智能移動(dòng)終端應(yīng)用數(shù)據(jù)取證技術(shù)研究.pdf

1、隨著移動(dòng)互聯(lián)網(wǎng)的崛起和智能移動(dòng)終端的廣泛使用，其基于智能移動(dòng)終端應(yīng)用程序進(jìn)行隱私竊取、詐騙以及惡意攻擊等犯罪活動(dòng)也日益猖獗。因此，針對(duì)智能移動(dòng)終端應(yīng)用程序的數(shù)據(jù)進(jìn)行取證對(duì)于遏制不法行為具有重要的意義。本文主要研究智能移動(dòng)終端應(yīng)用程序數(shù)據(jù)取證問題，重點(diǎn)研究SQLite數(shù)據(jù)庫(kù)被刪除數(shù)據(jù)的恢復(fù)方法，在此基礎(chǔ)上設(shè)計(jì)實(shí)現(xiàn)了一個(gè)Android和iOS應(yīng)用程序數(shù)據(jù)自動(dòng)化取證系統(tǒng)。其主要工作如下:
　　(1)研究了智能移動(dòng)終端應(yīng)用程序的SQLit

2、e數(shù)據(jù)庫(kù)數(shù)據(jù)存儲(chǔ)方式，并重點(diǎn)研究其數(shù)據(jù)刪除原理，包括刪除數(shù)據(jù)的結(jié)構(gòu)、存儲(chǔ)方式以及各種復(fù)雜的場(chǎng)景。研究了SQLite數(shù)據(jù)庫(kù)各種刪除數(shù)據(jù)的恢復(fù)方法。在此基礎(chǔ)上，提出了一種用于SQLite數(shù)據(jù)庫(kù)刪除數(shù)據(jù)恢復(fù)的相似類型匹配估算方法(Similary Type MatchingEstimation，STME)。
　　(2)針對(duì)現(xiàn)有SQLite數(shù)據(jù)庫(kù)刪除數(shù)據(jù)恢復(fù)方法在刪除數(shù)據(jù)塊出現(xiàn)的多個(gè)不連續(xù)數(shù)據(jù)單元的復(fù)雜場(chǎng)景下恢復(fù)能力不足情況，STME方法

3、對(duì)前人的方法進(jìn)行了改進(jìn)。在SQLite數(shù)據(jù)庫(kù)中刪除數(shù)據(jù)塊主要以自由塊和空閑頁(yè)兩種形式存在于數(shù)據(jù)庫(kù)，該方法可直接提取以自由塊形式存儲(chǔ)的被刪除數(shù)據(jù)中所含應(yīng)用程序數(shù)據(jù)內(nèi)容，對(duì)于以空閑頁(yè)形式存儲(chǔ)的被刪除數(shù)據(jù)可先通過暴力破解的方式恢復(fù)空閑頁(yè)上的數(shù)據(jù)信息，再進(jìn)一步通過STME方法提取出應(yīng)用程序數(shù)據(jù)內(nèi)容。經(jīng)測(cè)試表明，STME恢復(fù)方法可將數(shù)據(jù)恢復(fù)率提高到百分之八十以上，優(yōu)于現(xiàn)有方法。
　　(3)針對(duì)現(xiàn)有取證系統(tǒng)存在取證數(shù)據(jù)缺乏良好的組織，取證系統(tǒng)

4、自動(dòng)化程度不夠等問題。本文在分析應(yīng)用程序用戶痕跡的基礎(chǔ)上，將用戶數(shù)據(jù)以即時(shí)通訊類和非即時(shí)通訊類兩種組織方式進(jìn)行取證;并通過提取用戶數(shù)據(jù)文件的結(jié)構(gòu)特征進(jìn)行匹配，實(shí)現(xiàn)用戶數(shù)據(jù)的自動(dòng)化取證。
　　(4)設(shè)計(jì)并實(shí)現(xiàn)了智能移動(dòng)終端應(yīng)用程序數(shù)據(jù)自動(dòng)化取證系統(tǒng)。本文開發(fā)的取證系統(tǒng)對(duì)Android和iOS兩種主流操作系統(tǒng)的應(yīng)用程序數(shù)據(jù)進(jìn)行取證，針對(duì)不同應(yīng)用類型設(shè)計(jì)相應(yīng)取證數(shù)據(jù)結(jié)構(gòu)，可自動(dòng)化解析以SQLite數(shù)據(jù)庫(kù)、XML、Plist格式存儲(chǔ)的原始