移动设备取证与网络分析全解析
一、EnCase工具在iPhone取证中的应用
1.1 EnCase对iPhone磁盘镜像的处理
EnCase可以导入完整iDevice磁盘的原始DMG(磁盘镜像),即便给出磁盘视图中的正确起始偏移量,EnCase能识别出有两个分区,但看不到文件结构。
1.2 EnCase的操作及数据提取步骤
当无法看到文件系统时,可采取以下操作从iPhone镜像文件中提取数据:
1. 从Enscript面板中,选择Case Processor。
2. 为该进程命名,例如Data Carve。
3. 点击Next。
4. 在Case Processor对话框中,点击File Finder。
5. 从File Finder对话框中,选择要提取的文件类型。
6. 若要选择未列出的其他文件类型,有两种方式:一是从EnCase内的表格导入;二是通过创建自定义签名按钮来创建自己的文件类型。
7. 无论是自己创建还是从导入表中选择后,返回File Finder窗口,勾选刚刚添加的所有文件类型。
8. 完成上述操作后,返回Case Processor窗口,点击Finish。
9. 数据提取完成后,结果将显示在Bookmarks标签中。
10. 审查并标记相关的证据。
1.3 EnCase与FTK对比
EnCase比其同类工具FTK能提取更多项目,因为它可以灵活添加自定义文件类型。这表明在手机取证中,使用多种工具是明智的,单一工具往往难以解决所有问题。


超级会员免费看
订阅专栏 解锁全文

406

被折叠的 条评论
为什么被折叠?



