Safemobile基本操作步骤.docx

SafeMobile盘石手机取证分析系统1、系统简介SafeMobile盘石手机取证分析系统专业版采用逻辑获取，支持包括Nokia、Motorola、Samsung、LG 及iPhone以及国产手机联想、夏新、飞利浦，智能手机Windows CE平台、iPhone平台、Android平台、塞班S60智能手机平台多种品牌手机的大多数型号，同时也能对市面上常见的GSM SIM卡与CDMA SIM卡进行取证分析，并且支持对存储卡进行镜像制作及解析。SafeMobile盘石手机取证分析系统实验室版采用物理镜像获取，支持MTK平台手机镜像的物理获取，以及MTK平台、iPhone平台、Android平台手机镜像和黑莓平台手机备份文件的分析、取证，并且支持对存储卡进行镜像制作及解析。可以分析出镜像中存储的联系人、短信、通话记录、日历以及文件系统等。并且能获取到已被删除的文件及用户信息。2、安装与卸载（1）安装请从本产品光盘开始安装SafeMobile盘石手机取证分析系统。请注意，要在电脑上安装本系统，您必须具有管理员权限。       要在手机和电脑或仪器和电脑之间建立连接，还需要在电脑上安装驱动程序。安装驱动程序安装包时，会自动安装大多数驱动程序。（2）卸载1) 选择“开始”>“程序”>SafeMobile盘石手机取证分析系统>“卸载 盘石手机取证分析系统”；2) 按照屏幕上的说明，直到删除程序文件。或者1) 选择“开始”>“设置”>“控制面板”；2) 双击“添加/删除程序”；3) 在当前安装的程序列表中，选择SafeMobile盘石手机取证分析系统；4) 单击“更改/删除”，如果单击“更改”，则需要在打开的窗口中单击“删除”；5) 按照屏幕上的说明操作，直到删除程序文件。     SafeMobile盘石手机取证分析系统卸载，不会卸掉相关的手机驱动。（3）安装手机驱动程序SafeMobile盘石手机取证分析系统专业版进行取证分析，需要安装驱动程序安装包。运行驱动程序安装包，默认安装路径为"C:Program FilesPanSafeSafeMobile Drivers "；安装SafeMobile盘石手机取证分析系统驱动程序时，会自动安装注册大多数手机驱动程序。所有驱动安装完成，部分驱动程序需要重新启动计算机才能生效。3、案件管理基本操作在计算机桌面上，双击SafeMobile盘石手机取证分析系统图标。打开SafeMobile盘石手机取证分析系统应用程序后，主窗口如图所示：案件管理的基本操作包括新建、打开、关闭、保存、另存、修改案件信息等。4、快速提取手机信息（1）快速提取设定点击【工具->选项】菜单项，或在快速提取对话框中点击【选项】按钮，弹出选项对话框。用以设定获取选项配置、创建默认案件、程序运行时打开“快速提取”和屏蔽端口号。默认配置如下图所示：（2）智能手机提取信息A. 确保手机与计算机已建立连接，并可以正常通讯，单击工具栏上【快速提取】按钮，弹出快速获取对话框。B. 按【开始】按钮，开始检测手机设备。C. 检测完成后自动获取手机信息。获取完成，数目列显示获取到手机信息条目数。D. 若想继续获取其他手机，建立其他手机与计算机的正常连接，单击【开始】继续获取；若完成获取单击对话框右上角的关闭按钮。（3）非智能手机提取信息1) 对于非智能手机，单击【开始】后自动检测手机状态，会弹出选择非智能手机品牌对话框。2) 在相对应的手机品牌上单击，弹出设置串口对话框。3) 选择相应串口及波特率，单击【确定】，开始进行手机信息获取。注：选择非智能手机品牌对话框中，没有符合获取手机的品牌，可以寻找一款类似的品牌实施获取，若寻找不到类似品牌，将无法实现快速提取，请使用高级向导获取功能。5、高级向导-手机连接（1）数据线连接方式1) 新建案件后，点击【功能->高级向导】菜单项目或工具栏上的【高级向导】按钮，打开添加证据对话框2) 在高级向导对话框中，默认选择数据线连接，点击【选择数据线】按钮，弹出选择数据线对话框3) 在选择数据线对话框中，厂商列表中输入手机品牌和手机型号查询数据线，完成后单击【确定】关闭对话框。4) 如果在选择数据线对话框中，没有找到与要获取手机匹配的数据线，请自行查找数据线连接。特殊平台获取过程注意事项：u       诺基亚系列手机（非智能机）1）    在手机连接计算机之前，首先手机上设置数据连接方式为PC套件或Ovi Suite（不同版本的手机数据连接设置菜单可能有所区别）。2）    若安装诺基亚PC套件，请退出诺基亚PC套件，再执行SafeMobile进行获取，避免产生冲突。u       塞班S60智能手机1）    在手机连接计算机之前，首先手机上设置数据连接方式为PC套件或Ovi Suite（不同版本的手机数据连接设置菜单可能有所区别）。2）    若已运行诺基亚PC套件，请退出诺基亚PC套件，再执行SafeMobile进行获取，避免产生冲突。3）    S60第三版（不包含FP2版本），目前已实现插件免签功能，由SafeMobile系统下载SafeMobileS603.sisx文件到手机其他文件夹中，执行数据信息获取。4）    S60第三版FP2版本和S60第五版，目前已实现插件免签功能，由SafeMobile系统下载SafeMobileS605.sisx到手机其他文件夹中，执行数据信息获取。u       P2K平台手机P2K驱动程序必须等到Motorola P2K手机，在获取过程中转换到P2K模式时，根据弹出的发现新硬件向导才能安装。如需再次获取，需重启手机后方能正常获取。u       Lenovo、Amoi系列手机在手机连接计算机之后，首先在手机上选择串口或PC通讯模式。u       Philips 系列手机在手机连接计算机之后，首先在手机上选择COM端口。u       LG 系列手机在手机连接计算机之后，手机端设置：【菜单->设置->连接->调制解调器】，或【菜单连接性USB连接数据服务】，根据手机具体情况进行设置，部分手机要求在获取过程中保持滑盖状态或保持设置的界面，否则数据信息获取不全。u       三星系列手机1）    在手机连接计算机之后，手机端设置：【功能表->设定->话机设定->USB设定->调制解调器】，或【功能表->设定->手机设定->USB设定->三星PC Studio】，根据手机具体情况进行设置，否则数据信息获取不全。2）    部分三星手机在获取过程中，要插入一张SIM卡，否则无法获取。u       Sharp 系列手机1)       在手机连接计算机之后，手机端设置：【设置->连接性->电脑连接->数据电缆】，在获取过程中，要保持数据电缆界面，否则数据信息获取不全。2)       在获取过程中，要插入一张有效的SIM卡，否则获取信息不全。u       Windows CE平台1)       在获取时会出现提示，需要在手机内存上加载插件,此时单击【是】，将获取手机中所有用户信息；单击【否】，将不能获取短信、部分设备信息等（另：通话记录全部显示在拨出电话中）。2)       在获取信息时，请确认手机不在飞行模式（通讯管理中）。3)       在获取开始时，手机端会提示程序运行是未知运行商，要求确认，请点是继续。u       MTK平台、Philips1)     在手机连接时选择串口模式、数据通讯或序列接口等串口通讯连接方式。2)     在获取过程中，可能会出现提示“询问是否获取电话本附加信息，选择是将影响对删除数据的恢复”，原理是因为在获取过程中，会在手机用户存储器上进行交换文件，可能会覆盖手机上删除的图片、铃声等，对通话记录、短信及文件系统没有影响。（电话本附加信息包括：电话本中的类型、位置、所属群组等）。出现上面提示信息，是因为少部分手机是没有用户存储器的，如需获取附加信息，需要插入一张外部存储器（SD卡），这时请插入一张SD卡，重新获取。备注：由于厂商未发布Windows XP SP3驱动，当操作系统为Windows XP SP3时，如已安装过老版的MTK驱动，在获取MTK平台手机时，会长时间停滞在设备信息不动；需更新驱动，重新指定驱动方能正常获取。连接手机后具体操作方法如下：u       Android平台SafeMobile盘石手机取证分析系统在Android智能手机获取时除ROM版本1.5外，需要向手机中下载一个取证插件；在获取对象手机中QQ好友列表及内置邮件客户端中邮件时，对象手机需已经取得Root权限，否则无法获取。连接手机前需开启USB调试模式（菜单->设置->应用程序->开发->USB调试）；同时勾选未知来源（菜单->设置->应用程序->未知来源）；连接时USB连接选择门户和工具；部分品牌手机由于深度定制，连接方式可能有所不同，例如：华为C8500手机,连接后会出现一个虚拟光驱盘符，运行该虚拟光盘，安装手机PC助手及驱动程序。u       手机数据线驱动1)        手机数据线驱动在驱动安装程序安装时，一同安装在计算机中，默认安装路径为 "C:Program FilesPanSafeSafeMobileDriver" 。2)        在第一次连接手机或获取过程中会提示发现新硬件，自动安装驱动失败情况下，请至上述目录中查找相应驱动。u       连续进行第二次获取部分手机，在连续进行第二次获取时，需要拔掉数据线重新插入（最好重新启动手机），避免造成连续第二次获取失败。（2）蓝牙连接方式1) 先连接蓝牙适配器到PC（任务栏上出现Bluetooth设备图标）。2) 在手机上激活蓝牙功能，并设为可见。3) 在任务栏上，右击Bluetooth 设备 图标，选择【添加Bluetooth设备】。4) 确保您的手机已激活蓝牙功能，在下图勾选“我的设备已经设置并且准备好，可以查找”。单击【下一步】。5) 开始搜索蓝牙设备，选择你要添加的设备名称（这个设备名称即对应的手机，可以在手机上查到），单击【下一步】。6) 勾选“让我选择自己的密钥”单选框，设置配对密码，单击下一步。7) 待手机端弹出提示，输入配对密码，完成配对。有的手机会提示“是否与XX交换数据。”选择【是】。8) 开始安装Bluetooth设备。9) 完成蓝牙的设备添加。（3）数据线/蓝牙方式获得手机数据新建案件后，通过以下步骤获取手机数据：1) 点击【功能->高级向导】菜单项目或工具栏上的【高级向导】按钮，打开高级向导对话框。2) 选择数据线或蓝牙连接方式。3) 手机数据线或蓝牙连接完成，点击【检测】按钮进行手机的名称、品牌、型号、平台、IMEI及端口的检测，检测结果为下一步操作提供参考。4) 检测完成，点击【确定】按钮，弹出获取向导（ 1 / 5 ），在向导中根据检测结果自动匹配手机品牌和型号,单击【下一步】。5) 跳转至获取向导( 2 / 5)中，勾选【新建持有人】复选框，输入持有人信息，或选择已有设备下拉列表中设备，直接关联该设备的持有人信息，单击【下一步】。6) 直接跳转至获取向导 ( 5 / 5 )中，指定要获取的信息，打勾选中项为需要获取的信息，以及手机中邮件、社交网络和上网日志应用分析的获取；同时设备名称中也可以根据需要自行更改您需要的名称，设备名称将显示在案件目录树中。7) 如果在获取向导( 1 / 5 )中，没有完全匹配到手机的品牌或型号，可手动查找手机品牌或型号，如仍未查找到，则手机品牌选择其他（采用插件方式获取），并单击【下一步】。8) 跳转至获取向导( 2 / 5 )中，勾选新建持有人复选框，输入持有人信息，或选择已有设备下拉列表中设备，直接关联该设备的持有人信息，单击【下一步】。9) 跳转至获取向导( 3 / 5 )中，自行选择获取插件，单击【下一步】。10) 跳转至获取向导( 4 / 5 )选择连接方式（择连接方式，目前通常只有一种连接方式），单击【下一步】。11) 在获取向导 ( 5 / 5 ) 中，指定要获取的信息，打勾选中项为需要获取的信息，单击【下一步】。12) 获取开始后，获取过程的提示将出现在对话框的下方。13) 如果中途希望取消获取操作，可点击获取界面中【取消】按钮。14) 获取结束后，即可察看获取到的信息。6、高级向导-镜像助手通常手机存储卡为FAT32文件系统格式，目前支持FAT32文件系统格式镜像的文件系统分析及删除文件及目录的恢复；同时，还可以对存储卡镜像中的塞班S60手机保存的短信息、备份的电话本、QQ2011和QQ2012聊天记录、新浪微博、UCWeb上网记录进行分析。（1）硬件连接1) 用仪器的专用接口线将仪器与电脑连接，这时电脑就会自动检测到新硬件，并自动安装其驱动程序，仪器自检正常后会发出“哔”的响声。2) 我们可以从电脑的设备管理器查看USB虚拟端口占用的端口号：可以右击【我的电脑】，依次选择【属性->硬件（winxp2000）->设备管理器->端口】。注：如果您的电脑还装有其他的USB设备，您可以将本仪器的USB连接拔出，相应的端口就会消失，这样就可以判断本仪器USB所连接的通信端口了。3) 将贴有仪器接口标签的仪器专用接口线连接至仪器，（注意：贴有仪器接口标签的一端有红黑电源线，如接反则仪器与手机无法连通）。4) 寻找合适的手机数据线连接手机，数据线另一端与仪器专用接口线连接。5) 仪器用USB数据线和电脑连接，仪器专用接口线中的电源线红黑线夹在手机的电源接口上。注意：红色线代表正极，黑色线代表负极，通常正负极会在电池上标记，对应连接即可；正确连接时，仪器指示灯VCC绿灯常亮；如正负极接反，则仪器上ELECTRODE红灯会亮起，此时将正负极交换，重新连接即可。（2）获取镜像新建案件后，通过以下步骤获取手机镜像：1) 确认手机、仪器与计算机连接完成。2) 点击【功能->高级向导】菜单项目或工具栏上的【高级向导】按钮，打开高级向导对话框。3) 选择镜像助手并【确定】。4) 弹出镜像获取助手，界面如下：使用第一代镜像工具或第二代镜像工具都可以读取字库，制作镜像。第二代镜像工具加入了读取开机密码的功能，同时采用了全新的数据线接口，更易于携带和查找山寨机的接口。第一代镜像工具主界面上芯片多选框的选择：l 芯片这里包括有MTK平台，spreadtrum平台，ADI平台，Infineon平台等等，目前镜像获取仅支持MTK主流平台。l 模式每个平台提供的选项都不一样，MTK平台中，包含有Nor和Nand两种类型，它们是芯片的结构类型，这里我们可以首选Nor类型进行获取，如果获取不成功，则换Nand类型获取。l 引导这是MTK镜像备份软件的版本，默认即可。l 保存这里填写自己的路径，将镜像保存在特定的位置。l COM口通常情况下会自动显示。但是有时默认显示不正确，可以在设备管理器中查看相应的端口号，然后在下拉列表中选取实际的端口号。l 速率默认选择，也可以选择其他速率，数值越大传输的速度越大。l 扫描定义复选框默认勾选，它是扫描数据线上读写的PIN引脚。l 连接仪器验证仪器连接的按钮。l 停止终止获取过程。1) 第一代镜像工具主界面配置完成，点击“连接仪器”按钮，开始验证仪器，验证成功后在信息栏显示相应的信息。2) 之后点击“开始”按钮，根据信息栏的提示按住手机开机键，主机发出长“哔”响声，查找到手机，之后开始加载引导文件。3) 直到红色进度条的出现，松开手机开机键，此时开始获取手机镜像。4) 此时我们可以在状态栏上看到手机芯片和存储器的一些基本信息。5) 当信息框中没有发现Nor字库，原因是手机的芯片结构类型不是Nor，可以尝试更换模式，更改为Nand再试下。6) 有时获取过程会失败，失败后会终止。这种情况很多时候都是因为数据线连接的不稳定引起的，通常只要重新连接数据线，重复3-6步可以解决。7) 获取完成后，信息框中显示读字库OK，关闭获取镜像对话框，会自动返回到SafeMobile盘石手机取证分析系统主程序，随后自动开始分析镜像，并获取有用的信息。（3）分析镜像1) 在上一步弹出的获取向导( 2 / 5)中，勾选新建持有人复选框，输入持有人信息，或选择已有设备下拉列表中设备，直接关联该设备的持有人信息，单击【下一步】。2) 获取向导( 5 / 5 )，选择需要分析的数据，目前非MTK和展讯平台镜像提供电话本、通话记录、短信、日历和文件系统的分析；Android镜像提供所有类型数据的分析，单击【下一步】。3) 弹出镜像重组对话框，显示镜像重组后的文件系统，点击【确定】。4) 开始分析镜像文件系统，统计分析结果。5) 分析完毕后点【完成】按钮，查看分析结果。案件树中会多一个镜像的节点，在案件界面和文件系统界面可以看到镜像分析的结果。7、高级向导-SIM卡连接SIM卡分为GSM和CDMA两种，获取采用逻辑方式获取，使用配套盘石手机取证数据包中SIM卡读卡器。注意：启用PIN码的SIM卡，PIN码最多只有3次输入机会，如果输错3次则SIM卡被锁定，需解密PIN码输入PUK码，PUK码只允许输入10次，输错10次则SIM卡直接损坏。PUK 可向电信运营商查询。8、高级向导-存储卡连接目前市场上的手机大多支持内置大容量存储芯片或外接存储卡功能，对于这些大容量存储芯片和存储卡，SafeMobile 盘石手机取证分析系统提供了制作存储卡镜像功能。通常含有内置大容量存储芯片的手机都提供了U盘连接模式，因此，在连接电脑前，需将手机设置为U盘模式或大容量存储模式。由于存储卡种类繁多，部分存储卡需要先插入相应的转接卡套，方能由读卡器读取。本公司提供了多种类型的存储卡套，以适应案件的需要。为了保证证据的完整性，请使用本公司提供的只读读卡器。9、案件分析（1）文件系统点击【视图>文件系统】菜单项或工具栏【文件系统】按钮切换至文件系统界面。（2）应用分析社交网络要查看获取到的社交网络记录，点击【视图->社交网络】菜单项或工具栏的【社交网络】按钮即可切换至社交网络界面查看。支持获取智能手机中腾讯QQ、微信和飞信聊天记录信息，以及新浪微博和腾讯微博的微博信息。上网记录要查看获取到的上网日志记录，点击【视图->上网记录】菜单项或工具栏的【上网记录】按钮即可切换至上网记录界面查看。根据手机的不同，可以获取到手机上网时产生的历史记录、书签和搜索记录等部分或所有类型信息，目前支持手机系统预置的浏览器客户端及UCWeb浏览器客户端和QQ浏览器客户端。电子邮件要查看获取到的邮件记录，点击【视图->电子邮件】菜单项或工具栏的【电子邮件】按钮即可切换至电子邮件界面查看。点击列表中邮件，邮件内容即可在预览窗口中显示。地理位置要查看获取到的Google地图信息，点击【视图->地理位置】菜单项或工具栏的【地理位置】按钮即可切换至上网记录界面查看。根据手机的不同，可以获取到手机中Google地图的搜索历史、星标信息、同步信息、导航信息和地图信息等部分或所有类型信息。（3）关联分析关联分析功能是用图形化的方式表示对象间的关系，取证分析人员能够方便直观显示对象间的关系，支持的数据类型包括电话本、短信息和通话记录。速过滤工具栏可针对设备、数据类型、记录数、姓名或号码进行快速的过滤，点击执行按钮生效。（4）关键词系统定义了两类关键词，一类是全局配置，可以被所有的案件公用。调查人员可以将关键词分类置入不同文件夹中，使他们能被新案件或已存在的案件迅速访问。二类是与案件相关的关键词，是该案件私有。关键词是被用来搜索一个案件（或多个案件）的条件。它们可以是单词、词组或十六进制的字符串。（5）搜索针对不同的数据类型进行搜索，分为快速搜索和高级搜索两种。通过搜索与案件相关的关键词，快速找到相关证据文件。使用事先定制的关键词搜索指定的数据区域，搜索的结果存放在命中结果视图中。 每个搜索过的关键词都会在命中结果视图下创建一个同名文件夹。关键词搜索结果则会被放置到相应的关键词文件夹中。快速搜索快速搜索能在不同范围快速搜索关键字。搜索以案件为组织单位。高级搜索高级搜索功能是搜索预先定义的关键字，所以在进行搜索之前请先切换到关键词面板，确保所要搜索的关键词已经定义好。然后将要参与本次搜索的关键词打勾。可以使用【功能-高级搜索】菜单进入搜索，也可以直接在工具栏上单击【高级搜索】按钮。之后会弹出搜索对话框。对话框左侧是树状结构组织的关键词树，其结构和关键词面板中的树一致，但同时也显示了关键词（关键词面板中的树只显示关键词文件夹）。在关键词面板中打勾的关键词在搜索对话框也会打勾。如果在搜索之前没有选择参与本次搜索的关键词，可以在左侧的关键词树中进行选择和调整。新建关键词在关键词树中，鼠标右键单击要建立关键词的关键词文件夹，选择新建关键词， 弹出新建关键词对话框，进行设置。（6）导出案件信息到HTML点击【工具->导出案件信息到HTML】菜单项，也可以在案件管理界面根目录右键单击，在弹出的右键菜单中选择【导出案件信息到HTML】，在弹出的导出案件信息对话框中选择需导出的案件信息、导出所有项或导出选中项及保存路径。导出文件系统时如勾选在文件中预览图片，则文件系统在导出到HTML的同时，自动导出图片文件以供预览和查看。设定完成后，点击【确定】按钮，即开始执行导出，导出完成弹出完成信息。（7）导出报告1) 点击报告工具栏【Export】按钮，在弹出的菜单中选择导出报告的格式；2) 如果要导出PDF文件，也可直接点击工具栏【Export to PDF】按钮，弹出的设定对话框，点击【OK】按钮，在弹出另存为对话框中选择保存路径及报告名称，点击【保存】按钮即开始执行导出报告。（8）案件操作日志系统提供对整个案件操作的跟踪，以日志的形式表现出来。点击【工具->获取日志->案件操作日志】菜单项，弹出SafeMobile操作日志HTML对话框，开始查看操作日志。（9）导出案件1) 案件获取完成，点击【工具->导出案件】菜单项，弹出导出到数据库对话框。2) 点击“”按钮，在打开的另存为对话框中，选择合适的路径后，点击【确定】按钮即可。3) 导出到指定数据库时，数据库保存方式为尾部追加。10、手机取证有效性1) 对带有SIM卡的手机 不要轻易更换SIM卡，防止破坏通话记录数据信息。2) 对没有SIM卡的手机，部分手机可以直接获取，不能直接获取的，为了保证正常获取，建议插入一张没有任何电话本和短信的空白SIM卡。3) 不要长时间将手机电池去掉，会造成手机用户数据丢失。特别某些Windows CE平台手机，电池长时间取掉，手机内存中的用户数据会全部清空。4) 不要轻易修改手机的系统时间，可能会造成手机用户数据的丢失。特别是塞班S60平台手机，通话记录时间与修改时间的时间差过大会造成通话记录的丢失。5) 在对手机进行获取时，请将盘石公司提供的手机屏蔽器处于开启状态，避免外界打入电话或收取信息，造成原始证据破坏。6) 屏蔽器是依靠电源充电，在屏蔽器没电时，请插上盘石公司提供的手机屏蔽器电源进行充电。7) 基于部分手机的数据获取功能不同，需要向手机中安装一些插件，在获取过程中会弹出相应提示框，请注意查看，根据案件具体需要，作出相应选择。8) 智能手机在不关机保存的情况下可将手机切换至飞行模式，以避免手机在获取前被远程销毁数据。