注意: 无故以不正方法侵犯他人隐私知悉之他人秘密，即为妨害秘密罪 若要做手机取证,建议申请通讯监察书(通讯保护法) 原创OSSLab 同於数位取证 (Digital Forensics)，手机取证是按照符合法律规范的方式对 手机进行证据获取、储存、分析还原出手机内被上锁、隐闭、删除的通话记录、 简讯、通讯录、电子邮件、照片、 声音档等。用来做法律上证明或反驳的证据。 做手机取证前，先要了解手机储存处. 1. 外部记忆卡 都是FAT,FAT32格式,直接独取,被删除分区或是删除档案.用简单分区表还原 就可 2. Sim Card 可以读取通讯录跟SMS 另外已删除SMS可以还原 3. 手机本身内部: 手机本身就是嵌入式系,根据其文件系统做还原 * Smart phone 底层会采用相通文件系统，对於其分区表判断很容易， 像用Windows mobile OS的"手机,GPS "采用FAT 分区使用Imagetool 可以很轻易Dump所有Image後,再做FAT分析.Iphone 则是从备份档可以还原出被删除简讯. * MCU手机没有通用文件系统与工具 并且文件系统也没公开 比较可行方式是用其I/O做 Digital Forensic 这边以Nokia为例,Nokia手机分为DCT3,DCT4,BB5 Soultion 手机I/O: F-BUS ,M-BUS,内定脚位. IRDA ,Bluetooth. F-BUS:112000 bps 部份机种 官方传输线 DKU-5 是F-BUS脚位+AT76C711AVR 单晶片机 才可以下AT Command M-BUS:9600 bps IRDA:OBDX Bluetooth:OBDX AT command Protocol: F-BUS OBDX Dump 整只手机 flash memory : 需要专用工具 连接 M-BUS I/O,F-BUS ,BSI (测量电源) ,VBAT (电源),GND(负极) 获得整个手机 flash memory file 以Flash memory 分析再进行 Unicode编码转换格式 手机取证流程跟软体 一.解锁手机Pin Code,话机锁,USER锁 破解备份档加密 当手机被上锁,以 SE Tools 等手机维修硬件 二.读取手机明文未删除资讯 相关工具 * Celldek 行动劫取台 http://www.logicubeforensics.com/products/hd_duplication/celldek.asp 价格约NT 30万 * CelleBrite UFED System 行动劫取台 http://www.cellebrite.com/UFED-Standard-Kit.html?gclid=COWGsZDWiKACFUIwpAod1BY_Eg 价格约NT 20万 以上 * Oxygen forensic 2010 适用於大量品牌手机 http://www.oxygen-forensic.com/cn/ nt 4-5万 Protocol:ETSI　and Nokia AT Command ,ODBX * Bitpom 免费开源 只适用高通ＣＤＭＡ　Soultion http://www.bitpim.org/ Protocol:ETSI　and 高通 AT Command * Tulp2g 免费开源 http://tulp2g.sourceforge.net/ Protocol:ETSI　and Siemens AT Command ,ODBX * FMA 免费开源 适用Nokia http://fma.sourceforge.net/index2.htm Protocol:ETSI　and Nokia AT Command ,ODBX * Manifest explorer 适用 Android https://www.isecpartners.com/manifest_explorer.html * MIAT 适用 Symbain ,Windows Mobile http://miatforensics.org/index.php?option =com_content&view=article&id=70&Itemid=53 三.可还原被删除资料软硬体 还原Sim Card被删除简讯 1. Undeletesms 免费软体 http://vidstrom.net/stools/undeletesms/ 2. USIM Detective .有全功能30天试用版. http://quantaq.opiah.com/usim_detective/usimdetective.php 这方面软体就以商业化为主 * EnCase Neutrino http://www.guidancesoftware.com/mobile-cellphone-forensics -software-neutrino.htm 价格约NT 80万吧 也许更高 Flash dump原理 * .XRY http://www.msab.com/en/mobile-forensic-products/ 价格约40万 以上 * FINALDATA Mobile Forensic Finaldata 公司作品，在2.1x版时不支持Unicode.支持Phone以高通为主. 价格不详 听说在us 3000以上 http://www.ojp.usdoj.gov/nij/pubs-sum/228227.htm 应该是AT command * Iphone data recovery http://www.iphonedatarecovery.org/ 但MCU 手机 以Sony ericsson为例 GlobalDateFileSystem JTAG Dump Rom 法. 四.手机已损毁 还原闪存NAND FLASH (已玩过 有很大难度....) 以上为我们实验室初步研究 部份品牌手机确实可以还原被删除未覆盖资料 但是不够全面化..... (其实还有一个省事作法 装手机木马....这程式可很好玩了.. 不过NCC ,电信警察队,市刑大竟然完全没有概念....) -- Telecom Fabless IC designer Rank in my mind Atheros LSI Broadcom Marvell Qualcomm 因为非强者 所以只能自叹 http://www.osslab.org.tw/ --

※ 发信站: 批踢踢实业坊(ptt.cc) ◆ From: 219.84.210.79