Android Forensics
锁定设备
要开始从 Android 设备提取数据,设备必须解锁。如果设备被锁定,您可以:
数据获取
使用 adb 创建 android 备份 并使用 Android 备份提取器 提取:java -jar abe.jar unpack file.backup file.tar
如果有 root 访问或物理连接到 JTAG 接口
cat /proc/partitions
(搜索闪存的路径,通常第一个条目是 mmcblk0,对应整个闪存)。df /data
(发现系统的块大小)。dd if=/dev/block/mmcblk0 of=/sdcard/blk0.img bs=4096(使用从块大小收集的信息执行)。
内存
使用 Linux 内存提取器 (LiME) 提取 RAM 信息。它是一个应该通过 adb 加载的内核扩展。
Last updated