论文部分内容阅读
随着移动互联网的崛起和智能移动终端的广泛使用,其基于智能移动终端应用程序进行隐私窃取、诈骗以及恶意攻击等犯罪活动也日益猖獗。因此,针对智能移动终端应用程序的数据进行取证对于遏制不法行为具有重要的意义。本文主要研究智能移动终端应用程序数据取证问题,重点研究SQLite数据库被删除数据的恢复方法,在此基础上设计实现了一个Android和iOS应用程序数据自动化取证系统。其主要工作如下：(1)研究了智能移动终端应用程序的SQLite数据库数据存储方式,并重点研究其数据删除原理,包括删除数据的结构、存储方式以及各种复杂的场景。研究了SQLite数据库各种删除数据的恢复方法。在此基础上,提出了一种用于SQLite数据库删除数据恢复的相似类型匹配估算方法(Similary Type Matching Estimation, STME)。(2)针对现有SQLite数据库删除数据恢复方法在删除数据块出现的多个不连续数据单元的复杂场景下恢复能力不足情况,STME方法对前人的方法进行了改进。在SQLite数据库中删除数据块主要以自由块和空闲页两种形式存在于数据库,该方法可直接提取以自由块形式存储的被删除数据中所含应用程序数据内容,对于以空闲页形式存储的被删除数据可先通过暴力破解的方式恢复空闲页上的数据信息,再进一步通过STME方法提取出应用程序数据内容。经测试表明,STME恢复方法可将数据恢复率提高到百分之八十以上,优于现有方法。(3)针对现有取证系统存在取证数据缺乏良好的组织,取证系统自动化程度不够等问题。本文在分析应用程序用户痕迹的基础上,将用户数据以即时通讯类和非即时通讯类两种组织方式进行取证；并通过提取用户数据文件的结构特征进行匹配,实现用户数据的自动化取证。(4)设计并实现了智能移动终端应用程序数据自动化取证系统。本文开发的取证系统对Android和iOS两种主流操作系统的应用程序数据进行取证,针对不同应用类型设计相应取证数据结构,可自动化解析以SQLite数据库、XML、Plist格式存储的原始数据,并以可视化的方式呈现给终端用户。目前,该系统支持主流的浏览器类、即时通信类、云客户端类以及移动支付类应用程序三十多种。