照片地理轨迹提取研究 - 效率源数据恢复论坛

编者按：在手机电子数据取证领域，除了手机短信、通讯录、通话记录等重要信息外，手机照片也是一项重要提取内容。手机照片可能包含拍摄时间、拍摄距离、拍摄经纬度等重要数据，如果将这些信息进行关联，就可以构成使用者行踪轨迹，有助于侦查破案或取证。本期，数据恢复四川省重点实验室科研人员将介绍手机照片所包含的信息，以及如何对手机照片地理轨迹进行提取。

随着智能手机的日益普及，利用手机进行拍照变得越来越广泛。根据《2016年手机使用习惯调查报告》显示，利用手机拍照功能排在打电话、聊微信、看电影之后，位列主流手机用途第4位，如图1。在进行手机拍照时，如果手机开启了GPS定位服务功能，其他用户就可以通过手机照片查看出使用者的拍摄地点等信息。

对于手机电子数据取证而言，将智能手机中的照片全部提取出来（包括已删除的照片），再将提取照片中的创建时间、最后修改时间、经纬度等信息进行时间排序，并将相应在顺序在地图上标记出来，就可以很清楚知道使用者的地理轨迹，这对案件侦破或取证有重要作用。

对于手机中的照片而言，除了包含图像ID、尺寸、高度、宽度、分辨率等属性外，还能存储照相机本身的属性，如：照相机制造商、型号、光圈值、曝光时间等。对于手机电子数据取证而言，手机照片可能还存储有一些更重要的数据：

拍照都会有一定距离，例如自拍的距离通常在1米左右，偷拍的距离通常在10米以上。当然，我们也可以从手机照片属性中查找拍摄距离信息，如图2。利用拍摄目标距离与拍摄目标进行比对，就可以得出使用者所在的地理范围。

经纬度在地图上面使用很频繁，但现在手机照片也能存储经纬度信息，如图3。

利用图3中的经纬度信息数据，经过一定的方法进行换算，得出拍摄GPS经纬度坐标为纬度：30.5722888888889，经度：104.061158333333。通过经纬度查询得知，该坐标地址为：四川省成都市武侯区桂溪街道星美国际影城(成都环球店)成都环球中心天堂洲际大饭店，如图4。

一部手机中，通常包含了有很多照片。我们可以利用效率源MTF 手机可视化行踪取证系统可将手机中的照片全部提取出来（已删除照片，可进行深度恢复）。软件可自动将提取照片中的创建时间、最后修改时间、经纬度等重要信息按照时间顺序进行关联，最后将经纬度在地图上面标记出来，如图5。这样，取证人员便能很快了解手机使用者的相关地理轨迹信息。

1.如果手机GPS定位没有开启的话，手机拍摄出的照片是不会存储经纬度信息的，这是一种自我隐私保护措施。

2.上传到QQ空间或微信朋友圈的照片也是没有经纬度的，因为软件开发商为了用户隐私，会把这些信息给抹除掉。

手机照片除了直接反应拍摄对象以外，还包含拍摄时间、拍摄距离、拍摄经纬度等重要信息。利用效率源MTF 手机可视化行踪取证系统可以对手机照片实现完整提取，并将相关信息进行关联，形成直观的地理轨迹图，可以为案件侦破或取证提供重要线索，提升工作效率。