2.8 KiB
2.8 KiB
移动取证方法论坑与边界
提取坑
- adb backup 版本差异：Android 12 起 targetSDK≥31 的应用数据不再导出（官方弃用）；Android 13+ 部分设备已移除支持——「备份为空」先查应用 targetSDK 与设备版本，再换 root/镜像路径（SKILL.md 步骤 1）
- allowBackup=false 无警告：备份命令照常执行但某应用数据缺失，无任何报错——按应用清单逐项核对导出内容，别假设备份完整
- 加密备份：ab/iTunes 加密备份无密码不可解析（密码不保存在设备/备份内）；不硬破解（授权边界），标注不可提取
- 备份中途损坏：线缆断开/锁屏/磁盘满都会产出损坏备份——解析报错时先看产物大小与日志，重试前确认环境稳定
- Keystore 密钥：Android 硬件 Keystore 密钥绑定设备芯片，备份/镜像都导不出——涉及密钥目标时直接标注局限
解析坑
- iOS 哈希路径：备份文件按 fileID 命名（fileID = SHA1(domain + "-" + relativePath)，路径派生、与内容无关），分两级目录（前两位/完整 fileID），没有索引就是乱码目录——永远先解析 Manifest.db 的映射再碰文件
- 索引损坏：Manifest.db（文件索引）缺失/损坏时备份文件仍在，但映射不可用——可尝试按文件特征（plist/数据库头）反查，属弱证据
- SQLite 状态：WAL 模式下删除数据可能仍在 WAL 未 checkpoint 页；journal 模式下 freelist 页残留——恢复前先看数据库日志模式（re-disk-forensics 方法）
- 时区与时钟：设备时区/时钟偏差导致时间线错位——先归一 UTC，标注时间来源；跨设备合并时间线时先对齐时钟
证据保全坑
- 远端擦除：设备联网可能触发厂商远端抹除/同步覆盖（定位锁/管理策略）——提取前断网（飞行模式），全程保持
- 解锁与操作污染：解锁、安装工具、恢复备份都会写文件系统（覆写删除数据）——先镜像/备份（只读优先），再做低优先级操作
- TRIM/自动覆写：现代闪存删除数据后可能被 TRIM 回收，恢复成功率低——删除恢复结论带「部分恢复」限定
- 充电/自动关机：电池耗尽自动关机导致中断——接电源/保温，保持设备状态稳定
使用注意
- 仅授权设备；授权范围先确认；越权路径（绕过锁屏等）不做
- 产物按取证流程存档（路径 + 设备状态 + sha256，见 re-triage）；结论按 re-analyze/analysis-contract 交付
- 动态/运行态数据（进程内存、实时消息）本技能不覆盖，转 re-frida / re-mem-forensics 评估
- 云侧数据（iCloud/Google 云备份）需单独授权与流程，本技能只处理设备本地数据