厦门培训日记4（2016-11-4）

昨晚慢悠悠地喝茶看书，准备动笔的时候已经是凌晨，于是倒头便睡了过去。今天还是决定将日记补上，要不时间长了根本记不住上课讲了什么，以下所称的今天即为11月3日。

一、取证魔方实践操作

今天美亚提供了5台取证魔方用于随堂实践操作，练习项目主要有硬盘复制、镜像复制、目标硬盘数据擦除、哈希值校验、数据分析、模拟启动、精灵优盘的使用等。

由于我们大防城港只有我一个名额参加，人数不占优势，因此并没有分配到设备，只能凑到其他大局旁边看热闹。说是看热闹也稍显谦虚，我每天总结笔记的优势竟然发挥了作用。虽然没有亲手操作，但几乎每一个步骤我都清楚下一步如何操作，并及时插话纠错，看来前几天的课程没有白学。

大局同仁在复制硬盘的时候，差点没有选择计算哈希值（MD5）。不计算哈希值就复制硬盘的话，到时候怎么对比复制的数据一致性啊，这复制到的数据还有什么司法效应啊。同仁很轻松地说，没事的，练习而已。

哎哥们，你这就不对了，为什么就不能一步到位、精益求精呢？如果无法证明获取的数据与原始数据一致，那如何用于做证据呢。咱得对做事持着一种认真的态度，一丝不苟按规定操作。再说了，如果一次没做好，再重复一遍，虽然不是什么错，但很明显影响了效率。

最终同意先选择哈希值计算再点击复制按钮，不过人家选择的是更为严谨的SH-1计算，而不是最常见的MD5。嗯，个性，就是要跟我意见不同。

对了，在此要纠正一下昨天说的精灵优盘，这货也是个噱头。昨天说这优盘往电脑上一插就可以神不知鬼不觉地把有关的文件源源不断地复制过来，今天了解到的是：它只能获取文件名，而不是文件本身。

我勒个去，能获取文件名算什么神器啊！

想想也是，一个优盘能有多大，而且拷贝文件也需要时间，能做到复制文件名也算完成它使命了，只是这功能与我们伟大的AIC事业的需求就相隔越来越远了。

二、手机取证

下午学习手机取证，老师分别演示了苹果手机、安卓手机和山寨机与电脑连接后，通过取证大师软件读取手机里的信息和文件。

iPhone手机的密码破解：对于iPhone4S以前的机型，先进入DFU模式，然后用手机取证大师。对于4S及以后且系统为IOS8.1.3以前版本的的机型，也可以通过工具包的软、硬件工具进行破解。

此外，如果该手机曾经连接过电脑进行备份的，也可以找到备份文件，然后对备份文件进行破解（IOS8以前的，找lockdown文件夹）。

对于安卓手机，首先打开USB调试模式，然后连接电脑并安装驱动，此为前期步骤。

然后就需要ROOT手机，对于安卓4.3以下版本的，可以用手机取证大师工具箱里面的一键ROOT软件。而安卓4.3以上的，则需要使用第三方软件（打脸：一般4.3以上都很难一键ROOT，不管是用什么软件）。

如果手机设置了登录密码的，对于已ROOT的，可以直接用工具箱里的破解密码功能。对于为ROOT的，还需要刷入对应机型的recovery。

而对安卓手机的数据进行提取的时候，已ROOT的，工具箱里有安卓手机镜像下载功能。未ROOT的，使用工具箱里的ADB数据备份（但获取的数据远少于已ROOT的）。

好了，以上纯属罗列部分笔记。其实我想表达的是，随着科技的发展，符合以上能顺利破解和取证的设备和系统已经越来越少了！我们来分析一下：现在能使用的iphone手机，基本上都是4S以上的机型，系统基本上都是8.4以上，更高版本的系统其实根本无解。前阵子FBI为了破解几台iPhone，差点动用总统令要求苹果开设后门，最后还是花巨资委托以色列的一家黑客公司进行破解，不过这也是发生在苹果ios10系统发布以前的事。

再来看安卓手机，由于系统的先天性劣势，注定安卓手机不像苹果手机那么耐用，再加上价格便宜，于是安卓手机的更新换代远比苹果手机频繁，由此带来的结果就是新手机都会加载更高级的系统。安卓4.4版本的手机基本上也处于淘汰边缘，而4.4以上版本的系统封装安全性大大提高，ROOT难度很大。

所以说，功能还是跟不上技术的发展。

不过，价格还是跟上了GDP，这套手机取证设备的价格是几万元一套。