[发明专利]基于内存分析的安卓App历史屏恢复与取证系统

说明书

基于内存分析的安卓App历史屏恢复与取证系统，本发明涉及安卓App历史屏恢复与取证系统。本发明的目的是为了解决现有安卓手机ROOT权限、取证系统不具有通用性、某些取证系统其内存提取信息较少以及针对特定App的取证方法不具有通用性的问题。系统包括安卓内存提取子系统、内存证据存储子系统和安卓App历史屏恢复与取证子系统；安卓内存提取子系统用于对目标App的内存空间进行完整提取；内存证据存储子系统用于对安卓内存提取子系统提取的文件内存证据进行存储；安卓App历史屏恢复与取证子系统用于利用MVC架构中的模型来实现App历史屏恢复与取证。本发明用于安卓App历史屏恢复与取证领域。

技术领域

本发明涉及安卓App历史屏恢复与取证系统。

背景技术

随着移动互联技术与安卓移动终端的普及，基于手机的计算机犯罪违法行为滋生迅速。相关案件中，某些重要证据遗留在手机或手机应用中：据统计美国70％的犯罪涉及移动数字取证，在英国则高达90％。在这样的背景下，如何有效可靠的进行移动终端取证成为应用安全领域的一个研究热点。

目前安卓系统内存提取，存在诸多弊端：问题1、安卓手机ROOT权限，目前ROOT的手机较少；问题2、取证系统不具有通用性，不能适用于安卓系统的不同版本；问题3、某些取证系统其内存提取信息较少，无法满足特定App取证的要求；问题4、针对特定App的取证方法不具有通用性，大都针对某款特定App开发，无法适用于其它App的取证。

发明内容

本发明的目的是为了解决现有安卓手机ROOT权限、取证系统不具有通用性、某些取证系统其内存提取信息较少以及针对特定App的取证方法不具有通用性的问题，而提出基于内存分析的安卓App历史屏恢复与取证系统。

基于内存分析的安卓App历史屏恢复与取证系统包括安卓内存提取子系统、内存证据存储子系统和安卓App历史屏恢复与取证子系统；

安卓内存提取子系统用于对目标App的内存空间进行完整提取；

内存证据存储子系统用于对安卓内存提取子系统提取的文件内存证据进行存储；

安卓App历史屏恢复与取证子系统用于根据安卓内存提取子系统提取的目标App的内存空间和内存证据存储子系统存储的文件内存证据，利用MVC架构中的模型来实现App历史屏恢复与取证。

本发明的有益效果为：

本发明公布了一种基于内存信息对安卓App进行历史屏恢复的方法，以此为基础提出一种安卓App取证架构。基于内存提取的安卓App历史屏幕取证架构分为三个部分：(一)安卓内存提取子系统，(二)内存证据存储子系统，(三)安卓App历史屏恢复与取证子系统，分别实现安卓内存提取，原始内存证据存储，以及App历史屏恢复与取证功能。该取证方法利用MVC架构中的Model模型来实现，这保证了与安卓App的具体实现无关性，使取证具有通用性。本发明公布的基于内存的安卓App历史屏幕取证方法与架构，对于保证安卓App安全、保证App业务的可审计性，具有重要意义，应用前景广阔。

解决了问题1提出的安卓手机ROOT权限，目前ROOT的手机较少的问题；以及问题2提出的取证系统不具有通用性，不能适用于安卓系统的不同版本的问题；

与传统的内存取证方式不同，本发明的目标不仅是内存取证，而最终需要将内存中保留的特定App相关的数据结构恢复成为历史屏幕图像。这使本发明的内存提取方法具有如下特点：1、不仅需要提取特定App的MEM内存镜像文件，还要对其MAPS内存映射文件进行提取以便内存的分段执行；2、因为历史屏恢复需要对目标App的运行时环境进行最大程度的还原，所以内存提取要完整。3、本发明公布的内存提取方法无论Stack段、Heap段、数据段或是代码段，全部进行提取。

解决了问题3提出的某些取证系统其内存提取信息较少，无法满足特定App取证的要求的问题；