技术分享｜【译】安卓14取证技术初探

设备信息和常规设置

• build.prop
• TXT 格式
• 存储在系统分区的根目录下
• 除其他外，它还包含设备制造商、设备型号、操作系统版本和内部版本
• aLEAPP 插件
• global_settings.xml

• ABX 格式
• 存储在userdata 分区中的“/system/users/0/”下
• 包含自动时间调整、Wi-Fi 开/关和蓝牙开/关等全局设置。

• system_settings.xml 

• ABX 格式
• 存储在userdata 分区中的“/system/users/0/”下
• 包含音频电平和显示亮度等系统设置。

• secure_settings.xml

• ABX 格式
• 存储在userdata 分区中的“/system/users/0/”下
• 包含安全设置，例如 Android ID、蓝牙名称和辅助功能。
• aLEAPP 插件

• googlesettings.db

• SQLite 格式
• 存储在userdata 分区中的“/data/com.android.gsf/databases/”下
• 包含定位服务的设置

• gservices.db

• SQLite 格式
• 存储在userdata 分区中的“/data/com.android.gsf/databases/”下
• 包含与 Google 服务相关的各种设置

• persistent_properties

• Protobuf 格式
• 存储在userdata 分区中的“/property/”下
• 包含有关本地时区和语言设置的信息

• factory_reset和factory_reset_record_value

• 存储在userdata 分区中的 “/misc/bootstat/”下
• 最后修改的时间戳与出厂重置的时间戳一致

• setup_wizard_info.xml

• XML 格式
• 存储在userdata 分区中的“/data/com.google.android.settings.intelligence/shared_prefs/”下
• 它存储的值 “suw_finished_time_ms “与设备设置的时间戳相对应
• aLEAPP 插件

• suggestions.xml

• XML 格式
• 存储在userdata 分区中的“/data/com.google.android.settings.intelligence/shared_prefs/”下
• 它存储的值 “com.android.settings.supposed.category.DEFERRED_SETUP_setup_time “和 “com.android.settings/com.android.settings.biometrics.fingerprint.FingerprintEnrollSuggestionActivity_setup_time “与设备设置的时间戳相对应。
• aLEAPP 插件

• notification_policy.xml

• ABX 格式
• 存储在userdata 分区中“/system/”下
• 它跟踪通知是否在锁屏上可见

• Wipeout! Detecting Android Factory Resets

• Wipeout! Part Deux – Determining How an Android Was Setup

账户信息

• 0.xml
• ABX 格式
• 存储在userdata 分区中“/system/users/0/”下
• 包含有关本地用户帐户的信息，包括最后登录日期
• accounts_ce.db 
• SQLite 格式
• 存储在userdata 分区中的“/system_ce/0/”下
• 包含有关设备上使用的帐户的信息，例如 Gmail、Facebook、WhatsApp、Telegram、Signal 等，可能还包含密码/令牌
• 对于每个帐户
• 帐户名称
• 帐户类型
• 密码/令牌
• aLEAPP 插件
• aLEAPP authtokens 插件
• accounts_de.db 
• SQLite 格式
• 包含有关设备上使用的帐户的信息，例如 Gmail、Facebook、WhatsApp、Telegram、Signal 等，可能还包括密码/令牌
• 对于每个帐户
• 帐户名称
• 帐户类型
• 操作类型（action_account_add、action_set_password等）
• 调试时间
• aLEAPP 插件
• accounts.xml
• ABX 格式
• 存储在userdata 分区中的“/system/sync/”下
• 存储通过 Google 账户的同步数据的信息
• google_account_history.db

• SQLite 格式
• 存储在userdata 分区中的“/data/com.google.android.gms/databases/”下
• 包含一个相关表（“AccountHistory”）
• 存储设备上所有 Google 帐户的设置和使用历史记录

可以有多个本地用户。第一个用户是用户 0，如果检查“/system/users/”文件夹，可能会发现更多本地用户。三星设备上一个比较常见的例子是管理“安全文件夹”的本地用户，通常编号为 150

第三方应用程序无需将信息存储在accounts_ce.db或accounts_en.db中。因此，必须将这些文件视为一个基点，并通过分析所有相关应用程序的所有沙箱来扩展

移动网络、Wi-Fi和蓝牙配置

• telephony.db

• SQLite 数据库

• 存储在userdata 分区中的“/user_de/0/com.android.providers.telephony/databases/”下

• 包含有关设备上使用的 SIM 卡的信息

• 包含一个相关表 （“siminfo”）

• 对于每张 SIM 卡：

• ICCID （“icc_id”）

• IMSI（“IMSI”）

• 电话号码（“phone_number_source_ims”）

• 显示名称 （“display_name”）

• 网络运营商名称（“carrier_name”）

• MCC （“mcc_string”）

• MNC（“mnc_string”）

• 国家代码（“iso_country_code”）

• aLEAPP 插件

• MdpSimBasedDatabase

• SQLite 数据库

• 存储在userdata 分区中的“/data/com.google.android.gms/databases/”下

• 包含有关设备上使用的 SIM 卡的信息

• Checkin.xml

• XML 格式

• 存储在userdata 分区中的“/data/com.google.android.gms/shared_prefs/”下

• 包含最后使用的 SIM 卡的 ICCID 和 IMSI，包括时间戳

• constellation.db

• SQLite 格式

• 存储在userdata 分区中“/data/com.google.android.gms/databases/”下

• 包含最后使用的 SIM 卡的 IMSI

• 包含一个相关表 （“sim_verifications”）

• WifiConfigStore.xml

• XML 格式

• 存储在userdata 分区中的“/misc/apexdata/com.android.wifi/”下

• 包含连接过的 Wi-Fi 网络的列表

• aLEAPP 插件

• WifiConfigStoreSoftAp.xml 

• XML 格式

• 存储在userdata 分区中的“/misc/apexdata/com.android.wifi/”下

• 包含设备Wi-Fi 热点的相关信息

• aLEAPP 插件

• bt_config.conf 和 bt_config.bak

• TXT 格式

• 存储在userdata 分区中的“/misc/bluedroid/bt_config.conf”下

• 包含有关设备的蓝牙配置和连接的蓝牙设备的历史记录的信息

• 凯文·帕加诺 （Kevin Pagano） 的博客文章中介绍了这一点

• aLEAPP 插件

对于与SIM卡相关的痕迹，作者推荐Cellebrite的这篇博文“Hex Diving — The Easy Way to Uncovering Hidden Forensic Artifacts”。

已安装的应用程序和权限

• packages.list 和 package-usage.list

• TXT 格式

• 存储在userdata 分区中的“/system/”下

• 这两个文件都包含已安装应用包的列表，包括应用包名称、应用包 UID 和应用包沙箱路径

• aLEAPP 插件

• packages.xml

• ABX 格式

• 存储在userdata 分区中的“/system/”下

• 包含有关已安装应用包的信息，包括应用包 UID、应用包安装程序（即“com.android.vending”（用于通过应用商店安装的应用）或“com.google.android.packageinstaller”（用于通过应用包安装程序安装的应用）和权限（不包括运行时权限）

• aLEAPP 插件

• package-cstats.list 包

• TXT 格式

• 存储在userdata 分区中的“/system/”下

• 包含有关应用包管理器编译器的统计数据

• 此文件非常有用，因为它通常包含对应用程序的引用，即使该应用程序已被卸载

• roles.xml 

• XML 格式

• 存储在userdata 分区中的“/misc_de/0/apexdata/com.android.permission/”下

• 包含为 Android 中某些功能默认设置的应用程序列表

• aLEAPP 插件

• runtime-permissions.xml

• XML 格式

• 存储在userdata 分区中的“/misc_de/0/apexdata/com.android.permission/”下

• 包含被 Android 归类为“危险”的权限

• 对于每个包和每个危险权限

• 授予（是/否）

• Flag

• aLEAPP 插件

• Android’s “Dangerous” Permissions by Josh Hickman

• Android – Roles and Permissions (Android 10/11) by Scott Vance

• Mobile Forensics: Discovering the Undiscovered

• library.db

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.vending/databases/”下

• 包含谷歌用户在设备上使用的应用程序库。需要强调的是，此数据库与设备上安装的应用程序无关：您可以在此找到同一 Google 账户在其他设备上安装的应用程序，或在您正在分析的设备上之前安装的应用程序。

• 包含一个相关表（“ownership”）

• 对于每个应用程序：

• Gmail帐户（“account”）

• 包名称 （“doc_id”）

• 购买日期（“purchase_time”）

• aLEAPP 插件

• localappstate.db

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.vending/databases/”下

• 跟踪通过 Google Play 商店安装在设备上的应用程序（不包括通过其他方式安装的应用程序）

• 包含一个相关表 （“appstate”）

• 对于每个应用程序：

• 包名称 （“package_name”）

• 传递数据时间戳 （“delivery_data_timestamp_ms”）

• 首次下载的时间戳 （“first_download_ms”）

• Google 帐户（以下简称“帐户”）

• 应用程序的通用名称（“title”）

• 最新通知版本（“last_notified_version”）

• 最后一次更新的时间戳 （“last_update_timestamp_ms”）

• 安装请求的时间戳 （“install_request_timestamp_ms”）

• 卸载应用程序时不会删除该信息

• aLEAPP 插件

• frosting.db

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.vending/databases/”下

• 跟踪应用程序的安装和更新，无论其安装方式如何

• 包含一个相关表（“frosting”）

• 对于每个应用程序：

• APK 路径 （“apk_path”）

• 最后更新 （“last_updated”）

• 软件包名称 （“pk”）

• 卸载应用程序时，将删除该信息

• aLEAPP 插件

• gass.db

• SQLite 格式

• 存储在userdata 分区中的“/data/com.google.android.gms/databases/”下

• 跟踪设备上安装的应用程序，无论它们是如何安装的

• 包含一个相关表 （“app_info”）

• 对于每个应用程序：

• 包名称 （“package_name”）

• 版本 （“version_code”）

• APK SHA-256 （“digest_sha256”）

• 卸载应用程序时不会删除该信息

• aLEAPP 插件

• app_icons.db

• SQLite 格式

• 存储在userdata 分区中的“/data/com.google.android.apps.nexuslauncher/databases/”下

• 跟踪应用程序图标的相关信息

• 包含一个相关表（“图标”）

• 对于每个应用程序：

• 标签 （“label”）

• 图标颜色 （“icon_color”）

• 最后更新 （“last_updated”）

• 版本 （“version”）

• 卸载应用程序时，将删除该信息

• aLEAPP 插件

• launcher_4_by_5.db

• SQLite 格式

• 存储在userdata 分区中的“/data/com.google.android.apps.nexuslauncher/databases/”下

• 跟踪应用程序图标的相关信息

• 包含一个相关表（“favorites”）

• 对于每个应用程序：

• 应用程序名称（“title”）

• 应用程序意图（“intent”）

• 屏幕（“screen”）

• PNG 图标（“icon“）

• 修改的时间戳（“modified”）

• install_queue.db

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.vending/databases/”下

• 跟踪安装过程

• 包含一个相关表 （“install_requests”）

• 对于每个应用程序：

• 原因（“reason”）：包含“single_install”、“webapk_install”、“auto_update”等值。

• 软件包名称 （“pk”）

• 卸载应用程序时不会删除该信息

• auto_update.db

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.vending/databases/”下

• 跟踪应用程序的自动更新

• 包含一个相关表 （“auto_update”）

• 卸载应用程序时不会删除该信息

• xternal_referrer_status.db

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.vending/databases/”下

• 包含一个相关表 （“xternal_referrer_status_store”）

• 卸载应用时，不会删除该信息

原生应用程序

• 日历 （calendar.db）：

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.providers.calendar/databases/”下

• aLEAPP 插件

• 联系人 （contacts2.db）

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.providers.contacts/databases/”下

• aLEAPP 插件

• 联系人 （icing_contacts.db）

• SQLite 格式

• 存储在userdata 分区中的“/data/com.google.android.gms/databases/”下

• 通话记录（calllog.db）

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.providers.contacts/databases/”下

• aLEAPP 插件

• 下载 （download.db）

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.providers.downloads/databases/”下

• aLEAPP 插件

• 短信/彩信 （mmssms.db）

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.providers.telephony/databases/”下

• aLEAPP 插件

• 用户词典 （user_dict.db）：

• SQLite 格式

• 存储在userdata 分区中的“/data/com.android.providers.userdictionary/databases/”下

• aLEAPP 插件