091_数字取证高级技术：移动设备取证与数据恢复实战指南——从Android到iOS的全面设备调查方法

/data/data/[package_name]/ - 应用数据目录
/data/data/com.android.providers.telephony/databases/ - 通话记录和短信数据库
/data/data/com.android.providers.contacts/databases/ - 联系人数据库
/data/data/com.android.browser/databases/ - 浏览器历史记录
/data/misc/wifi/ - WiFi连接信息
/data/system/packages.xml - 已安装应用列表
/data/system/users/0/settings_system.xml - 系统设置

# 使用ADB进行逻辑获取
adb backup -f backup.ab -noapk -nosystem -shared -all

# 提取应用数据
adb pull /data/data/com.whatsapp/databases/ .

# 导出短信和通话记录
adb shell content query --uri content://sms/
adb shell content query --uri content://calls/

# 使用取证工具进行物理获取
ext4-utils /dev/block/mmcblk0pXX > data.img

# 使用dd命令（需要root权限）
adb shell "su -c 'dd if=/dev/block/mmcblk0 of=/sdcard/full_image.img bs=4096'"
adb pull /sdcard/full_image.img

# 基本命令
adb devices -l  # 列出连接的设备
adb shell      # 进入设备shell
adb pull       # 从设备拉取文件
adb push       # 向设备推送文件
adb logcat     # 查看设备日志

# 使用命令行创建备份
idevicebackup2 backup --full --encrypted /path/to/backup/dir

# 列出备份内容
idevicebackup2 list /path/to/backup/dir

# 提取特定文件
idevicebackup2 extract /path/to/backup/dir 3d/3d0d7e5fb2ce288813306e4d4636395e047a3d28 /path/to/output

# 安装libimobiledevice
sudo apt-get install libimobiledevice-utils

# 获取设备信息
ideviceinfo

# 导出联系人
idevicecontacts -l > contacts.vcf

# 提取媒体文件
ifuse /mnt/ios
cp -r /mnt/ios/DCIM /path/to/output/
fusermount -u /mnt/ios

3d/3d0d7e5fb2ce288813306e4d4636395e047a3d28 - SMS/MMS数据库
Contacts.sqlite - 联系人数据库
AddressBook.sqlitedb - 地址簿数据库
CallHistory.storedata - 通话记录
MediaDomain - 媒体文件

AppDomain-com.apple.mobilemail - 邮件数据
AppDomain-com.apple.notes - 备忘录数据
AppDomain-com.apple.Health - 健康数据
AppDomain-com.apple.Calendar - 日历数据
AppDomain-group.com.apple.reminders - 提醒事项

# 基本工具
ideviceinfo - 获取设备信息
idevicebackup2 - 创建和管理备份
idevicesyslog - 查看系统日志
idevicecrashreport - 提取崩溃报告
idevicescreenshot - 获取屏幕截图

# 通过SSH连接
ssh root@[device_ip]

# 提取文件系统镜像
dd if=/dev/disk0 of=/tmp/ios_image.bin bs=1m

/data/data/com.whatsapp/databases/msgstore.db - 聊天记录数据库
/data/data/com.whatsapp/databases/wa.db - 联系人数据库
/sdcard/WhatsApp/Media/ - 媒体文件

AppDomain-net.whatsapp.WhatsApp/Documents/ChatStorage.sqlite

import sqlite3
import pandas as pd

def analyze_whatsapp_android(db_path):
    conn = sqlite3.connect(db_path)
    
    # 提取聊天记录
    chats = pd.read_sql_query("SELECT * FROM messages", conn)
    
    # 提取联系人
    contacts = pd.read_sql_query("SELECT * FROM jid", conn)
    
    # 分析聊天频率
    chat_freq = chats.groupby('key_remote_jid').size().sort_values(ascending=False)
    
    conn.close()
    return chats, contacts, chat_freq

# 分析WhatsApp数据库
chats, contacts, chat_freq = analyze_whatsapp_android("msgstore.db")

/data/data/com.tencent.mm/MicroMsg/[random]/EnMicroMsg.db - 加密数据库

AppDomain-com.tencent.xin/Library/Application Support/

# 解密WeChat数据库
sqlcipher EnMicroMsg.db
> PRAGMA key = "password";
> ATTACH DATABASE 'decrypted.db' AS decrypted KEY '';
> SELECT sqlcipher_export('decrypted');
> DETACH DATABASE decrypted;

/data/data/com.android.chrome/app_chrome/Default/History - 浏览历史数据库
/data/data/com.android.chrome/app_chrome/Default/Cookies - Cookie数据库
/data/data/com.android.chrome/app_chrome/Default/Login Data - 保存的密码

AppDomain-com.apple.mobilesafari/Library/Safari/History.db

def analyze_browser_history(db_path):
    conn = sqlite3.connect(db_path)
    
    # 提取历史记录
    history = pd.read_sql_query("SELECT * FROM urls ORDER BY last_visit_time DESC", conn)
    
    # 分析访问频率
    url_freq = history.groupby('url').size().sort_values(ascending=False)
    
    # 提取最近访问
    recent_urls = history.head(20)
    
    conn.close()
    return history, url_freq, recent_urls

/data/data/com.google.android.apps.maps/databases/dontpanic.db - Google地图位置历史
/data/data/com.google.android.gms/databases/locations.db - Google位置服务数据

AppDomain-com.apple.Maps/Library/Application Support/Maps/GeoHistory.plist
/private/var/root/Library/Caches/locationd/clients.plist

def analyze_location_data(db_path):
    conn = sqlite3.connect(db_path)
    
    # 提取位置记录
    locations = pd.read_sql_query("SELECT * FROM location_data", conn)
    
    # 转换时间戳
    locations['timestamp'] = pd.to_datetime(locations['timestamp'], unit='ms')
    
    # 查找频繁访问位置
    frequent_locations = locations.groupby(['latitude', 'longitude']).size().sort_values(ascending=False)
    
    conn.close()
    return locations, frequent_locations

# 使用foremost进行文件恢复
foremost -t jpg,png,pdf,doc -i device_image.img -o output/

# 使用scalpel进行恢复
scalpel device_image.img -o output/

import sqlite3
import struct

def recover_deleted_records(db_path):
    conn = sqlite3.connect(db_path)
    cursor = conn.cursor()
    
    # 获取数据库页面大小
    cursor.execute("PRAGMA page_size")
    page_size = cursor.fetchone()[0]
    
    # 读取整个数据库文件
    with open(db_path, 'rb') as f:
        db_content = f.read()
    
    # 搜索可能的SQLite记录头
    potential_records = []
    for i in range(0, len(db_content) - page_size, page_size):
        page = db_content[i:i+page_size]
        # 检查页面类型（0x0d = 表叶页）
        if page[1] == 0x0d:
            # 解析记录
            offset = 8  # 跳过页面头部
            while offset < page_size:
                # 检查记录头格式
                if offset + 1 < page_size:
                    potential_records.append((i + offset, page[offset:offset+16]))
                offset += 32  # 假设记录至少32字节
    
    conn.close()
    return potential_records

def recover_deleted_sms(android_db_path):
    conn = sqlite3.connect(android_db_path)
    
    # 提取所有消息（包括删除标记的）
    query = """
    SELECT _id, address, body, date, type, deleted 
    FROM sms 
    ORDER BY date DESC
    """
    messages = pd.read_sql_query(query, conn)
    
    # 提取标记为已删除的消息
    deleted_messages = messages[messages['deleted'] == 1]
    
    conn.close()
    return deleted_messages

# 照片恢复工具对比
echo "使用TestDisk/PhotoRec恢复媒体文件："
photorec device_image.img -o recovery/ -q -f jpg,png,mp4,mov

# 使用自定义脚本扫描文件头
echo "扫描JPEG文件："
python scan_file_signatures.py device_image.img jpg recovery/

# 使用adb获取内存转储
adb shell "su -c 'dd if=/proc/kmsg of=/sdcard/kernel_log.txt'"
adb shell "su -c 'cat /proc/meminfo > /sdcard/meminfo.txt'"

# 使用LiME获取完整内存镜像
adb push lime.ko /data/local/tmp/
adb shell "su -c 'insmod /data/local/tmp/lime.ko "path=/sdcard/memory.lime format=lime"'"
adb pull /sdcard/memory.lime

# 使用libimobiledevice获取部分内存信息
idevicesyslog > syslog.txt

# 使用专业工具获取完整内存
# 需要特殊硬件或漏洞利用

# 使用volatility进行内存分析
import volatility.plugins
from volatility.plugins.linux import lsmod, pslist

def analyze_android_memory(memory_dump):
    # 加载内存镜像
    addr_space = utils.load_as(options)
    
    # 列出运行进程
    print("Running Processes:")
    for proc in pslist.PsList(addr_space).calculate():
        print(f"PID: {proc.pid}, Name: {proc.comm}")
    
    # 列出加载的模块
    print("\nLoaded Modules:")
    for module in lsmod.LsMod(addr_space).calculate():
        print(f"Module: {module.name}")

# 提取Android固件
python extract_android_ota.py firmware.zip extracted/

# 分析iOS固件
python ios_ota_extract.py iOS_17.0.ipsw extracted/

# 设置代理捕获网络流量
adb shell settings put global http_proxy 192.168.1.100:8080

# 使用Wireshark分析捕获的流量
wireshark -r mobile_traffic.pcap

# 恢复浏览器缓存中的网络数据
python extract_browser_cache.py /path/to/cache recovery/