【手机取证】智能手机位置数据提取方法

文章关键词：手机取证、电子数据取证、云取证

一、前言

随着智能手机的普及，人们的生活方式和行为模式发生了巨大变化。智能手机不仅是通信工具，还是集成了多种传感器和定位技术的强大设备。这些设备每天都会产生大量的位置信息，这些信息不仅对于用户的日常生活至关重要，对于执法机构、数字取证专家和隐私研究人员来说也具有重要价值。

二、位置数据概述

2.1 位置数据的来源

智能手机可以通过多种途径获取位置数据，这些途径包括：

GPS（全球定位系统）：GPS是最常用的定位技术，依赖卫星信号提供精确的位置数据。智能手机内置的GPS接收器能够接收卫星信号，并通过三角测量算法计算出设备的具体位置。GPS提供的位置信息通常非常准确，尤其在开阔的户外环境中。

Wi-Fi：Wi-Fi定位依赖于附近的Wi-Fi网络信号。智能手机通过扫描周围的Wi-Fi网络，并与已知的Wi-Fi接入点数据库进行比对，从而估算出设备的位置。Wi-Fi定位在室内和城市环境中非常有效，特别是当GPS信号较弱或不可用时。

蜂窝网络：蜂窝网络定位通过手机与周围的基站信号进行三角测量。虽然这种方法的精度不如GPS和Wi-Fi定位，但它在信号覆盖范围广、GPS不可用的情况下仍能提供大致的位置数据。

蓝牙信标：蓝牙信标（如iBeacon）是一种低功耗的定位技术，通常用于室内定位。智能手机通过检测周围的蓝牙信标并测量信号强度来确定位置。蓝牙信标定位的精度较高，适用于需要精确定位的室内环境，如商场、博物馆等。

2.2 位置数据的格式

智能手机中的位置数据可以存储和传输为多种格式，其中常见的包括：

NMEA格式：NMEA是GPS设备常用的通信协议，用于传输位置信息。NMEA格式的数据包含多个字段，如经度、纬度、速度、时间等，通常以纯文本形式存储。每条NMEA数据记录以“$”开头，并由多个以逗号分隔的字段组成。

KML格式：KML是一种基于XML的文件格式，用于描述地理数据和可视化。KML文件可以包含地点、路径、区域等地理元素，并可以在Google Earth等地理信息系统（GIS）应用中查看。KML格式非常适合存储和分享复杂的地理信息。

GPX格式：GPX是一种基于XML的文件格式，用于交换GPS数据。GPX文件可以包含路点、路线和轨迹等位置信息，广泛用于GPS设备和应用程序之间的数据传输。GPX格式的数据结构清晰，易于解析和处理。

三、提取手机位置信息

提取智能手机中的位置数据可以通过多种方法进行，包括使用内置应用和服务、第三方应用以及手动提取。

3.1 内置应用和服务提取

现代智能手机操作系统通常内置了一些定位服务和应用，这些工具可以用来查找和管理设备位置。例如，Android的“Find My Device”服务允许用户通过Google账号查找、锁定和擦除丢失的设备，显示设备的当前位置或最后已知位置。类似地，Apple的“Find My”服务集成了“Find My iPhone”和“Find My Friends”功能，通过Apple ID登录可以查看设备的当前位置或最后已知位置，并进行远程操作，如播放声音、锁定设备或擦除数据。

3.2 龙信手机数据取证系统LX-A200提取

许多第三方取证软件可以帮助提取智能手机中的位置数据。这些软件通常具有更强大的功能和更广泛的适用性。本文以龙信手机数据取证系统LX-A200为例。

打开A200，连接设备。

连接后，选择需要提取分析的数据项

然后即可在证据查看器中查看到地理位置信息。

3.3 手动提取

在机内提取服务和第三方工具均无法提取时，可以通过手动方法从智能手机中提取位置数据。智能手机的备份文件通常包含大量用户数据，包括位置数据，分析这些备份文件可以提取出位置相关的信息。例如，Android设备的备份文件可以使用ADB工具提取，再使用相应的软件解析。

操作系统和应用程序通常会将位置数据存储在SQLite数据库中，通过访问设备文件系统，可以找到这些数据库文件，并使用SQLite、navicat等工具进行分析。手动提取方法灵活性高、成本低，但需要技术知识和经验，且可能需要更多时间和精力。

四、分析位置数据

4.1 数据处理

在提取到位置数据后，第一步是对数据进行清理和转换。清理数据包括删除重复记录、纠正错误数据和填补缺失数据。转换数据则涉及将数据格式统一，以便后续分析和应用。例如，将不同格式的位置信息（如NMEA、KML、GPX）转换为统一的格式，并确保所有时间戳使用相同的时区和时间格式。数据处理的目的是确保数据的一致性、准确性和完整性，为后续的分析和可视化打好基础。

4.2 数据可视化

一旦位置数据经过处理，就可以使用地图工具进行可视化。常用的地图工具包括Google Earth和ArcGIS，这些工具可以将位置数据导入并显示在地图上，以直观的方式展示数据。通过可视化，可以更容易地识别数据中的模式和趋势。例如，使用Google Earth，可以将位置信息绘制成轨迹路线，显示设备的移动路径；使用ArcGIS，可以对多个设备的位置数据进行叠加和分析，发现地理上的关联和分布情况。

4.3 数据关联

最后一步是将位置数据与其他相关数据进行关联分析，以揭示更深层次的信息。例如，将位置信息与时间线数据（如设备使用日志、通话记录、短信记录）结合，可以重建事件发生的全过程。通过这种关联分析，可以发现设备在特定时间和地点的活动模式，识别出潜在的行为模式和异常情况。此外，还可以将位置数据与照片元数据结合，确定照片拍摄的具体位置和时间，为调查提供更多线索。数据关联分析是位置数据应用的关键步骤，可以为执法、事故分析、市场研究等提供有力支持。

LX-A207明镜人物画像分析工作站就能很好达到这三个目标，它以手机取证数据为基础，集数据高效接入、数据查询、存储、多维智能分析于一体,可快速提炼出人、事、地、物、组织、虚拟标识等关键线索要素。而其中的时空轨迹分析模块，支持从地图信息及图片位置中，分析出最常去位置、休息时段位置；支持从涉案人员轨迹中自动挖掘轨迹路线、多人共同轨迹等信息，在搜索结果中支持上下文智能关联查看；可实现人员轨迹分析，多人共同轨迹分析。从而辅助办案人员快速印证犯罪事实，并以此为基础实现固证和进一步的线索挖掘。