Digital Forensics Lab · 电子取证实验室

你的手机
藏着什么秘密？

探索电子数据取证的世界 · Explore the World of Digital Evidence

01 —
取证概述
02 —
数据存储原理
03 —
常见取证方法
04 —
模拟取证实操
05 —
真实案例解析
06 —
合规与法律
Chapter 01 · 取证概述

什么是电子数据取证？

Digital Forensics — 从数字设备中发现、提取、分析证据的科学

📰 先看一个真实场景
某初中班级内，一名同学遭受长达 3 个月的网络霸凌。施害者在事情败露后，迅速删除了全部聊天记录、撤回了所有消息，以为"证据消失了，没人能证明"。

72 小时后，取证工程师从手机的数据库文件中还原了全部内容。
——那些"消失"的消息，从未真正消失过。

这一切是怎么做到的？接下来你将亲自探索答案。

📱 定义

电子数据取证（Digital Forensics）是指按照法律规范，从计算机、手机、存储设备等电子设备中获取、保全、分析电子证据的过程。


简单来说，就是让数字设备"开口说话"——即使是已删除的内容，也可能被还原。

🔍 为什么重要？
如今超过 90% 的犯罪案件都涉及电子证据。手机、电脑、智能手表……每一个数字设备都可能是案件的关键突破口。

取证基本流程 · Workflow

🔒
现场保全
Preservation
防止数据被修改
→
📥
证据获取
Acquisition
制作镜像副本
→
🔬
深度分析
Analysis
解读数字证据
→
📋
报告输出
Reporting
形成法律文书

⚠️ 核心原则

  • 不破坏原始数据
  • 全程记录操作日志
  • 保持证据链完整性
  • 结果客观、可重现

📂 证据类型

  • 通话记录 · 短信 · 聊天记录
  • 照片 · 视频 · 录音
  • 位置轨迹 · GPS 记录
  • App 使用记录 · 浏览历史
  • 已删除文件
💡 思考一下
你知道吗？即使你"删除"了一条微信消息，它可能仍然存在于手机的某个角落……接下来我们就来揭秘这背后的原理。
🎯 知识检验 · Chapter 01第 1 题 / 共 3 题
Chapter 02 · 数据存储

安卓手机里的数据在哪里？

了解 Android 手机的存储结构，是理解取证的第一步

💾 内部存储

手机自带存储空间，存放系统、App数据和用户文件。

文件系统：ext4 或 F2FS

普通用户无法访问系统分区，但专业取证工具可以。

💳 外部存储

SD 卡或模拟外部存储，通常使用 FAT32 / exFAT 格式。

存放照片、视频、下载文件等，相对更容易访问和取证。

💡 先打个比方
把手机存储想象成一栋公寓楼：每个 App 租住一间独立的房间（沙盒），自己的聊天记录、账号密码都锁在房间里。普通人进不了别人的房间——但专业取证工具相当于物业管理员，持有主钥匙，可以进入任意一间。下面这张图就是这栋"公寓楼"的楼层结构：

📂 安卓存储分区结构

⚙️
/boot  /system
系统内核和 Android OS — 取证人员通常只读不改
系统层
📱
/data
App 数据、用户账号、SQLite 数据库 — 取证核心目标
数据层 ★
💬
/data/data/[包名]
每个 App 的私有沙盒，存储聊天记录、缓存等
App 沙盒
📁
/sdcard  /storage
用户可见的文件：照片、视频、下载文件等
媒体层

🗄️ SQLite 数据库 — 取证的宝藏

Android 中几乎所有 App 都用 SQLite 数据库存储结构化数据。

$ find /data/data/com.tencent.mm/databases/ -name "*.db"
EnMicroMsg.db     ← 微信聊天记录
WCDB_Contact.db   ← 联系人数据库
message.db       ← 消息索引
$ sqlite3 mmssms.db "SELECT address,body,date FROM sms"
+8613900000000 | 你好，请把钱打到... | 1712000000
↑ 关键证据！短信内容被完整记录在数据库中

🔄 删除 ≠ 消失 — 为什么？

当你删除一个文件时，操作系统只是把它标记为"可覆盖"，数据本身仍然留在存储芯片上。


删除前
数据|数据|数据|空
→
删除后
标记可用（数据仍在）
→
取证工具扫描
✓ 原始数据仍存在
✓ 可被专业工具恢复
🎯 知识检验 · Chapter 02第 1 题 / 共 3 题
Chapter 03 · 取证方法

如何从手机中提取证据？

不同情况下，取证人员会选择不同的技术手段

🔌
逻辑提取
Logical Extraction
入门级

通过手机的 USB 接口和官方协议（ADB / iTunes Backup）导出数据。

  • ✅ 操作简单，速度快，不会损坏设备
  • ❌ 只能获取系统允许访问的数据
  • ❌ 无法恢复已删除文件
典型场景
获取通话记录、短信、通讯录、部分 App 数据
💽
文件系统提取
File System Extraction
进阶级

获取手机完整的文件目录结构，包括 App 私有数据。通常需要 Root 权限或特定漏洞。

  • ✅ 可访问 App 的 SQLite 数据库
  • ✅ 能看到更多隐藏数据
  • ❌ 需要一定技术门槛
  • ❌ 部分手机有加密保护
🔧
物理提取
Physical Extraction
专家级

对手机存储芯片进行逐位复制（Bit-by-bit imaging），获取包含已删除数据的完整存储镜像。

  • ✅ 可恢复已删除文件，完整保存所有痕迹
  • ❌ 技术复杂，费时费力
  • ❌ 部分设备有硬件加密
Hash 校验
制作镜像后计算 MD5 / SHA-256 哈希值，是常见的完整性校验方法之一，可用于辅助证明副本与原件一致、未被篡改。
☁️
云数据取证
Cloud Forensics
新兴领域

通过法律程序向云服务商（微信、微博、百度云等）调取服务器端数据。

  • ✅ 即使手机被毁，数据仍可获取
  • ✅ 可获取同步的跨设备数据
  • ❌ 需要司法授权
  • ❌ 境外服务商配合度不一

🛠️ 主流取证工具

🏆
Cellebrite UFED
全球最广泛使用的手机取证硬件+软件套件
🔍
Magnet AXIOM
强大的综合取证分析平台，支持云端数据
🐧
Autopsy / ADB
开源取证工具，研究和学习的好选择
🎯 知识检验 · Chapter 03第 1 题 / 共 3 题
Chapter 04 · 模拟实验

现在，你是取证工程师

跟随步骤，完成一次完整的手机取证操作流程

🗂️ 案情简介  ·  案件编号 2024-ZS-0315
接案时间：2024-03-15 14:05

某科技公司财务经理王某报案：当日 14:58，公司银行账户遭不明人员登录，5 万元被转至陌生账户。根据内部门禁记录和监控录像，嫌疑锁定在员工张某身上——转账发生期间，张某是唯一独自待在财务室的人。

警方随即对张某实施控制，扣押其随身手机（Samsung Galaxy A52，锁屏状态，电量 73%）。

你的任务：对该手机进行规范取证，提取与转账操作相关的数字证据，还原事件经过，形成可提交法庭的完整证据链。

FORENSIC PROCEDURE

1

现场拍照记录

对设备外观、状态（开机/锁屏/关机）进行拍照存档

2

隔离网络信号

开启飞行模式或放入屏蔽袋，防止远程擦除

3

连接取证设备

识别手机型号，选择合适的取证方法

4

制作存储镜像

逐位复制存储内容，计算哈希校验值

5

分析关键证据

从镜像中提取聊天、转账、位置等证据

▶ 取证控制台
系统就绪...
等待取证操作 >
🎯 知识检验 · Chapter 04第 1 题 / 共 3 题
Chapter 05 · 真实案例

电子证据如何破案？

以下案例均经过脱敏处理 · 点击时间轴展开详情

📱 案例一 · 电信诈骗案

2023年3月 · 立案
受害人报案，手机接到"公安局"来电
受害人张某接到自称"市公安局"的电话，被告知其银行账户涉及洗钱案件，被骗走 15 万元。
抓获嫌疑人
警方锁定嫌疑人并扣押手机
通过通话记录追踪，警方在外省抓获嫌疑人李某，扣押其使用的两部手机。
电子取证
提取手机数据，还原作案全过程
取证工具从手机中提取：
✓ 已删除的通话录音文件（物理提取恢复）
✓ 话术脚本文档（.docx 文件）
✓ 多名受害人的银行卡信息截图
✓ 境外 App 的加密聊天记录（已解密）
结案
电子证据成为定罪关键
法庭采纳了电子证据，李某被以诈骗罪判处有期徒刑 8 年，并处罚金 20 万元。电子证据是本案定罪的核心证据。

🏫 案例二 · 校园网络霸凌案

事件经过
某初中生遭受长期网络霸凌
学生小明长期在班级群和短视频平台遭受同学的嘲讽和侮辱性评论，身心受到严重伤害，家长向学校和警方投诉。
取证过程
对多部涉事手机进行逻辑提取
取证内容：
✓ 班级微信群的完整聊天记录（含撤回消息）
✓ 短视频发布记录和评论数据
✓ 私信骚扰内容
✓ 发布时间与地点（证明是本人操作）
关键突破
已撤回的消息被成功恢复
霸凌者发现事态严重后删除并撤回了大量消息。但取证工具从手机的 SQLite 数据库中成功恢复了这些"消失"的内容，成为关键证据。
结果
多名学生受到处分，家长承担法律责任
涉事学生受到学校处分，其监护人承担民事赔偿责任。此案提醒所有人：网络上的每一条消息都可能留下痕迹。

💼 案例三 · 企业数据泄露案

发现异常
竞争对手掌握了公司机密数据
某科技公司发现竞争对手的产品中包含与自家完全相同的核心算法，怀疑内部员工泄露商业秘密。
取证调查
对离职员工手机和电脑进行取证
发现关键证据：
✓ 百度网盘上传记录（核心代码文件）
✓ 发送给竞争对手邮箱的附件记录
✓ AirDrop 传输日志
✓ 截图时间与离职前夕吻合
关键技术
文件哈希比对，证明同源性
取证人员对泄露文件和原始文件进行 MD5 哈希对比，两者完全一致，为"同一文件"提供了无可辩驳的技术证明。
结果
前员工被判侵犯商业秘密罪
前员工以"侵犯商业秘密罪"被定罪，公司获赔 300 万元。这是电子取证在民事诉讼中发挥关键作用的典型案例。
💡 共同规律
三个案例揭示同一道理：数字世界的"删除"从来不彻底。电子数据取证让每一条数字痕迹都可能成为证据。
🎯 知识检验 · Chapter 05第 1 题 / 共 3 题
Chapter 06 · 合规法律

取证必须依法进行

强大的技术必须在法律框架内使用

⚠️ 重要警告
未经授权擅自获取他人手机数据，即使技术上可行，也是违法行为，可能涉及非法获取计算机信息系统数据、侵犯隐私权等法律责任；情节严重的，还可能承担刑事责任。

⚖️ 合法取证的常见要求

📜
法律授权 Legal Authorization刑事案件中，侦查人员通常需依法出示搜查证或依据法定程序进行取证；非刑事场景也应取得当事人书面同意或其他合法授权
🔗
证据链完整 Chain of Custody从扣押设备到出具报告，每一步操作都要有记录，确保证据未被篡改
👥
两人以上执行 Two-Person Rule取证操作必须有两名以上人员在场，互相监督，防止单方面违规操作
📝
操作日志 Audit Log所有取证步骤必须完整记录，包括时间、操作人、使用工具等
🔒
隐私最小化 Privacy Minimization只提取与案件相关的数据，不得超范围获取与案件无关的个人隐私

⚡ 如果越线了，会发生什么？

😤 场景：出于好奇，偷偷用工具读取同学手机

  • 可能涉及非法获取计算机信息系统数据、侵犯隐私权等违法行为
  • 情节较轻：可能面临治安处罚、民事赔偿
  • 情节严重：可能承担刑事责任
  • 未成年人：父母承担连带法律责任

📤 场景：恢复他人删除的数据并截图传播

  • 同时触犯隐私权和《个人信息保护法》
  • 若涉及他人照片或私信：加重处罚
  • 被害人可提起民事诉讼索赔
  • 网络传播行为本身留有记录，无法销毁
📌 记住这条原则
"技术能做到"和"你有权这么做"是两回事。掌握取证技术是为了保护别人，而不是侵犯别人。

🤔 道德边界讨论

技术能力 ≠ 使用权力。以下场景，哪些合法？哪些越界了？

✅ 合法 — 侦查人员依法出示搜查证，对犯罪嫌疑人手机进行取证
✅ 合法 — 企业在员工知情同意下，对公司设备进行安全检查
⚠️ 灰色地带 — 父母未告知孩子，私自检查其手机
❌ 违法 — 出于好奇，用工具获取朋友或同学的手机数据
❌ 违法 — 用技术手段恢复他人删除的数据并传播
🎯 知识检验 · Chapter 06第 1 题 / 共 3 题
结语 · Summary

你今天学到了什么？

🔍
取证是科学
有严格的流程和技术标准，结果客观可重现
⚖️
取证有边界
强大的技术必须在法律和伦理框架内使用
💾
痕迹永存在
数字世界的操作很难真正"消失"

🎓 知识要点回顾

电子取证流程：保全→获取→分析→报告
安卓数据核心：/data 分区是重点目标
提取方式层级：逻辑→文件系统→物理
SQLite：App 数据存储的核心格式
删除≠消失：只是标记为可覆盖
合法取证：必须有授权，有完整记录

🏆 本次学习得分

—
完成答题后查看总分
下一步 · What's Next

如果你对这个领域感兴趣……

网络安全是未来十年最紧缺的专业方向之一，现在开始探索并不早

🏆 参加 CTF 竞赛

CTF（Capture The Flag）是全球通行的网络安全技术竞赛，其中有专门的「数字取证」赛题，从高中生到大学生都可以参与。

推荐平台
NSSCTF · 攻防世界 · BugKu

🎓 相关专业方向

高考志愿可以关注：

  • 网络空间安全（一级学科）
  • 信息安全（本科专业）
  • 计算机取证（细分方向）
  • 密码学（理论基础）

💼 未来的职业

  • 电子取证工程师
  • 网络安全分析师
  • 司法鉴定技术人员
  • 企业安全响应（IR）专家
  • 公安网警 / 网络犯罪侦查
🚀 从今天起可以做的事
在手机上安装一个 Linux 模拟器（如 Termux），输入 ls / cat sqlite3 感受一下终端操作；或者搜索"CTF 新手入门"，你会发现这个世界远比想象中有趣。