1396p.com北京赛车
技术分享:OPPO R9s Plus手机数据提取方法

OPPO公司为了更好的保护其自身系统的稳定性和安全性,对旗下手机的系统(ColorOS)进行了优化,提高了手机的安全性。但从取证人员角度考虑,这无疑对智能终端取证增加了难度。

 

目前大部分手机取证类软件在进行逻辑提取时都需要在手机上安装厂家自带的apk插件,取证程序和插件建立连接通讯后进行相关信息的读取。但是目前OPPO手机的ColorOS系统,在通过ADB端口的方式安装应用时需要进行OPPO账号的联网验证(类似的还有小米的MIUI系统),这就影响了取证软件中插件的安装。插件无法正常安装,后续的逻辑提取工作也就无法顺利进行。验证界面如下图所示:

注:OPPO账号验证需要联网,取证人员需评估涉案手机联网后可能会出现的数据丢失和应用数据自动更新等问题的可能性。

 

下文中的测试使用的是OPPO R9s Plus,安卓系统版本6.0.1,ColorOS版本3.0,无锁屏密码。以下测试结果仅针对该测试手机。在提取前我们需要对手机进行相关设置:

 

 

1) 手机基本信息见下图:

2) 打开USB调试模式和未知来源选项。(具体方法这里不再阐述)

 

 

3) 在开发者选项中,打开“禁止权限监控”功能,如下图所示:
大润发娱乐城
4) 在开发者选项中,打开“后台进程限制”设置为“不允许后台进程”,此项设置的目的是防止联网后应用数据的自动更新;

手机设置好后,我们看看插件安装过程中可能会遇到的几种情况:

 

1. 手机上未登陆OPPO账号

这种情况容易处理,提取的方法最简单。可以利用已注册的OPPO账号直接登陆。然后使用黄蜂取证软件直接进行逻辑提取,提取过程中会安装插件,当弹出验证提示框时使用已注册的OPPO账号密码验证即可,验证完毕后手机上会出现一个mobile的图标,软件会自动完成后续的提取工作。同时由于手机本身安全性的原因,需要手动设置插件的应用权限,一般在手机管家中应用权限设置菜单下,将mobile插件对于通讯录、通话记录和短信息的读取权限设置为“允许”。剩下的工作软件会自动完成,直到提取结束。(注意观察手机的屏幕当提示数据备份时需要点击备份我的数据

 

相关截图及提取结果见下图:

1396p.com北京赛车

2. 手机上已登陆OPPO账号

这种情况因为手机已经登陆了绑定的OPPO账号,而且登出账号也需要密码,由于密码未知,所以相对麻烦一些。首先我们需要确认已经登陆的账号绑定的手机号码与当前手机中插入的SIM是否一致(保证能够正常接收短信,这里提醒一下,建议将SIM取出放入其他手机进行短信接收,直接在原机接收短信可能会造成数据污染)。如果一致的情况下,可以通过OPPO官网使用短信验证码的方式进行密码找回,找回密码后进行提取的过程与第一种情况一样。

 

3. 手机上已登陆OPPO账号且密码无法获知

在无法使用第2种情况获知密码的情况下,或者是手机不允许连接网络的情况下,我们就需要通过手工的方式来安装插件,可以使用命令的方式将插件推送到手机端进行本地安装。手工方式安装也比较简单,可以通过adb命令或者mtp传输模式将插件推送到手机机身存储后,在手机文件管理中找到推送的apk插件,手动进行安装。(备注:黄蜂软件的插件路径在安装目录tools文件夹下,名称为AndroidPlugin.apk

手动安装好插件后,同时设置好插件的读取权限,提取方式就与上文类似。因为已经提前安装好了插件,所以就不会再提出现验证提示框。

以上是关于OPPO安装插件时可能遇到的一些问题的处理办法。另外OPPO手机除了安装插件过程中会出现上述问题外,根据手机系统和版本的不同,还会遇到ADB备份被屏蔽的情况。ADB备份被屏蔽的现象就是提取过程中手机上无法弹出备份界面,进而无法完成备份解析提取。针对此类情况,我们需要通过手工命令的方式进行应用“降级”后进行备份解析。手工“降级”的命令操作方式之前本公众号有文章介绍,这里就不再赘述。

 

当然OPPO手机由于系统自带备份功能,也可以利用自备份功能对应用数据备份后进行解析。另外根据OPPO机型所使用的CPU不同,也可以进行离线镜像的方式达到解析数据的目的,具体情况需要取证人员具体分析了。

 
www.xhjc1188.com
Copyright © 2002-2017 - 版权所有 1396p.com北京赛车
大润发娱乐城
返回顶部
manbetx闪退