背景：
自從做了手機(jī)數(shù)據(jù)恢復(fù)與取證產(chǎn)品研發(fā)，身邊的朋友、客戶(hù)經(jīng)常會(huì)找我咨詢(xún)手機(jī)數(shù)據(jù)恢復(fù)的相關(guān)問(wèn)題，我會(huì)毫無(wú)保留的進(jìn)行交流，但也不敢夸下?？谑裁炊汲兄Z。上周，一個(gè)合作非常緊密公司的高管打電話(huà)給我，一個(gè)索尼手機(jī)不小心按了出廠(chǎng)設(shè)置，需要恢復(fù)里面的聯(lián)系人電話(huà)本。出廠(chǎng)設(shè)置就意味著把手機(jī)重新做了系統(tǒng)，跟電腦重裝系統(tǒng)類(lèi)似，數(shù)據(jù)恢復(fù)的難度可想而知。
技術(shù)分析:
索尼手機(jī)Xperia C3 S55T手機(jī)系統(tǒng)版本呢是安卓4.4.2，根據(jù)經(jīng)驗(yàn)，一般4.2版本以上的系統(tǒng)手機(jī)在恢復(fù)出廠(chǎng)后有可能會(huì)清零，幾乎恢復(fù)不出數(shù)據(jù)來(lái)。因?yàn)槭腔謴?fù)出廠(chǎng)設(shè)置，手機(jī)中原有的所有用戶(hù)數(shù)據(jù)都會(huì)被刪除且會(huì)重新生成空白的數(shù)據(jù)庫(kù)，直接提取數(shù)據(jù)庫(kù)肯定不行。我們需要把手機(jī)內(nèi)存全盤(pán)鏡像出來(lái)。
取得ROOT權(quán)限后，用達(dá)思手機(jī)數(shù)據(jù)恢復(fù)專(zhuān)業(yè)版順利做出手機(jī)的鏡像。接下來(lái)我們分析一下鏡像。開(kāi)始分析其存儲(chǔ)空間，只要?jiǎng)h除的文件沒(méi)有清0，都是有希望恢復(fù)的。
圖一 我們找到分區(qū)25 ，這里是用戶(hù)分區(qū)
一、安卓手機(jī)下聯(lián)系人到底是什么鬼?
圖二：安卓手機(jī)聯(lián)系人數(shù)據(jù)底層信息
從我們來(lái)看看聯(lián)系人的數(shù)據(jù)庫(kù)，在偏移24的位置發(fā)現(xiàn)這個(gè)數(shù)據(jù)庫(kù)被修改了82次，也就是說(shuō)在數(shù)據(jù)庫(kù)中的手機(jī)聯(lián)系人只有不到82個(gè)，因?yàn)榘?，?jīng)過(guò)驗(yàn)證，數(shù)據(jù)庫(kù)中只有索尼客戶(hù)服務(wù)聯(lián)系信息，總共6條。這么來(lái)看，這6個(gè)聯(lián)系人實(shí)際上是索尼出廠(chǎng)內(nèi)置的。
圖三、數(shù)據(jù)庫(kù)底層信息有三個(gè)聯(lián)系人信息
圖三驗(yàn)證了我們的判斷，聯(lián)系人數(shù)據(jù)庫(kù)已經(jīng)刪除并且重新建立了。要從數(shù)據(jù)庫(kù)找聯(lián)系人是不可能了，通過(guò)數(shù)據(jù)庫(kù)恢復(fù)的路已經(jīng)不通了。我們從數(shù)據(jù)分區(qū)入手進(jìn)行分析，看看有沒(méi)有柳暗花明呢?我們祈禱不要被清零吧。
圖四、查看分區(qū)25的空閑空間 居然沒(méi)有清零!
事實(shí)證明，這部索尼手機(jī)XperiaC3 S55T恢復(fù)出廠(chǎng)設(shè)置以后，并沒(méi)有執(zhí)行清0操作，這可是不幸中的萬(wàn)幸。
由于手機(jī)被執(zhí)行了恢復(fù)出廠(chǎng)設(shè)置了，因此手機(jī)中原有的數(shù)據(jù)庫(kù)已經(jīng)沒(méi)有指針指向，數(shù)據(jù)以無(wú)序的方式進(jìn)行存儲(chǔ)，還會(huì)產(chǎn)生大量碎片。雖然我們獲取了手機(jī)鏡像，雖然空閑空間沒(méi)有清0，但是要把零碎的數(shù)據(jù)組合起來(lái)還是一個(gè)很大的工程。
對(duì)手機(jī)鏡像分析的難點(diǎn)是聯(lián)系人數(shù)據(jù)庫(kù)contacts2.db的文件頭在哪里?存放聯(lián)系人數(shù)據(jù)的data表在哪里?data表中的聯(lián)系人數(shù)據(jù)如何匹配?如果數(shù)據(jù)庫(kù)存儲(chǔ)不連續(xù)要怎么處理?其它位置有沒(méi)有聯(lián)系人的殘留數(shù)據(jù)?
下面我們來(lái)解決這些問(wèn)題。手機(jī)在保存聯(lián)系人時(shí)會(huì)有姓名和電話(huà)。通過(guò)在鏡像中搜索特定的姓名和電話(huà)，就能找到相關(guān)的data表碎片，如圖五所示。
圖五：在空閑空間中搜索特定的聯(lián)系人信息
確定以后把符合聯(lián)系人的空間全部提取，再做相關(guān)的整理。
圖六：在空閑頁(yè)中找到的聯(lián)系人信息位置
接下來(lái)是整理聯(lián)系人數(shù)據(jù)，我們把電話(huà)號(hào)碼和姓名對(duì)應(yīng)起來(lái)。其實(shí)無(wú)論數(shù)據(jù)庫(kù)是否連續(xù)，data表是否連續(xù)，或者其它位置是否有聯(lián)系人數(shù)據(jù)，都通過(guò)這種準(zhǔn)確的搜索可以把以上問(wèn)題解決掉。事實(shí)證明，這種數(shù)據(jù)搜索和整理技術(shù)，可以很精確的定位碎片中的指定信息。通過(guò)強(qiáng)大的整理功能，把得到的數(shù)據(jù)分類(lèi)匯總。
最后，這部索尼手機(jī)成功恢復(fù)了一千多條聯(lián)系人，超過(guò)90%的數(shù)據(jù)。
關(guān)于達(dá)思科技
達(dá)思科技，國(guó)家級(jí)高新技術(shù)企業(yè)，天津市國(guó)家保密局涉密載體數(shù)據(jù)恢復(fù)唯一協(xié)作單位，數(shù)據(jù)恢復(fù)行業(yè)著名品牌，在國(guó)內(nèi)乃至全亞洲數(shù)據(jù)恢復(fù)技術(shù)領(lǐng)先!
達(dá)思科技中國(guó)數(shù)據(jù)恢復(fù)與取證真專(zhuān)家!熱線(xiàn)：4007000017
更多數(shù)據(jù)恢復(fù)與取證前沿技術(shù)請(qǐng)關(guān)注微信公眾賬號(hào)：woocs
微信號(hào)：woocs
長(zhǎng)按識(shí)別二維碼關(guān)注
專(zhuān)注數(shù)據(jù)恢復(fù)與取證技術(shù)、互聯(lián)網(wǎng)
投稿：woocs@qq.com
