適用於Android的取證工具

Question

我正在做一個取證課程，並要求我爲Google的Android操作系統開發法醫調查工具（基於Windows）。要求是這樣的，給定一個圖像文件，該工具應該能夠顯示應用程序正在使用的數據庫，通話記錄，消息等。 我在Java方面沒有經驗，但我沒有Android開發經驗。迄今爲止的研究並沒有給我如何去做這件事。如果任何人都可以指出我正確的方向，我將非常感激。 在此先感謝。

Answer 1

第1步將是mounting the filesystem。由於Android是基於Linux的，因此有大量的文件系統可供使用，並且單個供應商可能會或可能不會決定編寫自己的文件系統，僅僅是爲了獲得它的樂趣。在Windows上，您的選項包括ext2fsd or ext2read以及其他可能性。

一旦你安裝了文件系統，你就可以處理每個應用程序的數據存儲。我打賭大量的應用程序使用SQLite3，因爲它是一個了不起的工具。但是你必須弄清楚，你想讀的每種數據類型，它的存儲位置和格式。 （Linux系統上的標準file(1)工具可以派上用場，它知道啓發式方法能夠很好地顯示您可能處理的文件類型。）

Answer 2

如果您有應用程序的.apk，如dex2jar，與jd-gui等組合使用，可以獲取應用程序的JAVA源代碼（如果不模糊的話，它可以提供幫助）。

之後，.apk基本上就是一個zip文件 - 這意味着打開一個解壓縮應用程序將允許您獲取它使用的圖像和資源。

然後，Android應用程序使用的數據庫往往是SQLite，您可以在其上使用SQLite客戶端執行SQL查詢。