手持式裝置與手機取證與資料恢復工作原理

原創OSSLab thx

前言

同於數位取證   Digital  Forensics (電子取證)，手機取證是按照符合法律規範的方式對手機進行證據獲取、儲存、分析還原出手機內被上鎖、隱閉、刪除的通話記錄、簡訊、通訊錄、電子郵件、照片、 聲音檔等。用來做法律上 證明或反駁的證據。

工作原理

做手機取證前，先要瞭解手機儲存處.

1. 外部記憶卡
   都是FAT,FAT32格式,直接獨取,被刪除用簡單分區表還原就可
    
2. Sim Card 可以讀取通訊錄跟SMS 另外已刪除SMS可以還原
    
3. 手機本身內部:
   
   手機本身就是嵌入式系統.因此會有不同的文件架構

• Smart phone 底層會採用相通文件系統，對於其分區表判斷很容易，像Windows mobile 手機,GPS 採用FAT 分區使用Imagetool可以很輕易Dump所有Image後,再做FAT分析.Iphone 則是從備份檔可以還原出被刪除簡訊.
   
• MCU手機沒有通用文件系統與工具 並且文件系統也沒公開
  
  這邊以Nokia為例
  
  手機I/O: F-BUS ,M-BUS,內定腳位. IRDA ,Bluetooth.
  F-BUS:112000 bps 部份機種 
  
  官方傳輸線  DKU-5 是F-BUS腳位+AT76C711AVR 單晶片機
  才可以下AT Command
  
  M-BUS:9600 bps
  
  IRDA:OBDX
  
  Bluetooth:OBDX
  
  AT command
  Protocol:
  
   
    F-BUS
    OBDX
  
  
  上面M-BUS I/O,獲得整個手機 flash memory  file
  
  編碼 Unicode轉換格式
   

手機取證流程跟軟體

一.解鎖手機Pin Code,話機鎖,USER鎖 破解備份檔加密
當手機被上鎖,HWK,SE Tools

二.讀取手機明文未刪除資訊

相關工具

• Celldek 合一控制台
  http://www.logicubeforensics.com/pro...on/celldek.asp
  價格約NT 30萬
   
• Oxygen forensic 2010 適用於大量品牌手機
  http://www.oxygen-forensic.com/cn/
  nt 4-5萬
  Protocol:ETSI　and Nokia AT Command ,ODBX
   
• Bitpom 免費開源  只適用高通ＣＤＭＡ　Soultion
  http://www.bitpim.org/
  Protocol:ETSI　and 高通 AT Command
  
   
• Tulp2g 免費開源
  http://tulp2g.sourceforge.net/
  Protocol:ETSI　and Siemens AT Command ,ODBX
   
• FMA  免費開源 適用Nokia
  http://fma.sourceforge.net/index2.htm
  Protocol:ETSI　and Nokia AT Command ,ODBX
  
   
• Manifest explorer  適用 Android
  https://www.isecpartners.com/manifest_explorer.html
  
   
• MIAT 適用 Symbain ,Windows Mobile
  http://miatforensics.org/index.php?o...d=70&Itemid=53
   

三.還原被刪除資料

還原Sim Card被刪除簡訊

1. Undeletesms 免費軟體
   http://vidstrom.net/stools/undeletesms/
    
2. USIM Detective .有全功能30天試用版.
   http://quantaq.opiah.com/usim_detect...mdetective.php

這方面軟體就以商業化為主
 

• EnCase Neutrino 
  http://www.guidancesoftware.com/mobi...e-neutrino.htm
  價格約NT 50萬吧 也許更高
   
• .XRY
  http://www.msab.com/en/mobile-forensic-products/
  價格約30~40萬
   
• FINALDATA  Mobile Forensic
  Finaldata 公司作品，在2.1x版時不支持Unicode.支持Phone以高通為主.
  
  價格不詳 聽說在us 3000以上
  http://www.ojp.usdoj.gov/nij/pubs-sum/228227.htm
  
  
  
  
  但MCU 手機
  以Sony ericsson為例 GlobalDateFileSystem 

JTAG Dump Rom 法.

四.手機已損毀
還原閃存NAND FLASH 2 , Flash Translation Layer (FTL)

 

參考資料

1. Mobile Device Forensics Blog
   http://mobileforensics.wordpress.com/
    
2. Nokia F-BUS Protocol
   http://www.embedtronics.com/nokia/fbus.html
    
3. Nokia AT Command
   http://nds1.nokia.com/phones/files/g...kia_AThelp.pdf
    
4. 論文 Forensic Analysis of Mobile Phones 
   http://www.8051projects.net/e107_fil...ile_phones.pdf
   
    
5. Siemens AT command
   http://alumni.ipt.pt/~pmad/s35i_c35i...andset_v01.pdf
    
6. 帥猴手機維修論壇 
   http://bbs.shgzs.com/
   
   帥虎手機維修論壇
   http://www.sjwxzy.com/index.php
   
   （編案:不知道為何取這樣好笑的名字　不過這二個論壇對於編寫手機文件有很完整資料)
    
7.