手持式裝置與手機取證與資料恢復工作原理

原創OSSLab thx

同於數位取證   Digital  Forensics (電子取證)，手機取證是按照符合法律規範的方式對手機進行證據獲取、儲存、分析還原出手機內被上鎖、隱閉、刪除的通話記錄、簡訊、通訊錄、電子郵件等。
用來做法律上 證明或反駁的證據。

做手機取證前，先要瞭解手機儲存處.

1.外部記憶卡 都是FAT,FAT32格式 被刪除用簡單分區表還原就可

2.Sim Card

3.手機本身內部:

Smart phone:底層一定用共用文件系統，Windows mobile 手機,GPS 採用FAT 分區  連結
手機內部 外部I/O.Nokia F-BUS ,M-BUS,DKU-5,

手機取證分為幾個程序跟方法.

一.解鎖手機Pin Code,話機鎖,USER鎖

二.讀取手機資訊,破解備份加密

相關工具

三.還原被刪除資料

還原Sim Card


這方面軟體就以商業化為主
 

1. EnCase Neutrino 
   http://www.guidancesoftware.com/mobi...e-neutrino.htm
   價格約NT 50萬吧
    
2. Celldek 合一控制台
   http://www.logicubeforensics.com/pro...on/celldek.asp
   價格約NT 30萬
    
3. FINALDATA  Mobile Forensic
   Finaldata 公司作品，在2.1x版時不支持Unicode.支持Phone以高通為主.
   
   http://www.ojp.usdoj.gov/nij/pubs-sum/228227.htm
   
   
   
   
   
   但MCU 手機
   以Sony ericsson為例 GlobalDateFileSystem 

JTAG Dump Rom 法.

四.手機已損毀
還原閃存NAND FLASH 2 , Flash Translation Layer (FTL)

 

參考資料

1. Mobile Device Forensics Blog
   http://mobileforensics.wordpress.com/
    
2. Nokia F-BUS Protocol
   http://www.embedtronics.com/nokia/fbus.html