[安卓] Android设备数据镜像取证

[复制链接]

该用户从未签到

2

主题

5

回帖

62

积分

[INTOHARD]班长

Rank: 2

积分
62
发表于 2019-6-8 18:58:29 | 显示全部楼层 |阅读模式
本帖最后由 ranfs 于 2019-6-8 18:58 编辑
在Windows系统上,有winhex等神器,可以方便的完成镜像取证等工作,如何将Android系统的用户分区数据给winhex等分析?除了通过dd等工具镜像为文件外,本文将介绍一种方法,将更方便的完成Android系统数据镜像取证。



准备工作

一台被镜像取证的Android设备
一台电脑运行的Windows系统
Android设备需要root,并开启USB调试模式,使用USB线连接到Windows系统。


Android设备相关操作

下载ADB工具和驱动
ADB主页:adbshell.com/downloads
adb工具下载地址:adbshell.com/upload/adb.zip
adb驱动下载地址:dl.adbdriver.com/upload/adbdriver.zip

假定adb工具,解压到D:\tmp\adb目录,并安装adbdriver驱动。

下载RFSD

RFSD是跨平台的文件操作服务,在安卓设备里运行该服务,可实现读取安卓存储数据通过USB线传給电脑,电脑使用该数据虚拟出磁盘。
RFSD主页:ranfs.com/cn/?RFSD
下载地址:ranfs.com/userfiles/downloads/rfsd/linux/rfsd-linux-armv4tl.zip
把rfsd-linux-armv4tl.zip压缩包里的rfsd也解压到,D:\tmp\adb目录
注:如果是64位的arm处理器,需要下载rfsd-linux-aarch64.zip

下载RFSD到安卓设备,并用ROOT权限运行
打开cmd,切换到d:\tmp\adb目录下,执行如下命令。
android-adb.png

adb devices
adb forward tcp:6688 tcp:6688
adb push rfsd /data/local/tmp
adb shell
su
mount
cd /data/local/tmp
chmod 755 rfsd
./rfsd -d

红圈里的/dev/stl11,为用户数据分区,必须在/data的前面,在您的设备上可能会不一样。

注:这里存在个问题:rfsd下载到数据分区,会导致数据恢复时,删除数据可能被覆盖,如需要下载到不是数据分区,请自行查找相关方法,目的只有一个,只要能把rfsd放进设备里,用root权限运行起来即可。

Windows上相关操作
在Windows系统上,下载RFDK并运行,RFDK是虚拟磁盘驱动器,可以把远程硬盘虚拟为本地磁盘。

RFDK主页:ranfs.com/cn/?RFDK
下载地址:ranfs.com/pub/rfdk/windows/rfdk.zip
下载到本地解压,执行install.bat等待安装完成,更多的帮助见安装包里的:rfdk-cn.pdf

rfdk-gui挂载磁盘
在Windows上运行rfdk-gui,新建客户端连接如下图:
rfdk-gui-android-add.png

输入ip地址127.0.0.1,点击确定添加完成,这时主界面上会显示安卓客户端,拥有的相关存储设备列表。
rfdk-gui-android-lsblk.png
双击挂载点为/data/的栏目,会弹出挂载磁盘配置对话框,默认只读,确定后就完成了磁盘挂载。

winhex打开磁盘
使用winhex等工具,打开\.\PhysicalDrive3,完成对安卓设备用户数据分区的镜像取证等工作。
winhex-android.png

    总结:在上面的操作中,安卓设备部署程序上还是有些麻烦,如果只是镜像数据分区,可以下载RANFS-安卓镜像取证工具,下载地址:ranfs.com/cn/?RFAI,提供一键连接(即完成部署程序工作)及一键挂载磁盘,写作本文的目的只是抛砖引玉,为需要手动操作的用户。

遇到不能解决的问题,请联系:tech@ranfs.com, 或加QQ群:599829506。

  • TA的每日心情
    开心
    2024-9-23 18:43
  • 签到天数: 757 天

    [LV.10]一品大学士

    24

    主题

    929

    回帖

    3541

    积分

    [INTOHARD]团长

    Rank: 8Rank: 8

    积分
    3541
    发表于 2019-6-9 08:22:32 | 显示全部楼层
    330wang 就是牛
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    奋斗
    2024-12-2 19:44
  • 签到天数: 1523 天

    [LV.Master]三朝元老

    1

    主题

    1625

    回帖

    7852

    积分

    [INTOHARD]团长

    Rank: 8Rank: 8

    积分
    7852
    发表于 2019-6-9 15:01:11 | 显示全部楼层
    确实是大牛!
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2017-5-10 22:00
  • 签到天数: 2 天

    [LV.1]布衣百姓

    5

    主题

    49

    回帖

    93

    积分

    [INTOHARD]班长

    Rank: 2

    积分
    93
    发表于 2020-1-11 12:36:04 | 显示全部楼层
    问题是现在的手机 咋root 开
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    2

    主题

    5

    回帖

    62

    积分

    [INTOHARD]班长

    Rank: 2

    积分
    62
     楼主| 发表于 2020-3-13 13:14:41 | 显示全部楼层
    miao5858598 发表于 2020-1-11 12:36
    问题是现在的手机 咋root 开

    的确root越来越难 本文只能提供相关工具 实现方便的镜像提取
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    0

    主题

    19

    回帖

    20

    积分

    [INTOHARD]工兵

    Rank: 1

    积分
    20
    发表于 2020-7-28 10:59:19 | 显示全部楼层
    牛逼克拉斯
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2022-3-31 14:39
  • 签到天数: 2 天

    [LV.1]布衣百姓

    0

    主题

    17

    回帖

    33

    积分

    [INTOHARD]工兵

    Rank: 1

    积分
    33
    发表于 2022-3-31 16:26:48 | 显示全部楼层
    root实在是太难了,鸿蒙系统啊
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2024-11-22 13:06
  • 签到天数: 366 天

    [LV.9]二品侍郎

    0

    主题

    575

    回帖

    1712

    积分

    [INTOHARD]营长

    Rank: 6Rank: 6

    积分
    1712
    发表于 2022-4-8 10:36:48 | 显示全部楼层
    没有root 一切都是镜中花
    回复 支持 反对

    使用道具 举报

    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    快速回复 返回顶部 返回列表