38、移动云取证与智能手机云交互数据恢复研究

移动云取证与智能手机云交互数据恢复研究

1. 移动云取证相关实验

在移动云取证的研究中，曾以三星Galaxy S3作为辅助设备开展实验。从其“system/framework”目录提取“services.jar”文件时发现，该设备的系统包中没有“classes.dex”文件。

为解决这个问题，采取了以下操作步骤：
1. 分别对“system/framework”和“system/app”目录中的依赖JAR和APK文件进行重新打包，将相应的“odex”文件进行反编译并作为“classes.dex”文件放入APK或JAR中。
2. 替换JAR和APK文件后，删除匹配的“odex”文件，触发安卓操作系统从每个应用或框架的包中重建“odex”文件。

之所以要进行这样的操作，是因为三星选择将系统框架或应用的源代码仅存储在优化后的“odex”形式中，而安卓操作系统默认会将所有“classes.dex”文件保留在主包中。三星采用的这种方法显著减少了“system”分区占用的空间。在实验中，为了用修改后的版本替换“services.jar”文件，总共需要替换175个项目，其中56个属于“system/framework”目录，其余119个属于“system/app”目录。通过一个监控“logcat”输出中“StaleDexCacheError”出现情况的脚本，成功实现了该方法，从而能够访问整个AccountManager API。

2. 云应用取证分析

以六个流行的云应用和一个密码同步应用为案例，实施了相关方法，以确定可以从安卓设备收集的取证工件类型。

2.1 云存储应用

• <