一种针对移动终端Zello应用的数据取证方法与流程

本发明涉及电子数据取证技术，具体涉及移动终端应用的数据取证技术。

背景技术：

随着计算机和互联网技术的迅速发展，电子商务、电子政务、网络教育和各类网络服务在社会生产和人民生活中被大量应用。随之各类纠纷、民事案件和刑事案件也是有出现，而在判定或处置纠纷和案件过程中，涉及到计算机或互联网的电子数据已经成为一种重要的证据。其中即时通信类软件存储的用户信息越来越多，QQ和微信中分别存储了远超过通信录和短信数据量的关系信息以及聊天记录，因此对即时通信软件进行专门的取证分析非常必要。Zello Walkie Talkie Loudtalks是一款可以在手机之间或者手机和PC之间进行即使语音聊天的软件，支持多种操作系统。

参见图1，其所示为现有取证技术针对Zello应用的数据取证流程。由图给出的取证流程可知，在拿到一个IOS或Android系统的智能终端后，当IOS已经越狱或者Android已经Root的情况下，获取智能终端中的所有信息，再从所有的数据中筛选出Zello应用数据，对Zello数据进行分析，分析后的结果直接展示。

从图1中可以看出，现有的这种取证技术存在以下问题：

其一，当待取证智能终端处于非越狱(IOS系统)或非Root(Android系统)状态时，没有采用其他获取数据的方法或没有更好的获取数据的方法；

其二，分析Zello应用数据前，需要首先获取所有的手机数据，等待时间较长；

其三，直接获取的Zello数据内容中的账号、好友、频道等，未于消息进行有效关联；

其四，无法将消息中语音或图片内容分析并重组，用户不能够直接听取传输的语音内容，也无法看到发送的图片。

技术实现要素：

针对现有Zello应用数据取证技术所存在的问题，需要一种新的针对Zello应用数据的取证方案。

为此，本发明所要解决的技术问题是提供一种针对移动终端Zello应用的数据取证方法，该取证方法能够在非Root或非越狱的智能终端下对Zello应用数据进行高效、全面的获取，取证效率更高，数据还原度更准确，消息显示更直观。

为了达到上述目的，本发明提供的针对移动终端Zello应用的数据取证方法包括：

获取智能终端中的数据；

获取智能终端中Zello应用数据，该数据至少包括账号，好友，频道以及聊天消息；

提取账号，好友以及频道，并通过计算关联标识，建立好友，频道以及账号之间的关系；

提取聊天消息，并在原始的私有数据格式上进行分析，构造出可以直接支持的标准格式。

优选的，所述取证方法中通过对智能终端进行备份来获得数据。

优选的，针对Android智能终端还可通过JTAG接口获取Android镜像，由此来获得智能终端中数据。

优选的，所述取证方法中通过计算账号的Hash值，并以此作为账号，好友以及频道之间关联标识。

优选的，对于聊天消息中的文本消息，直接从数据库中提取。

优选的，对于聊天消息中图片信息，通过账户的Hash值定位图片存储在本地的目录，再在该目录下提取名称以消息的historyId为前缀的图片。

优选的，对于聊天消息中语音信息，通过账户的Hash值定位语音信息的存储路径，对该路径下的amr格式数据，添加文件头即可；对该路径下的opus格式数据，首先构造出opus文件的公共头部，采用默认采样率计算出相关头部信息，再按照opus-ogg文件格式将所有分片长度和数据一次添加到文件中，完成标准语音格式的重新构造。

本发明提供的取证方案，完善了处理智能终端的手段，提高了取证的速度，对Zello应用中的联系人和消息，进行了分析，可以将账户、好友、频道进行关联，并且支持发送的图片、语音重组还原，直接查看和播放。

附图说明

以下结合附图和具体实施方式来进一步说明本发明。

图1为现有Zello应用取证的流程图；

图2为本发明实例中进行Zello应用取证的流程图。

具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。

本实例中针对非越狱或非Root状态下的智能终端，通过对IOS或Android智能终端的备份来获取终端的相关数据。

其中针对Android系统通过Adb可以对数据进行备份，针对IOS系统可以通过itunes进行备份。

若针对Android系统备份有问题的话，还可以通过JTAG接口获取Android镜像，JTAG接口为智能终端调试接口，可通过连线直接将智能终端中所有的数据读出到存储介质里，在经过格式解析，获取其中的数据。但也可以直接在智能设备中定位Zello应用的相关目录和文件，只将有效的Zello数据进行获取，避免获取整个手机数据时的长时间等待。

本实例针对Zello应用中Zello账号，好友以及频道数据信息，通过对Zello账号进行运算，并对Zello文件中出现的标识进行对比分析，确定Zello账号、好友、频道之间通过账号的Hash值进行关联，本实例据此将不同用户的好友和频道等信息进行关联。

本实例针对Zello中聊天消息，Zello聊天消息中的多媒体附件主要包括语音和图片，图片的保存位置和消息的ID相关；语音的数据都保存在一个文件中，需要根据不同消息中语音数据的位置，从同一个文件中进行截取，再根据消息格式，构造为amr或opus文件，其中amr格式数据，只需简单的添加文件头即可；opus数据，实际上是分片存储的，每一片包括长度和数据，首先构造出opus文件的公共头部，采用默认采样率计算出相关头部信息，再按照opus-ogg文件格式将所有分片长度和数据一次添加到文件中，完成标准语音格式的重新构造。

针对上述技术原理，以下通过一具体的应用实例来说明一下本实例中针对智能终端中Zello应用的数据取证过程。

参见图2，其所示为本实例中对智能终端中Zello应用进行数据取证的流程图中。由图可知，本实例中首先，通过备份或JTAG的技术方案对待处理智能终端进行预处理，以提取智能终端的相关数据。

针对Zello应用，则可以通过定位不同的文件或目录，直接进行获取Zello应用数据。

对于不同Zello应用数据，进行不同的分析：可以分别获取账号、好友、频道、聊天消息等内容。

对获取到的账号，好友以及频道信息，可通过计算关联标识，建立好友、频道、账号之间的关系；

对获取到的聊天消息中的图片、语音内容，在原始的私有数据格式上进行分析，构造出可以直接支持的标准格式。

据此，具体的实现步骤如下：

一、数据提取阶段：

(1)使用USB线连接智能终端和计算机，判断智能终端类型为IOS或者Android；

(2)判断Android智能终端是否Root，或IOS智能终端是否越狱，若系统已Root或越狱，可以直接获取操作系统文件信息，直接提取Zello应用数据文件；

(3)若Android系统未Root，尝试通过Adb命令对Zello应用程序及其数据进行备份；

(4)若Android系统备份失败，尝试使用JTAG调试接口直接获取智能终端镜像，但是镜像后的数据需要根据相关格式进行解析；

(5)若IOS系统未越狱，尝试使用itunes进行应用数据的备份；

(6)Zell o应用的数据从智能终端、备份或镜像中复制到连接智能终端的计算机上：

若为Android智能终端，提取系统：/data/data/com.loudtalks/目录下的文件；

若为IOS智能终端，提取系统：/AppDomain/com.zello.client.main/目录下的文件。

二、数据分析阶段：

(8)从/data/data/com.loudtalks/或/AppDomain/com.zello.client.main/中获取账户，好友以及频道信息文件，该文件为Xml格式，可以直接进行解析；通过计算账号的Hash值，并以此作为关联表示和好友、频道信息相关联。

其中account节点存储了账号信息，*****.contacts节点存储了某个账户的好友信息和频道信息，其中*****为账户的Hash值表示；*****.recents节点存储了账户最新发送的消息。

(9)根据Zello账户的Hash值确定SQLite数据库的目录，并在该SQLite数据库中获取Zello应用聊天消息信息；

其中，Zello应用聊天消息信息存储在SQLite数据库中，数据库的目录在/sdcard/Zello/history/****/或者

/AppDomain/com.zello.client.main/Documents/Zello/history/****/下，其中****为Zello账户的Hash值。

(10)Zello中的聊天消息包括3种类型，文本消息、图片消息、语音消息，可以从消息数据库中的type字段进行区分；

针对消息中的文本消息，其存储在数据库中，直接从数据库中提取；

针对消息中的图片存储在本地的特定目录下，该目录和账户的Hash值相关联，图片的名称以该消息的historyId为前缀；通过账户的Hash值定位图片存储在本地的目录，再在该目录下提取名称以消息的historyId为前缀的图片；

针对消息中的语音信息，通过账户的Hash值定位语音信息文件的存储路径，其中语音分为amr和opus两种格式。

(11)针对Amr格式语音直接根据消息中的起始位置、长度获取消息内容数据，再通过添加文件头{0x23,0x21,0x41,0x4d,0x52,0x0a}，另存为amr格式文件；

(12)针对Opus格式语音信息进行处理。

(12-1)需要对Zello语音信息进行重组，Zello中存储的opus音频数据信息为一个分片数据，一条消息中包含多少个数据片，通过消息中的长度来确定；

(12-2)提取所有数据长度和数据片内容；、

(12-3)opus数据头的重组，即按照数据内容构造相应的区段位置和循环冗余校验码校验和，其中区段位置，由数据的总长度和标准采样率计算得出；而校验和，由Crc32算法计算得出；

(12-4)通过以上三步计算出重要的信息，再根据opus格式，重组成opus-oggs语音文件。

数据结果展示阶段：

(13)根据不同的类型展示消息信息。

由上可知，本实例中提供的针对移动智能终端中的Zello应用的取证方案，其功能更加强大，取证效率更高，数据还原度更准确，消息显示更直观。

以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。