Android手机取证简介

在2014年，有超过二十亿的智能设备安装Android操作系统，占其市场总额的49%，这个数值在2015年已超过50%，使用Android系统的智能设备因*的功能以及对林林总总的应用软件的支持，成为了大多数人形影不离的电子产品，这也导致Android设备是记录个人信息最多的电子产品，不仅记录个人、公司信息等数据，还包括了众多的文字信息、电子邮件、GPS信息、照片、视频等大量数据。与此同时，针对智能设备的行为也越来越多。

Android取证技术从本质上分为逻辑技术和物理技术两类。逻辑技术是对所分配的数据进行挖掘，通常通过访问文件系统的手段来实现。所分配的数据是值那些没有被删除的数据，可以通过访问文件系统获取。这个定义的一个例外就是存储诸如SQLite 数据库的某些文件，虽然也属于所分配这一类型，但是其中仍然包含一些被删除的数据库记录。该类文件需要使用一些特殊的工具和技术来恢复其中已删除的数据，比如For SQLite手机数据恢复工具便可进行恢复SQLite数据库中已删除的数据。

物理技术直接将存储数据的物理介质作为目标，而不是依赖于文件系统来访问这些数据。物理技术最重要的优点就是可以访问到大量被删除的数据。文件系统通常会将数据简单地标识为已删除或已过时，而不是真正地将数据从存储介质上实际擦除，除非真正需要这样去做。由于物理技术的优势，使恢复被分配的数据以及未被分配的数据成为可能。当然，使用Android物理技术来获取设备数据时可能会因为任何不当的操作造成终端设备无法继续访问或使用。