【實戰：小辣椒GM-Q5+】高通YunOS手機取證實戰

轉自：平航科技（ID：pinghangtechnology）

17年年中，某犯罪嫌疑人涉嫌利用網路販賣個人信息，辦案人員在其身上搜索到一部小辣椒手機。但嫌疑人在審訊過程中，閉口不交代任何事情。涉案手機是YunOS系統的小辣椒手機，且手機上有多個微信分身，且均為登出狀態，由於辦案部門使用現有取證工具無法直接取證到數據，使本案進一步偵辦陷入僵局，平航科技的技術人員獲悉后，第一時間提供了技術支持，協助用戶獲取到了重要價值的線索。

嘗試利用YunOS手機自帶的recovery備份提取

使用超級ADB直連取證

取證結果：由於該手機recovery無備份功能，且手機系統補丁較新，均未取證到數據。

平航取證過程

平航科技的技術人員對該檢材手機進行數據固定取證過程如下：

確定手機晶元型號

送檢員告知的晶元型號為MTK6735，但在關機連接到檢驗電腦時並未發現MTK埠。將手機開機並記錄開機時間，在手機設置界面，發現有硬體信息，經查看卻發現為MSN開頭的高通晶元。

利用高通晶元9008埠製作手機鏡像

在確定手機晶元后，將手機關機並進入到高通9008埠，用平航手機鏡像軟體中的高通提取方式提取到手機的userdata分區物理鏡像4.27G。

鏡像分析

利用平航手機取證分析軟體載入檢材手機鏡像並進行全面解析。共提取該手機登陸過8個微信賬號（包含分身）。

核對微信數據

由於該手機有分身微信，為確保數據取證完整，技術人員通過查看該手機的文件系統，確認到微信資料庫為8個，4個在data文件夾，4個在user文件夾中。至此確認全部分身微信數據均已提取。

結束語：由於分身微信非官方出品，常常具有不同的保存路徑，為了確保數據的全面固定和提取，建議採用鏡像的方式固定數據，完成解析后最好在文件系統中再次確認微信資料庫均被正常解析，避免造成遺漏。