智能移動終端應用數(shù)據(jù)取證技術(shù)研究.pdf

1、隨著移動互聯(lián)網(wǎng)的崛起和智能移動終端的廣泛使用，其基于智能移動終端應用程序進行隱私竊取、詐騙以及惡意攻擊等犯罪活動也日益猖獗。因此，針對智能移動終端應用程序的數(shù)據(jù)進行取證對于遏制不法行為具有重要的意義。本文主要研究智能移動終端應用程序數(shù)據(jù)取證問題，重點研究SQLite數(shù)據(jù)庫被刪除數(shù)據(jù)的恢復方法，在此基礎(chǔ)上設(shè)計實現(xiàn)了一個Android和iOS應用程序數(shù)據(jù)自動化取證系統(tǒng)。其主要工作如下:
　　(1)研究了智能移動終端應用程序的SQLit

2、e數(shù)據(jù)庫數(shù)據(jù)存儲方式，并重點研究其數(shù)據(jù)刪除原理，包括刪除數(shù)據(jù)的結(jié)構(gòu)、存儲方式以及各種復雜的場景。研究了SQLite數(shù)據(jù)庫各種刪除數(shù)據(jù)的恢復方法。在此基礎(chǔ)上，提出了一種用于SQLite數(shù)據(jù)庫刪除數(shù)據(jù)恢復的相似類型匹配估算方法(Similary Type MatchingEstimation，STME)。
　　(2)針對現(xiàn)有SQLite數(shù)據(jù)庫刪除數(shù)據(jù)恢復方法在刪除數(shù)據(jù)塊出現(xiàn)的多個不連續(xù)數(shù)據(jù)單元的復雜場景下恢復能力不足情況，STME方法

3、對前人的方法進行了改進。在SQLite數(shù)據(jù)庫中刪除數(shù)據(jù)塊主要以自由塊和空閑頁兩種形式存在于數(shù)據(jù)庫，該方法可直接提取以自由塊形式存儲的被刪除數(shù)據(jù)中所含應用程序數(shù)據(jù)內(nèi)容，對于以空閑頁形式存儲的被刪除數(shù)據(jù)可先通過暴力破解的方式恢復空閑頁上的數(shù)據(jù)信息，再進一步通過STME方法提取出應用程序數(shù)據(jù)內(nèi)容。經(jīng)測試表明，STME恢復方法可將數(shù)據(jù)恢復率提高到百分之八十以上，優(yōu)于現(xiàn)有方法。
　　(3)針對現(xiàn)有取證系統(tǒng)存在取證數(shù)據(jù)缺乏良好的組織，取證系統(tǒng)

4、自動化程度不夠等問題。本文在分析應用程序用戶痕跡的基礎(chǔ)上，將用戶數(shù)據(jù)以即時通訊類和非即時通訊類兩種組織方式進行取證;并通過提取用戶數(shù)據(jù)文件的結(jié)構(gòu)特征進行匹配，實現(xiàn)用戶數(shù)據(jù)的自動化取證。
　　(4)設(shè)計并實現(xiàn)了智能移動終端應用程序數(shù)據(jù)自動化取證系統(tǒng)。本文開發(fā)的取證系統(tǒng)對Android和iOS兩種主流操作系統(tǒng)的應用程序數(shù)據(jù)進行取證，針對不同應用類型設(shè)計相應取證數(shù)據(jù)結(jié)構(gòu)，可自動化解析以SQLite數(shù)據(jù)庫、XML、Plist格式存儲的原始