手机MTP方式数据提取研究

xlysoft

       编者按：目前，大部分手机数据提取方式都需要先将手机进行Root。但是，Root有可能会损坏手机，并且很多手机因为种种原因无法Root成功。为此，数据恢复四川省重点实验室科研人员将介绍一种手机在不Root（不越狱）的情况下，使用MTP方式直接获取手机文件系统方法。


一、MTP简介

        MTP（Media Transfer Protocol）是微软制订的一套媒体传输协议，由微软公司的Windows Media Player 10 及以上版本支持的，在设备之间进行多媒体文件交换的通信协议。MTP是基于PTP(Picture Transfer Protocol)协议的扩展，主要用于传输媒体文件，现如今，MTP协议已经支持任意类型文件的传输。

       MTP既可以实现在USB协议上，也可以实现在TCP/IP协议上，它属于上层的应用协议，而不关心底层传输协议。目前大部分设备的应用都是基于USB协议。对于手机设备而言，Android从3.0开始支持MTP，IOS从iphone4开始支持MTP。通过MTP协议，用户可以方便地在Windows操作系统上浏览手机设备中保存的文件。

二、MTP在手机数据提取中的应用

       1.MTP提取手机数据原理

       在MTP协议中，一切对象都拥有一个唯一的objectid与之对应。通过objectid，可以获取到该对象的详细属性，例如存储区的总容量、已使用容量，文件的名称、大小、修改时间等等。如果该对象是存储区或者文件夹的话，还可以获取到该对象的子对象列表（包括子文件夹和文件）。最重要的一点是，可以通过objectid拷贝文件到电脑上。

       因此，无论是安卓手机还是苹果手机，都可以在不Root（不越狱）的情况下使用MTP方式连接电脑，通过Windows系统的API使用MTP协议可以直接获取手机内的文件系统，并且可以将文件拷贝到本地电脑。

       2.MTP提取手机数据效果

       从目前的研究结果看来，IOS操作系统对于MTP协议的支持程度较低，仅能获取到手机内的图片、视频和音频文件。Android操作系统对于MTP协议的支持较好，不仅能够获取到手机内的图片、音频和视频等多媒体文件（包括例如微信、QQ等第三方应用产生的图片、音频和视频文件也是可以提取的），更可以获取诸如apk文件、压缩文件、软件运行日志等等文件。如果手机内包含了SD卡，还可以获取SD卡内的所有文件。

       现阶段，MTP主要用于提取手机内的图片、音频、视频、APK等类型的文件，作为手机数据提取的一个辅助手段。随着手机操作系统可能进一步提高对MTP协议的支持，使用MTP协议可能获取到更多有用手机数据。

三、如何开启MTP模式

       无论是Android还是IOS操作系统的手机，首先都需要使用USB连接线连接电脑和手机。         
                                                               
       如果是Android系统手机，则需要在手机内弹出的对话框中选择MTP模式（对于不同厂商的Android手机，该对话框界面可能不大一样，从中选择包含MTP的模式即可），如图1。                                                                                                                              
                                                                           

图1：Android手机选择MTP模式

       如果是IOS系统手机，则需要在手机内弹出的对话框中选择“信任”即可，如图2。

图2：IOS手机选择MTP模式

       如果手机是第一次连接该电脑，则电脑会自动安装MTP驱动。待驱动安装成功后，即可在“我的电脑”里面查看到该手机，如图3。

图3：成功安装MTP驱动

       至此，我们就可以像浏览文件夹一样查看手机内的文件了，并且可以将手机文件拷贝到本地电脑，如图4。

图4：通过电脑浏览手机文件

四、结语

        MTP协议的优点在于稳定，对手机没有任何损害，可以完整获取手机内的多媒体文件。即使是最新上市的手机，只要其操作系统为Android或者IOS，都可以在不Root（不越狱）的情况下使用MTP协议进行手机数据提取。目前，此项技术已经成功应用于效率源SPF9139 智能手机数据恢复取证系统中，取得了很好的效果。