11、Android 手机取证指南

Android 手机取证指南

1. 重要目录及证据查找

在 Android 手机取证过程中，有几个特定的目录可能包含重要证据：
- /DATA ：该分区包含用户数据，如联系人、短信、设置以及所有安装的 Android 应用程序。若对设备进行恢复出厂设置，此分区的数据将被清除。部分证据可能存储在 SQLite 数据库中。其中，/data/app 目录包含非厂商预装的应用；/data/data/ /databases 包含特定应用的数据库。
- /CACHE ：Android 系统会在此分区存储频繁访问的数据和应用组件。清除缓存不会影响个人数据，且缓存会在后续使用中自动重建，有时这能揭示一些有趣的证据。
- /MISC ：该分区以开关形式包含各种系统设置，如 CID（运营商或地区 ID）、USB 配置和某些硬件设置等。
- /MNT ：若手机有 SD 卡（内部或外部），可在此查看其状态。常见的子目录如下：
- /mmt/asec：加密应用
- /mmt/emmc：内部 SD 卡
- /mmt/sdcard：外部/内部 SD 卡
- /mmt/sdcard/external_sd：外部 SD 卡

以下是这些目录及其可能包含证据的总结表格：
| 目录 | 内容描述 | 可能包含的证据 |
| ---- | ---- | ---- |
| /DATA | 用户数据、应用程序 | 联系人、短信、应用数据库 |
| /CACHE | 频繁访问的数