Android Forensics
Zablokowane Urządzenie
Aby rozpocząć ekstrakcję danych z urządzenia z systemem Android, musi być ono odblokowane. Jeśli jest zablokowane, można:
Sprawdzić, czy urządzenie ma aktywowane debugowanie przez USB.
Sprawdzić możliwy atak smugowy
Spróbować z Brute-force
Pozyskiwanie Danych
Utwórz kopię zapasową Androida za pomocą adb i wyodrębnij ją za pomocą Android Backup Extractor: java -jar abe.jar unpack file.backup file.tar
Jeśli jest dostęp do roota lub fizyczne połączenie z interfejsem JTAG
cat /proc/partitions(znajdź ścieżkę do pamięci flash, zazwyczaj pierwszy wpis to mmcblk0 i odpowiada całej pamięci flash).df /data(Odkryj rozmiar bloku systemu).dd if=/dev/block/mmcblk0 of=/sdcard/blk0.img bs=4096 (wykonaj to z informacjami zebranymi z rozmiaru bloku).
Pamięć
Użyj Linux Memory Extractor (LiME), aby wyodrębnić informacje o pamięci RAM. Jest to rozszerzenie jądra, które powinno być załadowane za pomocą adb.
Last updated