有時(shí)候，犯罪分子會(huì)故意損壞手機(jī)來(lái)破壞數(shù)據(jù)。比如粉碎、射擊手機(jī)或是直接扔進(jìn)水里，但取證專家仍然可以找到手機(jī)里的證據(jù)。
如何獲取損壞了的手機(jī)中的數(shù)據(jù)呢？
圖1：在炮火中損壞的手機(jī)
訪問(wèn)手機(jī)的存儲(chǔ)芯片
損壞的手機(jī)可能無(wú)法開(kāi)機(jī)，并且數(shù)據(jù)端口無(wú)法正常工作，因此，可以使用硬件和軟件工具直接訪問(wèn)手機(jī)的存儲(chǔ)芯片。一些原本被駭客使用的工具，也可以合法地用作調(diào)查的一部分。
那么產(chǎn)生的結(jié)果是準(zhǔn)確的嗎？研究人員將數(shù)據(jù)加載到了10種流行的手機(jī)型號(hào)上。然后，他們自己或外部專家進(jìn)行了數(shù)據(jù)提取，以此測(cè)試，提取的數(shù)據(jù)是否與原始數(shù)據(jù)完全匹配，并且沒(méi)有任何變化。
方法
為了使研究準(zhǔn)確，研究人員不能將大量數(shù)據(jù)直接打包到手機(jī)上。他們選擇以人們通常的習(xí)慣添加數(shù)據(jù)，比如拍照、發(fā)送消息、使用Facebook、linkedIn和其他社交媒體應(yīng)用程序。他們還輸入了具有多個(gè)中間名和格式奇奇怪怪的地址與聯(lián)系人，以此查看在檢索數(shù)據(jù)時(shí)是否會(huì)遺漏或丟失部分?jǐn)?shù)據(jù)。此外，他們還開(kāi)著手機(jī)GPS，開(kāi)著車(chē)在城里轉(zhuǎn)來(lái)轉(zhuǎn)去，獲取GPS數(shù)據(jù)。
研究人員將數(shù)據(jù)加載到手機(jī)上之后，使用了兩種方法來(lái)提取數(shù)據(jù)。
第一種方法：JTAG
許多電路板都有小的金屬抽頭，可以訪問(wèn)芯片上的數(shù)據(jù)。研究人員充分地利用了這一點(diǎn)。
對(duì)于制造商來(lái)說(shuō)，他們使用這些金屬抽頭來(lái)測(cè)試電路板，但是在這些金屬抽頭上焊接電線，調(diào)查人員就可以從芯片中提取數(shù)據(jù)。
這種方法被稱為JTAG，主要用于聯(lián)合任務(wù)行動(dòng)組，也就是編碼這種測(cè)試特性的協(xié)會(huì)。
第二種方法：chip-off（芯片提取）
芯片提取就是將芯片通過(guò)微小的金屬引腳直接連接到電路板上的操作形式。要知道，在過(guò)去，專家們通常是將芯片輕輕地從板上拔下來(lái)并將它們放入芯片讀取器中來(lái)實(shí)現(xiàn)數(shù)據(jù)獲取的，但是金屬引腳很細(xì)。一旦損壞它們，則獲取數(shù)據(jù)就會(huì)變得非常困難甚至失敗。
圖2：數(shù)字取證專家通常可以使用JTAG方法從損壞的手機(jī)中提取數(shù)據(jù)
數(shù)據(jù)提取
幾年前，專家發(fā)現(xiàn)，與其將芯片直接從電路板上拉下來(lái)，不如像從導(dǎo)線上剝?nèi)ソ^緣層一樣，將它們放在車(chē)床上，磨掉板的另一面，直到引腳暴露出來(lái)。
這個(gè)方法看似很簡(jiǎn)單了，直到有人想出一種更簡(jiǎn)單的方法，也就是chip-off（芯片提取），這是the Fort Worth警察局?jǐn)?shù)字取證實(shí)驗(yàn)室和Colorado一家名為VTO實(shí)驗(yàn)室的私人取證公司一起發(fā)現(xiàn)的，后者將提取的數(shù)據(jù)送到NIST（美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究院）后，由研究院的計(jì)算機(jī)科學(xué)家對(duì)此進(jìn)行了JTAG提取。
數(shù)據(jù)提取完成后，Ayers和Reyes-Rodriguez使用了八種不同的取證軟件工具來(lái)提取原始數(shù)據(jù)、生成聯(lián)系人、位置、文本、照片和社交媒體數(shù)據(jù)等。然后，他們將這些數(shù)據(jù)與最初加載到每部手機(jī)上的數(shù)據(jù)進(jìn)行了比較。
比較結(jié)果表明，JTAG和Chip-off均提取了數(shù)據(jù)而沒(méi)有對(duì)其進(jìn)行更改，但是某些軟件工具比其他工具更擅長(zhǎng)理解數(shù)據(jù)，尤其是那些來(lái)自社交媒體應(yīng)用程序中的數(shù)據(jù)。
*參考來(lái)源：helpnetsecurity，kirazhou編譯整理，轉(zhuǎn)載請(qǐng)注明來(lái)自 FreeBuf.COM。
