当前位置: 首页 > 新闻中心 > 技术分享 > 【美亚技术分享】第二十九期:应用程序通用解析工具在手机取证中的应用

【美亚技术分享】第二十九期:应用程序通用解析工具在手机取证中的应用

【美亚技术分享】第二十九期:应用程序通用解析工具在手机取证中的应用

编者按:本期感谢美亚柏科技术专家在此与大家分享应用程序通用解析工具在手机取证中的应用的相关知识,也欢迎各路技术大咖或技术爱好者前来交流!

能手机的使用已经渗透到人们生活的各个角落,各种各样的应用程序不断推陈出新,而传统手机取证软件往往需要等待更新,或增加对应用程序及其新版本的支持后才能进行取证。


这时,我们迫切地需要一款足够智能、全能的工具,无需等待支持率更新,就能支持某个应用新版本数据,甚至某个新应用数据的解析,应用程序通用解析工具就这么应运而生了。

本工具支持自动检测手机安装的应用,支持浏览和下载应用文件,可自动筛选出数据库、Plist等重要数据文件,并支持数据库删除数据恢复功能。本文将对该工具的使用做些简单介绍。


1应用程序通用解析工具调用入口

该工具属于文件分析工具,在目前美亚柏科手机取证全系列产品的工具集中已经集成,如下图:


图1:调用入口



2应用程序通用解析工具首页简介

在本页面可以进行解析方式的切换,分为在线解析和离线解析。在线解析时会显示设备的型号、系统、权限状态;离线解析时会显示所选的文件夹名称、路径、最后修改时间。鼠标悬停在应用图标上,可以预览到应用的应用名、包名、版本号。


图2:首页-默认


1、在线解析:点击切换到手机解析,插入设备时会自动切换到该模块。

(1)自动检测设备连接:目前只支持单设备解析,如果已经连接了一部设备,那么再插入一部新设备时将不再进行连接。


图3:首页-正在检测设备


(2)支持Android已Root设备的应用解析


图4:首页-在线解析(Android)


(3)支持iPhone已越狱设备的应用解析

图5:首页-在线解析(iPhone)


2、离线解析:点击可以选择指定文件夹进行解析,支持拖拽文件夹到首页进行解析。

图6:首页-离线解析


3应用程序文件列表浏览页面简介

在本页面可以浏览某个应用的详情,包括它的应用名、包名、版本号及完整文件目录,并智能筛选出所有的数据库文件与Plist文件,数据库文件、Plist文件支持双击打开的操作。本页面支持文件搜索功能,同时支持关键字搜索与通配符匹配搜索。文件列表所有字段均支持排序功能。


1、完整文件目录:支持浏览某个应用所有的文件夹、文件结构。

图7:应用详情页-完整文件目录


2、数据库文件:智能筛选出某个应用所有的数据库文件。


图8:应用详情页-数据库文件


3、Plist文件:智能筛选出某个应用所有的Plist文件。

图9:应用详情页-Plist文件


4、文件搜索:同时支持关键字搜索与通配符匹配搜索,输入完需要搜索的信息按Enter键开始搜索。清空编辑框再按Enter键可以清空文件搜索节点,或直接在编辑框按Esc键同样可以清空。


图10:应用详情页-文件搜索


4数据库文件内容浏览页面简介

双击打开某个数据库文件后进入该页面,可以浏览该数据库文件所有的表信息,具有自动恢复删除数据的功能。该页面也支持点击“打开文件”按钮浏览指定的数据库文件,支持拖拽数据库文件到该页面进行解析。选中某张表后,点击“导出当前数据表”按钮可以导出该表的CSV报表到指定位置。点击“导出所有数据表”可以导出该数据库所有表的CSV报表到指定位置。数据库所有字段均支持排序功能。


图11:数据库详情页



图12:示例-导出所有数据表



图13:示例-导出的CSV报表内容


5Plist文件内容浏览页面简介

双击打开某个Plist文件后进入该页面,可以浏览该Plist文件的内容。该页面也支持点击“打开文件”按钮浏览指定的Plist文件,支持拖拽Plist文件到该页面进行解析。点击“导出TXT”按钮可以将Plist文件的内容导出成TXT文档到指定位置。

图14:Plist文件详情页

小结

应用程序通用解析工具作为手机取证产品的补充,可以让用户不必苦苦等待产品支持率的更新,也能快速、及时地使用该工具获取到所需的关键信息,为手机调查分析取证提供有力支持。