iOS終端數(shù)字取證研究.pdf

1、iOS設(shè)備取證在司法鑒定領(lǐng)域應(yīng)用廣泛且需求緊迫,智能手機(jī)上的證據(jù)常常直接左右著案件的判決結(jié)果。本文圍繞iOS終端取證這一需求,研究實(shí)現(xiàn)了iOS設(shè)備NAND閃存芯片上的原始數(shù)據(jù)鏡像提取;實(shí)現(xiàn)了基于NAND原始數(shù)據(jù)鏡像的數(shù)據(jù)恢復(fù),關(guān)鍵文件的提取解析和真實(shí)性鑒定;并通過實(shí)驗(yàn)對iOS設(shè)備數(shù)據(jù)恢復(fù)率的影響因素做了研究和分析。
　　本文研究的內(nèi)容主要包括如下:
　　首先,分析比較數(shù)據(jù)保全的軟硬件方法,并且選取最優(yōu)的軟件提取底層NAND原

2、始數(shù)據(jù)的方式來實(shí)現(xiàn)iOS上的數(shù)據(jù)保全。iOS終端數(shù)據(jù)鏡像提取模塊的實(shí)現(xiàn)的幾個難點(diǎn)在于,通過patch內(nèi)核,使得其能夠同時兼容iOS3.x,4.x以及5.x系統(tǒng);通過使用ramdisk引導(dǎo)設(shè)備來繞過權(quán)限控制,使得取證系統(tǒng)能夠同時兼容已越獄/非越獄設(shè)備的底層數(shù)據(jù)鏡像提取。
　　然后,使用提取的底層NAND原始數(shù)據(jù)實(shí)現(xiàn)iOS終端數(shù)據(jù)恢復(fù)模塊。實(shí)現(xiàn)中主要考慮NAND/NOR閃存盤必須通過FTL讀寫的特性。通過挖掘在操作系統(tǒng)層已經(jīng)完全刪除,

3、然而在物理層卻仍然存在的過期物理頁信息,為數(shù)據(jù)恢復(fù)提供可靠的數(shù)據(jù)來源;通過借鑒SSD上的數(shù)據(jù)恢復(fù)一些特性,在iOS設(shè)備上實(shí)現(xiàn)了底層數(shù)據(jù)提取和反刪除。而且,數(shù)據(jù)恢復(fù)的效果要明顯好于傳統(tǒng)上基于文件系統(tǒng)層鏡像做的數(shù)據(jù)恢復(fù)。
　　最后,通過對iOS設(shè)備數(shù)據(jù)恢復(fù)率的研究分析得出了一些結(jié)論。中低負(fù)載和高負(fù)載下的多次反復(fù)數(shù)據(jù)恢復(fù)實(shí)驗(yàn)證實(shí):iOS設(shè)備的FTL采用了比一般SSD更為懶惰的垃圾回收策略。目前所掌握的實(shí)驗(yàn)結(jié)果首次清楚的表明,iOS設(shè)備沒