【文章来源:效率源科技(微信号)】微信号:xiaolvyuantec
编者按:在《技术视界》第11期中,数据恢复四川省重点实验室科研人员以途牛软件为例子,介绍了一种编写手机APP取证脚本的方法。该技术方案扩展性强,可助力一线取证人员有效应对暂不支持的APP数据提取问题。文章投放后,受到极大关注,很大一部分读者微信留言、致电询问Iphone手机APP取证脚本的编写方法。本期,针对本问题,以Iphone手机APP数据为例讲解正常数据与删除数据的提取。相比正常数据,删除数据的提取与解析难度非常大,脚本编写步骤也更复杂,除了填写分析文档、插件智能匹配、定义数据结构和数据处理方法,还需要配置特征库文件才能实现。
随着手机互联网的进步,手机APP应用越来越多,APP应用数据的分析就愈加重要。要实现APP数据分析,首先需要建立一个分析规范,因此分析人员应该更深入、更透彻、更全面地研究各类手机的各类应用APP,探索更多有效方法,抓取到更多有效信息,实现精准数据分析。做好APP应用数据的分析规范,可以较大地提高相关取证产品在实际应用中提取出更多、更全的数据。在第11期中,数据恢复四川省重点实验室科研人员已经详细讲解了APP取证脚本的编写流程与方法,这其实就是一种分析规范。对于暂不兼容的APP,一线人员可根据这种分析规范(或方法)自行编写取证脚本,提升兼容性。
一、数据提取 1、解析应用APP 解析应用APP时,首先需要熟悉功能,了解数据存储结构。通过APP应用的主页,大致就能分析出数据的存储雏形,所以目测即可完成。下面,以APP“百度贴吧”为例详细讲解。
熟悉“百度贴吧”结构以后,可根据数据的重要性排列出提取顺序,以最重要的数据为最高点,依次降序处理。如图1,在分析时,可以首先把“我的好友”确定为重要数据(对于取证来说,所有数据都可能重要),将这个数据确定分析的入口,优先分析。当然,也可以选择“浏览历史”。
这里要注意,数据分析一定要全面、透彻,数据结构要严谨、层次。数据层次最好按照APP应用的呈现结构来处理,清晰明了,比如“百度贴吧”,就按照本身的数据结构来进行。
打开数据库,我们可以看到里面的各种信息,包括浏览历史、我的收藏、关注的人、我的粉丝、我的好友、好友动态、我的吧动态等等,下一步工作就是对这些信息进行解析。
这一步,我们可以使用科研人员为效率源SPF9139量身定制的脚本编辑器XLYScriptVisualStudio进行脚本开发。插件的配置包括name(插件的名称)“百度贴吧”、group(插件分组)“社交聊天”、icon(插件图标)“百度贴吧”图标,devicetype(插件所适应的手机系统类型)“IOS”、pump(插件所支持的数据泵类型)“USB、WIFI、mirror、bluetooth”、app(插件所解析的应用app名称)“com.baidu.tieba”、version(应用app的版本)“7.4.0”、description(插件描述信息)“百度贴吧”等。
3、定义数据结构和数据处理方法 【图7:定义数据结构】
插件配置完毕后,继续在脚本编辑器XLYScriptVisualStudio中定义数据结构,使和用户相关信息展现出来,如好友数据结构、群组数据结构、会话数据结构等(如图7)。然后,定义数据处理方法,利用js语言展现数据库内容(如图8)。
效率源Sqlite手机数据恢复工具,是一款针对智能手机删除数据恢复、数据解密的软件,功能强大、准确率高。基于sqlite数据库文件,能够实现正常数据快速全面导出、删除丢失数据快速恢复导出、加密数据快速解密还原成可读信息。经验证(如图12),该特征库能够实现删除数据提取(红色框部分)。
总结:通过以上介绍我们已经大概了解了IOS“百度贴吧”恢复数据的脚本开发过程,如果想熟练掌握还需要多动手练习,最主要的是需要了解应用数据的数据库储存结构以及对js语言的掌握,同时,也需要借助SPF9139物理镜像、脚本编辑器XLYScriptVisualStudio等软件。有一点必须注意,配置特征库文件是提取删除数据的必要步骤,如果只是解析正常数据,就不需要这个步骤。无论是Android还是iOS系统手机里的应用,基本都可以通过脚本插件载入SPF9139的方式,快速提取正常数据及恢复删除数据,且能导出相应的报告,以便于快速方便地取证。
|