【技术实战】：助力打击网络诈骗，已Root安卓手机正常数据提取实操案例

——手机数据提取（第1期）

编者按

 

《技术实战》进入第2个系列专题“手机数据提取”，以效率源在协助公安机关打击犯罪过程中的真实案例为基础，结合SPF9139Pro 智能手机数据恢复取证平台（以下简称“SPF9139系统”）等设备，讲解在电子取证或司法鉴定过程中手机数据提取的实操方法与技巧。今天讲解第1个手机案例，完整呈现最基本的“手机数据提取”全流程和基础注意事项。手机数据提取初学者，可通过此文掌握基础理论与实操方法，为下一步学习有难度的数据提取与分析奠定基础。因本案例涉及到网络诈骗案件侦破，文中所有敏感信息均做模糊处理。

案例背景

       201x年x月x日，受害人周某向xx市公安部门报案自己被诈骗。xx市公安局刑警大队在侦办该案过程中发现犯罪嫌疑人曹某通过电话、微信、QQ等方式，在获得受害人信任后，发送虚假照片给受害人并以谈恋爱为幌子，骗取受害人财务。为此，公安机关需要对犯罪嫌疑人作案手机中的电子数据进行固定和提取，为打击犯罪提供证据。

实战对象

       安卓某品牌手机，已Root，外观完好（没有砸摔、泡水等），正常使用，数据未做删除，需要提取电话、微信、QQ等通讯信息。

技术分析

       由于手机已Root，此类手机信息数据提取属于常规类型。利用效率源SPF9139系统的基本流程——“物理镜像”、“数据提取”、“数据分析”和“生成报告”就可完成（如图1）。

【图1：SPF9139系统业务操作流程】

提取设备

       SPF9139系统，是一款集智能手机数据提取、恢复和取证分析为一体的综合系统，可以根据实际需求应用到电脑或者多种硬件平台上（电脑或工作站）。本案例使用的是搭载了SPF9139系统的工作站（如图2），除了具有数据恢复、提取、取证分析等功能，还能进行手机芯片提取，多次在打击网络犯罪活动中发挥了重要作用。

【图2:搭载SPF9139的工作站】

提取步骤

一、前期准备

1、手机信号屏蔽。手机只要一开机，就会自动与外界进行通讯，可能会导致手机信息被篡改。因此，在电子取证或司法鉴定过程中需要使用信号屏蔽装置（如图3），避免手机与外界通讯带来数据变动，保障手机数据的完整性与原始性。

 
【图3 ：手机装入屏蔽袋】

2、手机接入SPF9139 。通过数据线将手机连接至搭载了SPF9139系统的电脑或工作站。由于数据线品牌较多，但并不是所有数据线都有数据传输功能，所以需要尽可能使用原装数据线（非原装可能导致连接失败，影响取证效率）。同时，电脑或工作站端口的数据线接口应为“只读”，避免电脑对手机里面的数据进行更改，以保证取证数据的完整性与原始性。

3、启动SPF9139系统。 通过电脑或工作站操作界面启动SPF9139（见图4），系统会自动读取并显示手机基本信息，比如手机品牌、手机型号、手机系统、是否root等。根据界面提示，本案例手机已经Root（如图5）。

 
【图4：启动SPF9139系统】

 
【图5：SPF9139系统检测出手机已Root】

4、创建手机提取任务。点击“创建任务”按钮，填写与本案相关信息，包括任务名称、所属案例、手机品牌、手机型号、送检人员、送检时间等（案件内容属于涉密信息，均做马赛克处理，如图6），方便之后快速查询到案例。

 【图6：创建新的任务（红色框填写基本信息）】

二、物理镜像

       所谓物理镜像，指的是将提取对象的信息数据进行拷贝。根据《司法鉴定程序通则》规定，司法鉴定一般不能直接在检材（送检对象）上操作，而是要求在拷贝上操作。而电子取证、数据恢复等操作，为确保数据安全性，也建议在镜像文件上进行提取、分析。

       如图7所示，物理镜像页面左侧为“镜像源”，也就是提取对象（本案手机），可以根据需求选择手机、SIM卡、SD卡，每一项内容下面，也可以选择具体区域，包括全部存储芯片、数据区、系统区、缓存区。为保证取证完整性，本案选择的是“手机全部存储芯片”。右侧为“镜像目标”，也就是镜像文件存储地址，可以选择默认地址（C:\XLYSFTasks\文件名\mirror，），也可自行指定。

【 图7：选择物理源和镜像目标】

三、数据提取

1、加载物理镜像文件。物理镜像成功之后，新建一个任务（如图8），“任务名称”可以填写需要提取的数据信息类别（后期便于区分是哪一部分数据），如本案例可填写成“**手机通话记录、微信、QQ提取”。完成新建任务后，进入数据提取页面（如图9），选择“镜像加载”按钮（如图10）。找到本案件手机物理镜像存储位置（C:\XLYSFTasks\文件名\mirror），加载物理镜像。

 
【图8：创建新的数据提取任务】

 
【图9：点击进入数据提取页面】

 
【图10：选择加载镜像】

2、选择要提取的类别。SPF9139系统能提取的数据包括通讯录、通话记录、短信、社交聊天、主流邮箱、地图公交等绝大部分手机应用。根据客户需求，本案只选择电话、微信、QQ等通信方式（如图11、12）。

 【图11：选择提取QQ和微信数据】

【图12：选择提取通话记录】

3、提取手机数据。点击“开始提取”按钮，即可将需要的相关信息数据提取出来（如图13）。

 
【图13：数据提取】

四、分析提取数据

      提取完数据之后，SPF9139系统会自动进入数据分析页面。点击微信、QQ、电话等提取目录，可对每一项内容进行详细的数据分析。比如本案点击手机通话记录，可以清楚的显示联系人、通话时间、通话时长、号码归属地、通话号码分布、通话频率等等，从而锁定需要提取的目标号码信息（如图14）。微信、QQ的数据提取同理。

 
   【图14：分析手机通话记录 】

五、导出数据分析报告

        分析完提取数据之后，可根据案件需求，将相应的提取数据信息生成分析报告，全面呈现数据提取的结果，以供案件侦破或取证。

提取结果

       通过以上5个大步骤，对手机对外通信记录和数据进行提取和固定，为案件的快速侦破和司法判决提供了证据。

注意事项

1、在进行数据提取时，一定要先将手机放入信号屏蔽袋。

2、为了提高取证效率，尽量选用原装数据线。

3、在进行数据提取分析时，一定要使用物理镜像。

编后语：在公安、司法进行电子取证、司法鉴定的过程中，经常需要对Android已ROOT手机中的电子数据进行固定和提取。通过本案例我们可以看到效率源SPF9139智能手机数据恢复取证系统能够轻松实现制作镜像和分析提取数据。关于如何进行Android手机非ROOT提取、IOS越狱提取、IOS非越狱提取、损坏手机的芯片数据提取、绕过Android屏幕锁、ROOT权限等内容将在以后案例中为你呈现，敬请期待！

---

【相关系列推荐】：

---