查找:                      转第 显示法宝之窗 隐藏相关资料 下载下载 收藏收藏 打印打印 转发转发 小字 小字 大字 大字
【期刊名称】 《刑事技术》
国产及山寨手机中QQ聊天记录恢复、提取的探讨
【作者】 贾永生姚波
【作者单位】 北京市公安局刑侦总队北京市公安局刑侦总队
【中文关键词】 国产手机;山寨手机;手机QQ;恢复提取
【英文关键词】 domestic phones; knockoff phone; phone QQ; recovery; collection
【文章编码】 1008-3650(2013)01-0046-03【文献标识码】 A
【期刊年份】 2013年【期号】 1
【页码】 46
【摘要】 通过分析国产及山寨手机的软件结构特征,发现QQ数据的存储规律,结合实例介绍在国产手机、山寨手机上应用取证分析工具对QQ数据进行解析、提取的步骤、方法。
【英文摘要】 Based on analysis of software structure and the storage rule of QQ data on domestic and knockoff phones, themethod and procedure for recovery and collection of QQ data were introduced.
【全文】法宝引证码CLI.A.1247633    
  随着无线通讯技术的发展,手机QQ逐渐成为大众进行即时通讯交流的一种主要工具。因此,从手机中提取QQ聊天记录的案例在电子物证检验领域也在逐渐增多并成为一个新的研究课题。
  目前,国内应用的主流手机取证系统主要是针对市场占有率高的国际主流品牌手机进行数据获取,而对国内市场上充斥的主要以MTK平台为基础的国产品牌手机和山寨手机的检验却显得力不从心。在QQ数据的读取和解析方面,由于国外主流品牌手机软件系统的不开放性和较高的安全性特点,导致其在电子物证检验方面要更为复杂(作者将就该问题另文探讨,此处不再赘述)。而大量的国产品牌及山寨手机多采用MTK操作平台,其结构简单、技术落后,因而对这类手机的取证要相对容易。另外由于QQ软件的本土性特色,其主要用户群集中在中国,导致国外的取证软件也未对QQ数据的提取方法进行研究开发。
  基于以上原因,在对手机中的QQ聊天记录恢复、提取方面,没有成熟的取证系统可以应用。通过实践和研究,笔者发现以MTK平台为基础的国产和山寨手机上的QQ数据在其存储和解析等方面具有自身的特点,并具有普遍性,检验中可以依靠存储介质的取证分析工具进行恢复、解析和提取。本文结合实际案例对MTK平台下的国产和山寨手机中QQ数据的特征及其恢复、解析和提取的方法、步骤进行介绍(国产的智能手机将不在本次讨论的范围之内)。
  1 QQ数据在手机中的存储特征
  国产手机的机身存储器容量很小,一般依赖于扩展存储器(Mini SD、micro SD存储卡等)存储第三方应用程序和相关数据{1},故在这类手机中,QQ数据被存储在扩展存储器中,且其存储的文件夹结构和路径相对固定。基于这一特点,作者选用EnCase存储介质分析软件对手机的扩展存储器进行数据分析。
  通常情况下,QQ文件夹存储在扩展存储卡的“mythroad”路径下,在该路径下的QQ文件夹的命名会因为手机的品牌不同而有所差别,但都会包含“QQ”字样,如malata MG619-A型手机的QQ文件夹为\mythroad\QQ2008(QQ2009)文件夹,而山寨机或高仿机的QQ文件夹为\mythroad\MTKQQ,如Gocgle G5型手机。在QQ文件夹下会以本地登录的QQ号码为名称创建各个QQ号码的数据存储文件夹,用于存储该号码的全部用户信息和聊天记录。
  “图1”所示为malata MG619-A型手机上的QQ软件目录结构。从图1中左侧对话框可以看出,在\mythroad目录下包含有QQ2008和QQ2009两个文件夹,分别为2008版和2009版两个版本的QQ,其中QQ2008下包含有3个以数字命名的文件夹,均为从本地登录的QQ号码,其中存储该号码的全部数据内容。从右侧对话框中可以看到在QQ号码251359257下存储的文件及文件夹内容,其功能分别为:
  “GROUP”、“QUN”、“qunmember”3个文件用于存储群及群成员、群聊天记录等信息;
  “stranglist”文件中存储陌生人列表;
  “NEARLIST”文件中存储最近联系人信息;
  “USERDATA”文件中存储好友信息,包含昵称等内容;
  “CHATDATA”文件夹用于存储聊天记录文件。
  (图略)
  图1 QQ软件目录结构
  在每个本地登录的QQ用户文件夹下均有一个“CHATDATA”文件夹,其中存储的文件即为该用户的聊天对象数据,它以聊天对象的QQ号码命名,无文件扩展名,本地登录用户与每个聊天对象的聊天记录均记录在相应的聊天对象文件中。如“图2”所示为malata MG619-A型手机上本地登录的QQ号码251359

  ······

法宝用户,请登录后查看全部内容。
还不是用户?点击单篇购买;单位用户可在线填写“申请试用表”申请试用或直接致电400-810-8266成为法宝付费用户。
【注释】                                                                                                     
【参考文献】 {1}陈智鹏. MTK芯片开发指南[M].北京:人民邮电出版社,2010.
  {2}戴士剑,涂彦晖.数据恢复技术[M].北京:电子工业出版社,2005.
©北大法宝:(www.pkulaw.cn)专业提供法律信息、法学知识和法律软件领域各类解决方案。北大法宝为您提供丰富的参考资料,正式引用法规条文时请与标准文本核对
欢迎查看所有产品和服务。法宝快讯:如何快速找到您需要的检索结果?    法宝V5有何新特色?
本篇【法宝引证码CLI.A.1247633      关注法宝动态: