[發明專利]一種基于虛擬機和實體機結合的移動終端取證方法及系統

在審

• 申請號: 201710533880.2
• 申請日: 2017-07-03
• 公開（公告）號: CN107391364A
• 公開（公告）日: 2017-11-24
• 發明（設計）人: 李強;楊澤明;劉寶旭;杜丹
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F11/36
• 分類號: G06F11/36
• 代理公司: 北京君尚知識產權代理事務所(普通合伙)11200
• 代理人: 司立彬

技術領域

本發明屬于IT技術領域，涉及一種移動終端取證方法及系統，特別涉及一種基于虛擬機和實體機結合的移動終端取證方法及系統。

背景技術

移動終端操作系統中留存了用戶的大量私密信息，以Android系統為例，近年來，Android系統作為一個開源的移動設備操作系統，其裝機量達20億部，已經超越Windows，成為全球使用最多最廣泛的操作系統，Android系統的普及和應用已經深深融入到人們的生活中。Android系統中留存了用戶的大量私密信息，甚至包括犯罪人員的犯罪活動相關信息，通過取證手段，科學有效地獲取這些信息，對于案情的分析，有著重要的意義。

傳統對于Android系統取證分析的方法是通過ADB(Android Debug Bridge)的方式獲取Android系統鏡像，或者通過在Android系統中安裝Agent軟件獲取信息，再通過對獲取信息的解析和分析，在PC客戶端上進行展示。

現有的取證分析方法，在進行諸多應用程序的取證分析時，面臨應用程序更新頻繁、程序文件結構和內容復雜等問題，在文件結構和內容解析時，在工作量和工作難度雙方面，面臨著較大的挑戰。另外，在PC客戶端上進行操作時，也面臨著操作界面不友好等問題。

發明內容

為了克服現有技術的不足，本發明的目的在于提供了一種基于虛擬機和實體機結合的移動終端取證方法及系統，該方法能夠在保證原始移動終端的證據的完整性的前提下，充分利用虛擬機和真實移動終端的應用數據操作及展示友好的特點，實現對原始移動終端中的應用數據的取證、展示和分析。

為了實現上述目的，本發明提供的技術方案如下：

一種基于虛擬機和實體機結合的移動終端取證系統，以Android系統為例，其中，物理資源包括PC機(即取證服務器)、待取證Android移動終端、虛擬Android移動終端和真實Android移動終端。如圖1所示，其中待取證Android移動終端是原始的Android移動終端，也是被取證的對象；PC機用于通過數據線連接待取證Android移動終端，獲取其中的待取證數據信息；虛擬Android移動終端通過虛擬機運行在PC機中；真實Android移動終端則通過數據線連接PC，加載從待取證Android移動終端中提取的應用數據信息。具體包括以下步驟：

步驟1，使用數據線連接待取證Android移動終端和PC，使用ADB或者在終端安裝Agent客戶端軟件的方式，從Android移動終端獲取Android移動終端的系統鏡像和終端相關的數據信息。

步驟2，在PC機中，對提取的Android移動終端的數據進行分析，提取Android移動終端的關鍵信息和終端中的應用關鍵信息，Android移動終端的關鍵信息包括Android移動終端的型號信息、IMEI信息、Android系統版本、存儲器信息等，終端中的應用關鍵信息包括應用程序名稱、版本和具體數據文件內容等信息。大部分現有的取證分析軟件，一般只支持取證分析到這一步，即對提取的關鍵信息進行分析操作，包括數據讀取、分析、解析和展現等。

步驟3，根據提取的系統版本關鍵信息，與虛擬機提供的鏡像的Android系統版本信息進行對比，判斷提取的Android移動終端的系統是否可以通過虛擬機進行構建，應用數據內容是否可以在虛擬機中進行有效加載。如果可以進行有效對虛擬機進行構建，有效對應用數據進行加載，則跳轉到步驟4；如果無法對從移動終端中提取的Android系統進行構建，或無法有效加載應用數據，則跳轉到步驟5。

步驟4，在PC機中生成虛擬Android移動終端，并將提取Android移動終端的關鍵信息和終端中的應用關鍵信息，加載到虛擬Android移動終端，通過對虛擬Android移動終端中相應的應用程序進行數據和文件的替換，以保證虛擬Android移動終端中相應的應用程序可以正確加載應用信息，從而規避應用程序更新頻繁、程序文件結構和內容復雜等問題帶來的文件結構和內容解析過程中的工作量和工作難度方面的問題，并通過在虛擬Android移動終端進行更為方便、直觀的數據搜索和查看操作，實現對Android移動終端中證據信息的提取，同時可以解決只在PC客戶端中通過開發的應用進行操作時帶來操作界面不友好的問題；結合在PC機中對提取的數據的處理和分析，作為取證分析的補充，完成后續的取證分析操作。