1、 手機取證技術(shù)研究李健 摘要：手機在犯罪的過程中出現(xiàn)的頻率越來越高了,對手機的取證也顯得越來越重要。本文簡述手機取證的概念、原則、特征，對目前手機取證在當(dāng)前偵查取證中的現(xiàn)狀進(jìn)行介紹，同時，根據(jù)手機取證的取證源詳細(xì)介紹手機取證的方法，詳細(xì)介紹一些常用的手機取證工具軟件的特點和適用情況以便于偵查人員的實際選擇與應(yīng)用，介紹當(dāng)前主流的手機系統(tǒng)Android和蘋果iOS的分析方法和取證的注意事項，另外，對手機用戶提供一些保護(hù)手機的建議，最后對手機取證的研究及應(yīng)用前景進(jìn)行展望。 關(guān)鍵詞：手機取證；取證方法；取證工具；對比實驗 隨著當(dāng)今社會移動通信技術(shù)的飛速發(fā)展，手機已經(jīng)走進(jìn)千家萬戶，據(jù)工信部統(tǒng)計，截止20

2、14年1月，我國使用手機的的人數(shù)已達(dá)12.53億，用戶數(shù)占全國人口的90.8%，可以說手機已經(jīng)成為人們?nèi)粘Ｂ?lián)系的必備工具。然而，伴隨著手機業(yè)迅猛發(fā)展和手機功能不斷強大的同時，利用手機進(jìn)行違法犯罪的案件牽涉到手機的違法犯罪案件的比例逐年升高，對于公安機關(guān)辦案，通過手機提取線索、證據(jù)也逐漸成為一種非常有效和重要的偵查手段。因此，偵查人員系統(tǒng)的認(rèn)識手機取證，掌握手機取證的基本方法，了解一些常見的手機取證工具軟件，從而打擊與手機相關(guān)的各類犯罪活動，對于維護(hù)社會穩(wěn)定、保障人民生命財產(chǎn)安全、打擊犯罪行為具有重大現(xiàn)實意義。1、 手機取證的概念、原則、特征 （一）手機取證的概念 手機取證是數(shù)字取證中的一種，所

3、謂手機取證就是對存在于手機SIM卡、手機內(nèi)存卡、外置存儲卡、短信服務(wù)提供商系統(tǒng)和移動網(wǎng)絡(luò)運營商保存的電子證據(jù)進(jìn)行提取、保存、分析,整理出有價值的案件線索或能被法庭所采納的證據(jù)的過程。 （二）手機取證的原則1.合法原則 手機取證的合法原則和傳統(tǒng)取證一樣，所謂合法主要包括以下四種：（1）參與偵查取證的人員必須要有法定的權(quán)限和資格；（2）取證過程中的程序和手段必須規(guī)范；（3）取證所采用的工具也必須符合法律規(guī)定；（4）獲取到的證據(jù)信息要以合法形式運用到司法程序中。對于各國都普遍適用的判斷電子證據(jù)是否合法有效的標(biāo)準(zhǔn)，聯(lián)合國電子商務(wù)示范法第九條第二款之規(guī)定規(guī)定提供了指導(dǎo)性原則。該指導(dǎo)原則強調(diào)審查電子證據(jù)獲

4、取、存儲、傳輸、保存方法的可靠性和發(fā)送人身份的確定。手機取證作為電子證據(jù)的取證方式的一種毫無疑問的適用此項原則。手機取證的目的是把從手機中獲取的電子數(shù)據(jù)進(jìn)行分析整理，從而可以作為符合法律規(guī)定的證據(jù)使用。因此，手機取證的合法性原則是進(jìn)行手機取證的前提。如果沒有在取證的過程中就意識到其合法性，就極可能造成花費了大量的精力和財力獲取的案件信息、線索不能作為合法證據(jù)使用，從而使本來就不足的基層警力更加緊張。 2.客觀原則 手機取證的客觀性亦是與傳統(tǒng)取證基本相同的，具體而言，客觀性包括真實性和全面完整性。其中，真實性是指獲取的證據(jù)是客觀存在的、有正確來源的事實，并且它是不以人們的主觀意志的改變發(fā)生變化的

5、客觀存在。這就要求偵查取證人員有較高的職業(yè)和道德修養(yǎng)，做到以事實為依據(jù)，以法律為準(zhǔn)繩，絕不歪曲事實。全面完整性是指能夠完全的反映出偵查取證人員第一次接觸到涉案手機時手機所處的狀態(tài)及屬性。這就要求偵查取證人員必須具有專業(yè)的計算機網(wǎng)絡(luò)與安全及通信知識，同時還應(yīng)當(dāng)熟悉相關(guān)法律知識。除此之外，偵查取證人員還應(yīng)當(dāng)注重細(xì)節(jié)，爭取做到一絲不茍。從而確保證據(jù)不會因為偵查人員的知識不足或者操作失誤而不能真實的反映出來。 3.及時原則及時取證是手機取證的必要原則。手機取證獲取的證據(jù)作為電子證據(jù)的一種，具有天然的脆弱性。如果不及時取證，稍有不慎就易造成其被破壞，修改，甚至刪除，從而導(dǎo)致獲取的手機電子信息的失去有效性

6、。對于偵查取證人員，應(yīng)當(dāng)注意避免以下幾點來遵循手機取證的及時原則：（1）手機保存的數(shù)據(jù)具有天然的脆弱性，很容易因為外界高磁場、高溫、靜電等環(huán)境的改變而破壞；（2）手機的狀態(tài)是在時刻變化著的，多數(shù)手機的內(nèi)存容量較小。一些實時產(chǎn)生的相關(guān)信息，系統(tǒng)日志、相關(guān)的系統(tǒng)進(jìn)程，會占據(jù)大量內(nèi)存，進(jìn)而覆蓋原來的信息，導(dǎo)致原來存在的潛在的電子電子證據(jù)不能恢復(fù)；（3）眾所周知，一臺手機的電量也是十分有限的，如果沒有及時對手機及時分析取證，又沒有及時充電，導(dǎo)致手機電量消耗完后關(guān)機，很有可能引起的數(shù)據(jù)丟失；（4）網(wǎng)絡(luò)供應(yīng)商處的某些手機用戶數(shù)據(jù)是周期性更新的，有些手機用戶對手機的系統(tǒng)及手機中的軟件的設(shè)置也是自動更新的。

7、（三）手機取證的特點 手機取證是電子證據(jù)的一部分，作為一項新型取證手段，在實際應(yīng)用中，參照證據(jù)學(xué)中物證鑒定的原理、方法和程序。其與計算機取證有很多相似之處，可以說，手機取證是在計算機取證的基礎(chǔ)上發(fā)展起來的。隨著手機取證業(yè)務(wù)量的增大，迫切需要對于這一領(lǐng)域進(jìn)行專門研究，以適應(yīng)社會發(fā)展的需要，提高手機取證的效率。與計算機取證相比，手機取證也有著其自身的取證特點，主要表現(xiàn)在：1.監(jiān)管難度大：手機是一種移動終端設(shè)備，手機的移動性特點使得手機很難得到隨時監(jiān)管；2.涉及范圍廣：手機品牌和手機操作系統(tǒng)多樣性以及不斷升級，存儲卡種目繁多，使得手機取證的范圍較大 ；3.數(shù)據(jù)不易存儲：文件系統(tǒng)存在于具有非易失性的存

8、儲設(shè)備中，數(shù)據(jù)規(guī)范不統(tǒng)一；4.取證技術(shù)滯后性：手機信息技術(shù)更新?lián)Q代快，產(chǎn)品周期短，使手機取證技術(shù)和工具軟件不能完全適應(yīng)一些新的手機產(chǎn)品。 二、手機取證的現(xiàn)狀 近年來，根據(jù)公安機關(guān)辦理的案件來看，牽涉到手機的違法犯罪案件的比率日益明顯上升，通過手機獲取案件線索、證據(jù)也逐漸成為偵查人員偵查取證不可獲取的一種偵查手段。隨著手機技術(shù)的發(fā)展和手機功能的日益強大，牽涉到手機的違法犯罪行為的范圍也愈發(fā)廣泛目前，與手機有關(guān)的違法犯罪行為大致有三種情形：第一，用手機充當(dāng)違法犯罪活動的通信聯(lián)絡(luò)工具（如與同伙交流的短信、通話記錄、即時通訊軟件記錄的文字、語音、影像等）；第二，把手機用作存儲犯罪證據(jù)（如文檔、照片、視

9、頻等）的媒介；第三，直接把手機作為實施犯罪活動的工具（如盜竊手機、短信詐騙、竊取支付寶和傳播惡意軟件等）。雖然，牽涉到手機的案件的發(fā)案率近年來日益增多，但是破案率卻不是特別理想。原因主要有四種：一是基層偵查取證人員利用手機進(jìn)行取證的意識不高；二是基層偵查取證人員缺乏進(jìn)行手機取證的相關(guān)技術(shù)方法；三是當(dāng)前的手機取證的軟件工具大多或多或少還存在缺陷且價格比較昂貴；四是與手機取證相關(guān)的法律法規(guī)不健全，使手機取證難以得到法律的支持與保障。因此，手機取證技術(shù)應(yīng)當(dāng)引起相關(guān)偵查人員、研發(fā)人員、立法部門以及手機用戶的足夠重視。三、手機取證源及對應(yīng)取證方法 目前來看，手機的取證源有用戶識別卡、內(nèi)置存儲卡、外置存儲

10、卡和手機移動網(wǎng)絡(luò)運營商業(yè)務(wù)數(shù)據(jù)庫四種。從這四個方面我們可以獲取手機的品牌、型號、電子串號、電話簿、已撥電話、已接電話、未接電話、發(fā)送及接收短信的電話號碼和內(nèi)容、照片、視頻、錄音、日歷中的安排等信息，這些信息就成了潛在的電子證據(jù)。眾所周知，近幾年智能手機的發(fā)展非常迅速，根據(jù)2013-2014年中國手機市場研究年度報告，全球市場研究公司Gartner數(shù)據(jù)顯示，2013年全球智能手機銷量接近10億部，占整個手機市場銷量的比例超過50%。手機的功能的強大使得逐漸具備電腦很多功能，可以利用手機上網(wǎng)、聊天、購物、轉(zhuǎn)賬等活動，由于手機相對于電腦的方便性，使得這些活動呈現(xiàn)出一種趨勢。因此，對第三方軟件中的賬戶

11、信息、聊天記錄（包括語音）、操作使用記錄的提取對偵查工作也非常重要。 （一）用戶識別卡及取證方法 每臺手機都有用戶識別卡，也稱SIM，SIM卡是數(shù)字移動電話的資料卡。SIM卡本身就具有證據(jù)價值，卡面上通常印有網(wǎng)絡(luò)服務(wù)商名稱和惟一識別號，通過后者可以從服務(wù)商那里獲得SIM卡用戶資料，如姓名和地址等信息。此外，存儲容量一般在864K的SIM卡，雖然容量相對有限，但其中包含著大量有價值的潛在電子數(shù)據(jù)，主要有：1、SIM卡生產(chǎn)廠商存儲的產(chǎn)品原始數(shù)據(jù)；2、手機存儲的固有信息，如手機串號IMSI、密鑰、PIN、個人解鎖號PUK、各種鑒權(quán)和加密信息，加密密鑰算法和其他用戶信息；3、最近一次位置登記時手機所處

12、位置識別號、設(shè)置的周期性位置更新間隔時間、使用SIM過程中的臨時移動用戶號等；4、用戶使用手機所存儲的個人數(shù)據(jù)，如用戶存儲的電話號碼，短（彩）消息（包括一些被刪除的信息），最近的通話記錄以及行程表；5、SIM中的一些密碼，包括SIM卡個人身份識別碼（PIN）和解開鎖定用的個人解鎖碼（PUK）等相關(guān)手機參數(shù)。 手機SIM卡是一種標(biāo)準(zhǔn)的智能卡，它不像手機有很多品牌、型號和系統(tǒng)，因此，取證起來所要獲取的信息很明確。如今常用的對手機 SIM卡進(jìn)行取證有兩種方法。一個是通過智能讀卡器的設(shè)備來提取SIM卡中的數(shù)據(jù)。在此方法中讀卡器只要使用符合歐洲電信標(biāo)準(zhǔn)協(xié)會TS31. 10和TS51. 011標(biāo)準(zhǔn)的數(shù)據(jù)訪

13、問指令集就可獲取SIM卡中的數(shù)據(jù)。另外一種方法是直接通過指令操作來獲得S IM卡中的數(shù)據(jù)。在GSM手機的TS27. 007標(biāo)準(zhǔn)中特別定義了一個指令集來訪問SIM卡上的數(shù)據(jù)。在一般情況下，可以用一些工具軟件包來獲取數(shù)據(jù)，常見的有商業(yè)軟件SIMCon,ForensicSIM,SIM-Manager等。 （二）手機內(nèi)存及取證方法手機本身有容量比SIM大的內(nèi)置存儲卡，其中存儲著大量的信息，這些信息在不同系統(tǒng)、不同型號的手機中的格式可能也存在差異，隨著手機功能的增強,手機內(nèi)置的存儲芯片容量呈現(xiàn)不斷擴(kuò)充的趨勢。存儲在手機內(nèi)置存儲卡中的信息主要有：1.手機識別號：即GSM手機的IMEI，CDMA手機的ESN

14、；2.手機通訊錄；3.發(fā)送、收到或編輯存儲的短信和MMS（多媒體信息服務(wù)）信息；4.聲音、圖像、影像視頻；5.APP軟件安裝包；6.撥出、接收或未接收電話的記錄；7.日歷中的日程安排信息；8.被存儲的可執(zhí)行文件；9.GPRS、WAP和Internet 的設(shè)置信息以及上網(wǎng)的歷史記錄和緩存記錄。 手機內(nèi)存根據(jù)存儲數(shù)據(jù)的差異可分為動態(tài)存儲區(qū)和靜態(tài)存儲區(qū)兩部分 (見圖1 )。動態(tài)存儲區(qū)中主要存儲執(zhí)行操作系統(tǒng)指令和用戶應(yīng)用程序時產(chǎn)生的臨時數(shù)據(jù),而靜態(tài)存儲區(qū)保存著操作系統(tǒng)、各種配置數(shù)據(jù)以及一些用戶個人數(shù)據(jù)。因此，對于取證而言，靜態(tài)存儲區(qū)的數(shù)據(jù)更具有價值。從手機內(nèi)存中提取數(shù)據(jù)相對比較復(fù)雜。一般利用手機操作系

15、統(tǒng)或者手機制造商提供的接口軟件來讀取手機內(nèi)存中的數(shù)據(jù)，這很有可能造成數(shù)據(jù)的破壞，并且，被刪除的數(shù)據(jù)也不能被恢復(fù)出來。最好的方法就是鏡像備份手機內(nèi)存的數(shù)據(jù)，然而，目前還沒有這樣的工具。目前有兩種通過物理途徑獲取其中數(shù)據(jù)的方法：一是通過拆解手機獲取內(nèi)存芯片 ,進(jìn)而使用專門的芯片讀取設(shè)備來獲得其數(shù)據(jù)鏡像，但這樣很可能會毀壞手機；另一種是使用專門的數(shù)據(jù)線與手機系統(tǒng)主板連接 , 從中讀取內(nèi)存芯片的數(shù)據(jù)信息。這些方法雖可獲取手機中的最原始數(shù)據(jù)，減少外界因素對取證數(shù)據(jù)的干擾,但對偵查取證人員的手機硬件知識的要求很高。 （三）外置存儲卡及取證方法隨著手機功能的逐步增強，特別是近幾年智能手機的迅速發(fā)展，用戶對手

16、機容量的要求越來越大。當(dāng)前，用戶多使用閃存卡來彌補手機自身內(nèi)存的不足。常見的外置存儲卡有Micro SD卡和mini SD卡。一般用來存儲MMS消息、APP軟件安裝包、文本文件、圖片、音樂文件、聲音、影像視頻等。對于外置存儲卡 (如閃存卡 )，一般采用FAT32或者Ext2/3文件系統(tǒng)，EnCase可以正確解析。因此，可使用諸如 Encase的取證軟件工具來獲取存儲卡上的數(shù)據(jù)鏡像。 （四）移動網(wǎng)絡(luò)運營商及取證方法移動網(wǎng)絡(luò)運營商的數(shù)據(jù)庫中存儲著大量的數(shù)據(jù)信息，其主要包括，這些都是潛在的證據(jù)信息。隨著“手機實名制”的不斷完善，在依法履行職務(wù)、手續(xù)合法情況下，可以從移動網(wǎng)絡(luò)運營商處獲取用戶的通話記錄

17、數(shù)據(jù)信息和用戶注冊信息，這些信息主要從移動網(wǎng)絡(luò)運營商的與用戶注冊信息數(shù)據(jù)庫中獲取： 1.用戶注冊信息數(shù)據(jù)庫：用戶姓名、身份證號碼、性別、家庭住址、手機號碼、SIM卡號及其PIN和PUK、IMSI號和所開通的服務(wù)信息 2.通話記錄數(shù)據(jù)庫：主/被叫用戶的手機號碼、主/被叫手機的IMEI號、通話時長 、服務(wù)類型和通話過程中起始端與終止端網(wǎng)絡(luò)服務(wù)基站信息在內(nèi)的記錄信息。 調(diào)查取證人員通過法律程序，與移動網(wǎng)絡(luò)運營商聯(lián)系，根據(jù) SIM 卡所注冊的手機號碼通話記錄數(shù)據(jù)庫進(jìn)行數(shù)據(jù)的過濾和搜索，不管手機是否處于被使用狀態(tài)，都可以數(shù)據(jù)庫中完整的獲取用戶的通話記錄數(shù)據(jù)信息，從而得到此號碼的所有通話記錄與短消息記錄。

18、在有些案件中，對手機進(jìn)行定位從而鎖定違法犯罪嫌疑人十分重要，運用BTS信息，可以精確的定位到用戶任何時刻的地理位置。手機在非正常關(guān)機時，即便是導(dǎo)致HLR無法注銷，在技術(shù)手段的支持下，也能通過用戶跟蹤或定位服務(wù)，找到其所在位置。另外，在現(xiàn)行的“手機實名制 ”的制度下 , 偵查取證人員還可以方便地對用戶注冊信息數(shù)據(jù)庫中的相關(guān)數(shù)據(jù)和居民身份證系統(tǒng)數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行比對分析。4、 常見不同手機系統(tǒng)的取證特點 （一）Android手機系統(tǒng) Android手機系統(tǒng)的市場占有率可謂獨占鰲頭，作為當(dāng)前的主流手機操作系統(tǒng)，從手機取證的角度來看，對其進(jìn)行相關(guān)方面的研究很有現(xiàn)實意義。 1.針對Android手機系統(tǒng)

19、的取證分析（1）電話本信息電話本信息存儲在/data/data/viders.contacts/databases里面的contacts2.db文件中。（2）通話記錄信息/data/data/viders.contacts/databases里面的contacts2.db數(shù)據(jù)庫文件中存在通話記錄信息，包括通話聯(lián)系人，接打電話的，未接電話，甚至可以準(zhǔn)確的查看接通時間以及通話時間長短。（3）短信息短信息可以從/data/data/viders.telephony/databases里面的mmssms.db文件

20、中獲取，除此之外，還可以得到短信方號碼、發(fā)送或者接收時間、短信類型（發(fā)送、接受）和短信的內(nèi)容等。（4）多媒體信息多媒體信息是在/data/data/viders.media/databases里面做了個鏈接文件external-f6f21cel.db，實際是存儲到了SD卡中了，打開該文件可清晰的看到，其中手機錄音也存儲在這個文件中。（5）瀏覽的網(wǎng)頁信息瀏覽網(wǎng)頁信息存儲在/data/data/com.android.browser/databases里面的browser.db文件中。（6） 第三方軟件信息 2.Android手機系統(tǒng)取證的注意事項(1）保證手機電量，

21、切忌因電量不足意外關(guān)機。可以準(zhǔn)備手機電源線，及時對手機進(jìn)行充電；采用Android系統(tǒng)的手機有些數(shù)據(jù)在刪除后并不會立即清除，只有在下次重啟以后，才會被完全清除掉，這是因為Android系統(tǒng)手機在數(shù)據(jù)處理上與傳統(tǒng)手機存在差異。所以說，在Android系統(tǒng)手機取證的過程中，保證充足的電量是十分必要的。(2）將手機設(shè)置為飛行模式，防止取證過程中有電話打入或短信接收，造成手機原始數(shù)據(jù)的破壞。(3）無線網(wǎng)連接需斷開，因為如果手機在取證過程中連上網(wǎng)絡(luò)，也可能造成數(shù)據(jù)破壞。(4）首先對手機SD卡和內(nèi)存的原始數(shù)據(jù)進(jìn)行備份，然后再開始分析備份好的數(shù)據(jù)。(5）成功備份手機內(nèi)存數(shù)據(jù)后，可以單獨分析SIM卡和SD卡中

22、的數(shù)據(jù)。 根據(jù)2013-2014年中國手機市場研究年度報告，當(dāng)前，手機市場特別是對于如中國、印度等發(fā)展中國家的市場，可謂是異常火爆。眾所周知，手機操作系統(tǒng)以Android和蘋果iOS為主。其中，Android以80%左右的關(guān)注度獨占鰲頭，蘋果iOS以10%左右的關(guān)注度穩(wěn)居第二。不同的手機操作系統(tǒng)的取證方式也有很多差異，針對手機系統(tǒng)的市場占有率，將介紹對Android和蘋果iOS這兩種主流手機操作系統(tǒng)的取證分析，以及取證時應(yīng)當(dāng)注意的一些事項。 （二）蘋果iOS 手機系統(tǒng) Iphone手機作為手機用戶最喜愛的手機之一，其采用的蘋果iOS 手機系統(tǒng)是市場占有率僅次于Android手機系統(tǒng)的第二大手機

23、操作系統(tǒng)。不僅如此，Iphone手機的用戶也呈現(xiàn)日益增長趨勢，特別是對于當(dāng)代年輕人，在經(jīng)濟(jì)條件允許的情況下，更偏向于選擇Iphone手機。因此，把蘋果iOS手機系統(tǒng)作為手機取證研究的重要對象對獲取案件信息是很有價值的。 1.針對蘋果iOS手機系統(tǒng)的取證分析 （1）電話本信息 電話本中記錄著手機的聯(lián)系人信息，存在于“Library/AddressBook”路徑中，其包含AddressBook.sqlitedb(聯(lián)系人數(shù)據(jù)庫)和AddressBookImages.sqlitedb（聯(lián)系人頭像數(shù)據(jù)庫）。 （2）通話記錄信息 Iphone手機的通話記錄位于路徑“Library/Call History”下。 （3）短信息 （4）地圖信息 除了自己安裝的第三方軟件外，Iphone手機一般使用手機自帶的Google地圖，我們可以在“Library/Maps”下查看地圖信息，在其屬性文件History.plist中有搜索信息的歷史記錄。 （5）Sa