编者按：
本期讲解第1个手机案例，完整呈现最基本的“手机数据提取”全流程和基础注意事项。手机数据提取初学者，可通过此文掌握基础理论与实操方法，为下一步学习有难度的数据提取与分析奠定基础。因本案例涉及到网络诈骗案件侦破，文中所有敏感信息均做模糊处理。
案例背景：201x年x月x日，受害人周某向xx市公安部门报案自己被诈骗。xx市公安局刑警大队在侦办该案过程中发现犯罪嫌疑人曹某通过电话、微信、QQ等方式，在获得受害人信任后，发送虚假照片给受害人并以谈恋爱为幌子，骗取受害人财务。为此，公安机关需要对犯罪嫌疑人作案手机中的电子数据进行固定和提取，为打击犯罪提供证据。
实战对象：安卓某品牌手机，已Root，外观完好（没有砸摔、泡水等），正常使用，数据未做删除，需要提取电话、微信、QQ等通讯信息。
技术分析：由于手机已Root，此类手机信息数据提取属于常规类型。利用效率源SPF9139系统的基本流程——“物理镜像”、“数据提取”、“数据分析”和“生成报告”就可完成（如图1）。
图1：SPF9139系统业务操作流程
提取设备：
SPF9139系统，是一款集智能手机数据提取、恢复和取证分析为一体的综合系统，可以根据实际需求应用到电脑或者多种硬件平台上（电脑或工作站）。本案例使用的是搭载了SPF9139系统的工作站（如图2），除了具有数据恢复、提取、取证分析等功能，还能进行手机芯片提取，多次在打击网络犯罪活动中发挥了重要作用。
图2:搭载SPF9139的工作站
提取步骤：
一、前期准备
1、手机信号屏蔽。手机只要一开机，就会自动与外界进行通讯，可能会导致手机信息被篡改。因此，在电子取证或司法鉴定过程中需要使用信号屏蔽装置（如图3），避免手机与外界通讯带来数据变动，保障手机数据的完整性与原始性。
图3 ：手机装入屏蔽袋
2、手机接入SPF9139。通过数据线将手机连接至搭载了SPF9139系统的电脑或工作站。由于数据线品牌较多，但并不是所有数据线都有数据传输功能，所以需要尽可能使用原装数据线（非原装可能导致连接失败，影响取证效率）。同时，电脑或工作站端口的数据线接口应为“只读”，避免电脑对手机里面的数据进行更改，以保证取证数据的完整性与原始性。
3、启动SPF9139系统。 通过电脑或工作站操作界面启动SPF9139（见图4），系统会自动读取并显示手机基本信息，比如手机品牌、手机型号、手机系统、是否root等。根据界面提示，本案例手机已经Root（如图5）。
图4：启动SPF9139系统
图5：SPF9139系统检测出手机已Root
4、创建手机提取任务。点击“创建任务”按钮，填写与本案相关信息，包括任务名称、所属案例、手机品牌、手机型号、送检人员、送检时间等（案件内容属于涉密信息，均做马赛克处理，如图6），方便之后快速查询到案例。
图6：创建新的任务（红色框填写基本信息）
二、物理镜像
所谓物理镜像，指的是将提取对象的信息数据进行拷贝。根据《司法鉴定程序通则》规定，司法鉴定一般不能直接在检材（送检对象）上操作，而是要求在拷贝上操作。而电子取证、数据恢复等操作，为确保数据安全性，也建议在镜像文件上进行提取、分析。
如图7所示，物理镜像页面左侧为“镜像源”，也就是提取对象（本案手机），可以根据需求选择手机、SIM卡、SD卡，每一项内容下面，也可以选择具体区域，包括全部存储芯片、数据区、系统区、缓存区。为保证取证完整性，本案选择的是“手机全部存储芯片”。右侧为“镜像目标”，也就是镜像文件存储地址，可以选择默认地址（C:\XLYSFTasks\文件名\mirror，），也可自行指定。
图7：选择物理源和镜像目标
三、数据提取
1、加载物理镜像文件。物理镜像成功之后，新建一个任务（如图8），“任务名称”可以填写需要提取的数据信息类别（后期便于区分是哪一部分数据），如本案例可填写成“**手机通话记录、微信、QQ提取”。完成新建任务后，进入数据提取页面（如图9），选择“镜像加载”按钮（如图10）。找到本案件手机物理镜像存储位置（C:\XLYSFTasks\文件名\mirror），加载物理镜像。
图8：创建新的数据提取任务
图9：点击进入数据提取页面
图10：选择加载镜像
2、选择要提取的类别。SPF9139系统能提取的数据包括通讯录、通话记录、短信、社交聊天、主流邮箱、地图公交等绝大部分手机应用。根据客户需求，本案只选择电话、微信、QQ等通信方式（如图11、12）。
图11：选择提取QQ和微信数据
图12：选择提取通话记录
3、提取手机数据。点击“开始提取”按钮，即可将需要的相关信息数据提取出来（如图13）。
图13：数据提取
四、分析提取数据
提取完数据之后，SPF9139系统会自动进入数据分析页面。点击微信、QQ、电话等提取目录，可对每一项内容进行详细的数据分析。比如本案点击手机通话记录，可以清楚的显示联系人、通话时间、通话时长、号码归属地、通话号码分布、通话频率等等，从而锁定需要提取的目标号码信息（如图14）。微信、QQ的数据提取同理。
图14：分析手机通话记录
五、导出数据分析报告
在分析完提取数据之后，可根据案件需求，将相应的提取数据信息生成分析报告，全面呈现数据提取的结果，以供案件侦破或取证。
提取结果：通过以上5个大步骤，对手机对外通信记录和数据进行提取和固定，为案件的快速侦破和司法判决提供了证据。
注意事项：1、在进行数据提取时，一定要先将手机放入信号屏蔽袋。
2、为了提高取证效率，尽量选用原装数据线。
3、在进行数据提取分析时，一定要使用物理镜像。
编后语：在公安、司法进行电子取证、司法鉴定的过程中，经常需要对Android已ROOT手机中的电子数据进行固定和提取。通过本案例我们可以看到效率源SPF9139智能手机数据恢复取证系统能够轻松实现制作镜像和分析提取数据。关于如何进行Android手机非ROOT提取、IOS越狱提取、IOS非越狱提取、损坏手机的芯片数据提取、绕过Android屏幕锁、ROOT权限等内容将在以后案例中为你呈现，敬请期待！
关注微信公众号“xiaolvyuantech”或微信搜索“效率源科技”加关注，了解更多技术知识!
