方冬蓉,张秋余,董瑞洪,文 森

(兰州理工大学计算机与通信学院,兰州730050)

Android系统删除数据恢复方法研究

方冬蓉,张秋余,董瑞洪,文 森

(兰州理工大学计算机与通信学院,兰州730050)

随着移动通信技术的发展和应用的推广,手机犯罪成为新的犯罪趋势,手机取证是打击该类犯罪的一个有效手段。直接调用API方法不能恢复Android手机数据,现有方法存在无法恢复删除数据部分被覆盖的问题。为此,通过分析Android系统SQLite数据库的文件结构和数据记录的寻址方式,提出一种Android系统删除数据恢复方法,即探测估算预提取数据所在表的每个Type字段,提取恢复删除数据,结合尽最大努力恢复方法,针对删除数据部分被覆盖的情况,讨论其恢复的可能性并进行获取。在Android手机模拟器上进行验证,结果表明,该方法能成功恢复删除数据,与传统方法相比,在不影响信息提取精确度的前提下,提高了删除数据的恢复率。

手机取证;Android系统;SQLite数据库;数据删除;逻辑提取;物理提取

1 概述

当前,智能手机随着其功能越来越强大且便携,手机成为犯罪分子的一种新型作案工具,为打击犯罪,手机取证显得尤为重要。所谓手机取证是指在健全的取证环境中,使用恰当的方法从手机及相关设备中提取并恢复数字证据的科学[1]。这些数字证据包括通话记录、短信息、电话簿等。

在手机取证中,最重要的是删除数据的恢复。目前,国内外已有不少研究人员对手机数据提取恢复进行研究,文献[2]指出由于手机操作系统的权限问题,只能提取系统允许访问的内容,称为“逻辑提取”。……