一提权模块(34)，与所述广播数据模块(33)信号连接，用于根据设备信息匹配漏洞库并执行提权脚本，以与智能设备信号连接并通过构造的数据包使其反馈运行日志信息；

第一捕获模块(35)，与所述第一提权模块(34)信号连接，用于对智能设备上传与其操作系统对应的信息捕获程序，并获取智能设备的本地存储信息。

8.根据权利要求7所述的基于物联网的智能设备多途径调查取证装置，其特征在于，所述无线取证模块(3)还包括：

网络连接模块(36)，与所述高速网络取证模块(32)信号连接，用于扫描智能设备的网络端口并破解连接，以通过构造的数据包使其反馈流量日志信息；

第二提权模块(37)，与所述网络连接模块(36)信号连接，用于根据流量日志信息匹配漏洞库并执行提权脚本，以获取智能设备的运行日志信息；

第二捕获模块(38)，与所述第二提权模块(37)信号连接，用于对智能设备上传与其操作系统对应的信息捕获程序，并获取智能设备的本地存储信息。

9.根据权利要求1所述的基于物联网的智能设备多途径调查取证装置，其特征在于，所述壳体(1)的表面设置有用于提供人机交互界面的显示屏(5)。

Images