基于協(xié)議逆向分析的智能移動終端通信數(shù)據(jù)主動取證研究.pdf

1、隨著智能移動終端系統(tǒng)的發(fā)展、高速移動網(wǎng)絡(luò)的普及、移動應(yīng)用程序的爆發(fā)式增長，移動智能終端在人們生活中扮演著越來越重要的作用。與此同時，利用智能移動終端進(jìn)行隱私竊取、詐騙以及惡意攻擊等犯罪活動也日益猖獗。因此，針對智能移動終端進(jìn)行數(shù)據(jù)取證對于打擊不法行為有著重要的意義，然而目前的智能移動終端取證技術(shù)大多都是被動取證，將關(guān)注點(diǎn)放在了事后取證上，通過收集智能移動終端上殘留的信息來推斷犯罪事實(shí)，忽略了移動智能終端通信數(shù)據(jù)的實(shí)時取證，獲得的證據(jù)信息

2、不夠及時和全面。
　　本文將研究重點(diǎn)放在智能移動終端應(yīng)用程序的網(wǎng)絡(luò)通信數(shù)據(jù)取證上，目前大部分應(yīng)用程序采用的是自定義的無公開規(guī)范的私有協(xié)議，截獲的網(wǎng)絡(luò)通信數(shù)據(jù)不能直接作為證據(jù)呈現(xiàn)?；诖饲闆r，本文設(shè)計并實(shí)現(xiàn)了一個基于協(xié)議逆向技術(shù)的智能移動終端通信數(shù)據(jù)主動取證系統(tǒng)，本文的具體工作如下:
　　1.研究目前智能移動終端取證的發(fā)展現(xiàn)狀，分析當(dāng)前取證技術(shù)中存在的問題，在此基礎(chǔ)上提出了一個適用于移動智能終端應(yīng)用程序通信數(shù)據(jù)主動取證的方案。

3、
　　2.提出了基于協(xié)議逆向技術(shù)的取證信息提取方案。該方案首先利用動態(tài)污點(diǎn)分析技術(shù)獲取目標(biāo)應(yīng)用程序?qū)W(wǎng)絡(luò)通信數(shù)據(jù)進(jìn)行處理的指令執(zhí)行軌跡，然后利用軌跡信息分析污點(diǎn)傳播情況，提取出通信數(shù)據(jù)的具體處理信息，最后根據(jù)制定的消息格式解析策略解析通信數(shù)據(jù)的消息格式，將得到的消息格式信息進(jìn)行存儲，作為證據(jù)信息。
　　3.提出了推斷應(yīng)用程序通信協(xié)議的方案。該方案在解析得到的消息格式的基礎(chǔ)上進(jìn)行消息聚類，分析得到每一類消息的通用格式，在此基礎(chǔ)

4、上根據(jù)制定的狀態(tài)機(jī)推斷策略推斷應(yīng)用程序協(xié)議的狀態(tài)機(jī)，最后利用字符串相似度算法比對推斷出的狀態(tài)機(jī)與已知協(xié)議的狀態(tài)機(jī)，得到應(yīng)用程序使用的通信協(xié)議。
　　4.設(shè)計并實(shí)現(xiàn)了基于Android平臺的智能移動終端應(yīng)用程序通信數(shù)據(jù)主動取證系統(tǒng)。該系統(tǒng)包括取證代理模塊、證據(jù)分析模塊和證據(jù)存儲模塊。其中取證代理模塊完成應(yīng)用程序信息處理指令軌跡的獲取;證據(jù)分析模塊完成應(yīng)用程序消息格式的解析、狀態(tài)機(jī)的推斷以及狀態(tài)機(jī)比對;證據(jù)存儲模塊將獲得的消息格式信息