網絡犯罪案件中智能手機取證的應用

滿超 郭永帥

摘 ?要：互聯網已經越來越深地融入了人們的日常生活、工作中，移動支付已經深刻地改變了人們的生活方式，智能手機已經成為人們日常生活中必不可少的物品，利用智能手機進行網絡犯罪的案件也不斷增多。智能手機的廠商、型號及版本系統各不相同，數據存儲方式也不同，給取證人員進行電子數據取證增加了難度。對網絡犯罪案件中智能手機的取證流程以及涉案手機數據包信息進行研究，為公安機關在網絡犯罪案件中智能手機取證方面提供參考。

關鍵詞：網絡犯罪;智能手機;電子數據;取證

中圖分類號：TP316;D917.6 ? ? ?文獻標識碼：A 文章編號：2096-4706（2020）21-0169-03

Application of Smartphone Forensics in Cybercrime Cases

MAN Chao，GUO Yongshuai

（Anhui Public Security Education Research Institute，Hefei ?230088，China）

Abstract：The internet has become more and more deeply integrated into peoples daily life and work. Mobile payment has profoundly changed peoples lifestyles. The smartphone has become an indispensable item in peoples daily lives，and the number of cybercrimes using smartphone has also increased. Smartphone manufacturers，models，and version systems are different，and data storage methods are also different，making it more difficult for forensics personnel to conduct electronic data forensics. Research on the evidence collection process of smartphone in cybercrime cases and the data packet information of the mobile phones involved in the case，to provide reference for public security organs in collecting evidence from smartphone in cybercrime cases.

Keywords：cybercrime;smartphone;digital data;forensics

0 ?引 ?言

隨著網絡逐步地融入我們的日常生活，網絡犯罪的形式將更加多樣，侵犯的領域將繼續擴展，造成的危害也將更加嚴重[1]。隨著智能手機的廣泛應用和5G技術的發展，利用智能手機從事的售假、電信詐騙等違法犯罪活動也隨之日益高發。由于智能手機儲存著使用者的銀行卡號、通訊錄、私人照片等大量重要信息，而且可以通過網絡與其他設備進行通信[2]，因此，利用智能手機進行的網絡犯罪案件形式多樣、犯罪獲利大、隱蔽性強，上述問題是網絡犯罪案件中辦案人員偵察取證的難點。通過本次安徽省公安教育研究院的課題研究，對網絡犯罪案件中智能手機的取證流程和取證數據進行分析，挖掘案件線索，為案件偵查提供技術支持和證據支撐，對服務公安實戰部門有較強研究價值。

1 ?網絡犯罪案件中智能手機取證的研究意義

隨著網絡技術的不斷創新與發展，新的犯罪手法和犯罪趨勢不斷涌現，智能家居、物聯網等新興技術產業面臨著嚴峻的網絡安全威脅。伴隨著5G時代的來臨，人們在出行、支付、購物、通信時更多的依賴智能手機。智能手機給人們帶來便利的同時，利用智能手機進行的網絡犯罪也愈發猖獗。因智能手機存儲著使用者的銀行卡號、通訊錄、即時通信軟件賬號及大量私人照片，所以智能手機已經成為犯罪分子進行網絡犯罪的工具。但由于智能手機的生產廠商、機型型號、系統版本各不相同，其數據的存儲方式也有所不同，給公安機關辦案人員偵查取證帶來了新的挑戰[3]。更好地對網絡犯罪案件中的智能手機進行取證，獲得全面、完整、客觀的電子證據，對服務公安實戰有較強的實踐研究意義。

2 ?網絡犯罪中的智能手機取證流程

智能手機是指內嵌操作系統，具備運算、通信、存儲、拍攝等功能的方便攜帶的智能化設備。智能手機生產廠商眾多，產品類型多種多樣，不能以廠商或者產品加以區別，但智能手機具備以下特點：（1）數據的動態性;（2）存儲方式的多變性;（3）系統的封閉性。

2.1 ?智能手機取證流程

圖1為在偵查中對智能手機數據的收集提取的基本流程。

智能手機取證，是指針對智能手機的內部存儲、外部存儲、附屬設備中的電子數據，進行獲取、分析并固定的過程。

2.1.1 ?智能手機數據手機提取準備

在對涉案的智能手機進行取證前，偵查辦案人員需要全面、客觀地了解案情，根據掌握的手機數據情況以及可能存在的涉及手機數據的相關線索，提前做好相關準備工作，包括人員準備、案情了解、法律文書準備、勘驗工具準備等。

2.1.2 ?智能手機現場保護

在辦案實踐中，需要對待檢手機進行隔離和信號屏蔽。隔離手機首先是切斷目標手機與其他設備的連接，防止數據同步導致新數據對當前數據的污染。常見的手機同步是通過數據線與計算機同步，以及通過網絡與云端存儲空間進行數據同步。一般對手機進行隔離的方法有開啟飛行模式或直接關機。

2.1.3 ?智能手機現場勘驗

在對涉案手機進行現場勘驗時，首先要對待檢的手機進行拍照固定，然后確認手機所處狀態，已經開機的手機仍要保持開機狀態，處于關機狀態的手機可以對外部存儲進行鏡像，然后對鏡像文件進行分析取證。其次，確保手機信號處于屏蔽或者關機狀態，防止外界數據對待檢手機的原始數據造成污染。

2.1.4 ?智能手機的數據提取

對待取證的智能手機進行數據提取一般通過數據線，將待取證手機與取證主機連接后，使用取證軟件，例如DC-4501等，對手機內的信息進行導出和固定，然后再對導出后的數據進行分析，獲得與案件有關的線索。

2.2 ?iOS系統和Android系統智能手機取證模型

現階段智能手機基本都是使用iOS系統和Android系統;iOS是由蘋果公司開發的操作系統，Android是Google開發的基于Linux平臺的開源移動操作系統。下面以iOS和Android為例，介紹智能手機取證的模型。

2.2.1 ?iOS系統智能手機取證的基本流程

對iOS設備進行數據提取，首先要安裝iTunes;其次要保證設備屏幕鎖已打開。使用iTunes提取智能手機中的文件系統備份來完成數據獲取操作，對提取到的數據進行分析。圖2為iOS系統智能手機取證的一般模型。

并非所有的iOS智能手機中的數據都可以通過iTunes備份的方式進行獲取，例如某些權限控制比較嚴格的即時通信工具，無法通過iTunes備份的方式獲取數據，則可以嘗試通過“越獄”的方式進行獲取，但是對iOS智能手機進行“越獄”操作存在一定的風險，可能會造成數據的損壞。

2.2.2 ?Android系統智能手機取證的基本流程

目前大部分取證工具對Android智能手機進行取證一般都遵循這個步驟：首先對待取證手機進行USB調試模式，USB調試模式是Android提供的一個用于開發工作的功能，使用該功能可在計算機和Android設備之間復制數據、讀取數據等等。在Android手機中，用戶獲取root權限后可以對手機中的文件數據進行備份。一般在手機設置中會有“權限管理”設置，點擊打開，然后就可以獲取root權限，進而提取數據進行分析。圖3為Android系統智能手機取證的一般模型。

2.3 ?智能手機取證時注意事項

第一，在現場勘驗階段，辦案取證人員應首先確認目標手機安全，比如在一些案件中，手機是爆炸的引爆器;第二，待檢測的智能手機在進行取證之前應當放在電磁信號屏蔽環境中或者關機，在取證過程中應當將SIM卡移除或者開啟飛行模式，保證智能手機的初始狀態不發生改變，原始數據不被污染;第三，仔細勘驗現場，關聯現場中出現的其他物證、書證與智能手機使用者和智能手機之間的關系。

3 ?網絡犯罪中的智能手機取證的信息應用

在網絡犯罪案件中，涉及智能手機的犯罪行為主要有三種，第一種是使用智能手機作為犯罪行為實施過程中的通信工具;第二種是將手機用作存儲介質;最后一種方式是通過智能手機發送信息進行詐騙、騷擾和病毒傳播。而在這幾種犯罪的取證檢驗工作中，手機取證的電子證據來源主要有三個：手機的SIM卡、手機內存和手機的擴展存儲卡。

3.1 ?SIM卡信息

智能手機與SIM卡共同構成移動通信終端設備[4]，并且SIM卡提供了存儲文本信息的空間。智能手機用戶可以將部分信息、通訊錄中常用聯系人信息等存儲在SIM卡上，可用常用的SIM卡取證軟件Cell Seizure、SIMcon、DC-4500等對SIM卡中的重要信息進行獲取。圖4為DC-4500獲取到的SIM卡信息。

3.2 ?手機機身內存信息

除了SIM卡中存儲的信息外，手機內存也包含著用戶數據，它主要用來存放從SIM卡中釋放出來的數據[5]，還可以用于存儲通訊錄、通話記錄等。正常情況下手機內存保存的數據主要包括電話設置信息，日歷信息，短信、彩信信息，呼叫記錄，時間日期應用程序的可執行文件等信息，使用較常用的取證系統如DC-4500手機取證系統對手機機身信息進行提取，圖5為DC-4500獲取到的智能手機機身內存信息。

3.3 ?手機擴展卡信息

由于SIM卡與手機內存的容量有限，手機存儲卡已經成了手機的標配之一。通常存儲卡中包含的多是音頻、視頻、圖片、文檔等信息[6]。對存儲卡進行檢驗時需要安裝有USB的只讀鎖，然后將存儲卡和讀卡器相連，繼而對存儲卡信息進行讀取。圖6為DC-4500獲取到的智能手機擴展卡信息。

4 ?結 ?論

人們的日常生活已經越來越離不開智能手機，針對智能手機取證的工作質量將直接影響網絡犯罪案件的偵破效果。在網絡犯罪案件中對智能手機采用規范的流程進行取證，并且全面、完整、客觀的獲取網絡犯罪案件中智能手機取證信息，可以為網絡犯罪案件的偵察提供電子數據支撐，與其他物證構成完整的數據鏈，對實際偵破網絡犯罪案件起到重要作用。

參考文獻：

[1] 李建軍，熊俊.涉疫情類電信網絡詐騙犯罪案件偵查對策研究 [J].江西警察學院學報，2020（5）：15-21.

[2] 夷冰倩.智能手機中刑事電子數據搜查規范研究 [J].公安學刊（浙江警察學院學報），2019（4）：77-81.

[3] 陳瑞君.Android手機數據取證應用研究 [D].蘭州：甘肅政法學院，2019.

[4] 董立波，羅潔，邵永軍.SIM卡中信息提取方法的研究 [J].刑事技術，2007（2）：29-31.

[5] 張鶴.電子數據取證勘查調研綜述 [J].電腦知識與技術，2020，16（28）：34-38.

[6] 顧偉超.手機數據應用下的司法取證方法 [J].計算機產品與流通，2020（3）：102.

作者簡介：滿超（1995—），男，漢族，安徽合肥人，助教，碩士在讀，研究方向：網絡安全;郭永帥（1992—），男，漢族，安徽合肥人，講師，碩士研究生，研究方向：網絡安全。