Android2021-02-15T23:19:07+08:00

Android提取概念介紹

本系列文章主要協助鑑識人員熟悉Cellebrite UFED 4PC提供的Android資料提取工具

20日2022 8月

Android 檔案系統加密機制

2022年 8月 20日|Tags: , |

為加強用戶資料的保護,最早從 Android 4.4 版本開始,裝置上的使用者資料導入了「對稱式加密(Symmetric Encryption)」的加密方式保護。 加密機制一旦啟用,所有使用者產生的資料在將其提交到儲存空間之前都會自動加密,並且所有資料讀取都會回到系統之前自動解密完成。 加密機制確保即使未經授權的一方試圖讀取資料,也只能取得到無法辨識的亂碼內容。

4日2022 8月

Android 作業系統基本架構 – 開機流程與分區說明

2022年 8月 4日|Tags: , , , |

裝置開機後進到 Android 作業系統有一連串的過程,每一個環節都是為了確保裝置的安全性。本篇文章會針對開機驗證 (Verified Boot) 是如何確保開機過程執行的每一個程式皆來至於合法來源,另外也會說明 BootRom 與 Partitions 在開機過程的順序與賦予的功能。透過本篇的說明,最後就可以理解 Rooting 與 Unlock Bootloader 的差異。

9日2022 6月

使用 Python Script 解析 Android APP 使用紀錄 – usagestats

2022年 6月 9日|Tags: , , , |

在一般的數位鑑識過程,都希望可藉由提取 APP 所產生的資料,如照片或聊天內容,找出關鍵證據。但行動裝置除了使用者操作 APP 時所產生的內包含著重要資料外,系統本身也會追蹤並記錄使用者與 APP 互動歷程,以提供最佳的使用者體驗。本篇說明了如何使用 Python Script 解析 usagestats 資料夾內的檔案。

15日2021 2月

Batch 自動備份與安裝 Split APKs 應用程式套件

2021年 2月 15日|Tags: , , |

批次檔(英語:Batch file),在DOS、OS/2、微軟視窗系統中,是一種用來當成手稿語言運作程式的檔案,若善用 Batch 功能可自動化並簡化 Windows 系統下日常的作業。本篇將介紹如何使用 Batch 自動下載與安裝 Split APKs ,原本繁雜的流程可大幅簡化並增高提取成功率。

6日2021 1月

如何備份與安裝 Android Split APKs 應用程式套件

2021年 1月 6日|Tags: , , , |

有鑒於近期許多鑑識同仁反應,依 Cellebrite APK Downgrade深入探討 v 1.1 文章內的說明,在進行 Android APK Downgrade 後,當重新安裝備份出之多個 APK 檔案回裝置時常常會失敗,本篇內容將介紹兩個模式取代原有 adb 指令安裝方式,可大幅提升安裝 App 之成功性。

29日2020 11月

如何破解 Android WeChat 資料庫

2020年 11月 29日|Tags: , , |

微信 (WeChat) App 在 Android 平台上採取不同於 iOS 資料保護方式,為提供更安全的資料防護,Android 平台上會採加密方式儲存 EnMicroMsg.db 資料庫 (該資料庫內有所有的對話內容);而在 iOS 平台上則套用 Apple 既有的 File Based Encryption 加密機制保護,並不會針對資料庫做額外的加密處理。

28日2020 6月

Cellebrite UFED 華為裝置提取實戰守則

2020年 6月 28日|Tags: , , , , , |

Cellebrite 在 UFED 7.8 版本已針對 Kirin 裝置提供了 Decrypting Bootloader 提取機制,可做到物理提取上鎖的 FDE 裝置。而 Cellebrite UFED 在 7.30 版本導入了另一項領先業界的取證技術,使鑑識人員能夠從配備 Kirin 晶片組且採用 FBE 的華為旗艦裝置上,執行 Full File System (FFS) 完整檔案系統提取。本篇文章詳細說明不同提取方式如何對應到各種不同等級的華為裝置。

20日2020 2月

Cellebrite APK Downgrade 深入探討 – Rev. 1.1

2020年 2月 20日|Tags: , , , |

如在檔案系統提取所述,APK降版是不得不的提取模式,在其它提取模式皆無法成功後,最後才考量採用APK Downgrade。因降版有一定的風險,早期若操作過程不慎失敗,可能會導致無法再次進行降版提取.本篇主要介紹 Android App Bundle,如何透過 adb 指令集備份 aab 檔案,並在 APK Downgrade 後恢復原本安裝之 APP。

6日2020 2月

EDL Extraction物理提取說明

2020年 2月 6日|Tags: , , , |

Cellebrite提供多種物理提取方式,大致上可以分為三大類型,ADB、Recovery、Bootloader。而EDL是針對Qualcomm晶片組設計的物理提取模式,該模式除了可以繞過螢幕鎖外,FDE加密裝置也可透過bootloader漏洞進行解密提取,是鑑識人員必須熟悉的進階提取模式之一。

14日2019 7月

EDL提取 – EDL Extraction FAQ

2019年 7月 14日|Tags: , , , , |

基本EDL提取概念介紹,本FAQ包含了non-decrypting、decrypting提取概念說明及基本理論。Cellebrite的Decrypting EDL模式是否可以提取加密的裝置? 最後說明了螢幕鎖與Secure Startup的差異與該加密方式的限制與衝擊。

25日2019 6月

Cellebrite 4PC Android提取功能簡述

2019年 6月 25日|Tags: , , , |

Android手機資料提取方式,與iOS相較下,都較為複雜。原因在於廠牌與型號眾多,OS版本更新速度不一。另外,Android手機處理器(CPU)就有四大品牌,Qualcomm、MTK、Exynos、Kirin,而每個品牌在不同規格的手機又有不同等級的CPU對應。

17日2019 6月

Cellebrite LockPick 繞鎖功能

2019年 6月 17日|Tags: , , , , , |

隨著Android作業系統升版與安全修補程式快速發布,手機取證領域在過去幾年中發生了巨大變化。 尤其在安全性更新上,每次修正後會讓硬體加密功能更加難以破解。而隨著手機與平板的價錢普及化,一個同時人擁有新舊版本的Android裝置已為常態。這代表若要建立一個犯罪側寫,使用多面向的技術與提取格式會是日常的一環。

Go to Top