{"draftJsState":{"blocks":[{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"8beia"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Что нужно для импровизированной лаборатории:","type":"header-three","key":"di1uj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Android SDK — стандартный пакет SDK для Android-разработчика;","type":"unordered-list-item","key":"7u6js"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Mobile drivers — пак драйверов для подключения исследуемого девайса к хостовой машине, с которой сидит «эксперт-криминалист».","type":"unordered-list-item","key":"2h2mp"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Всегда ясно и четко осознавай, какое именно действие и для какой цели ты совершаешь. Неправильное использование приведенных в тексте статьи программ может привести к потере информации (артефактов) или искажению полученных данных (криминалистических доказательств). Ни автор, ни редакция не несут ответственности за любой ущерб, причиненный неправильным использованием материалов данной статьи.","type":"blockquote","key":"6de5b"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"31a3k"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Первые приготовления","type":"header-three","key":"bqll8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Итак, самым первым и обязательным шагом подготовки нашей лаборатории будет установка Android SDK и пакета драйверов. Последний часто идет универсальным паком, то есть содержит драйверы для большинства современных девайсов. И они автоматически определят подключенную модель. В редких случаях приходится доустанавливать необходимый драйвер вручную: либо тоже паком, как Android Device Driver Pack, либо ручками. Чтобы пойти вторым путем, надо найти нужный пак в каталогах типа Android Find Driver.","type":"unstyled","key":"1n23f"},{"data":{"image":{"id":"615c8641be7c267155d8ef79"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"cs4t1"},{"data":{"image":{"id":"615c8647dc6fca00da822b7f"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"1em0n"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\uD83D\uDCCC Особо ленивые могут установить ADB вместе со всеми драйверами и аддонами «одним кликом»: при помощи ADB Installer.","type":"blockquote","key":"8f7f4"},{"data":{"image":{"id":"615c866ec17cf933fdceaebf"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"b4o9d"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Очень важная составляющая SDK — Android Virtual Device. Благодаря этому компоненту можно создавать виртуальные образы системы и после запускать их на своей машине. По сути это эмулятор системы, созданный для разработчиков, которые пишут приложения под эту платформу.","type":"unstyled","key":"dd7ka"},{"data":{"image":{"id":"615c8698436f843994b155f1"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"6okcd"},{"data":{"image":{"id":"615c869cdc8e076183ff4768"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"fhjek"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Первое подключение","type":"header-three","key":"6qlah"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"После установки SDK и пакета драйверов можно смело линковать девайс к компьютеру через USB-кабель. Предварительно в опциях девайса нужно активировать режим USB mass storage, то есть режим внешнего USB-накопителя. Дальше это поможет выполнять команды с ADB-консоли. Еще надо включить режим отладки Android Debug Bridge (ADB) в секции «Для разработчиков».","type":"unstyled","key":"ddhnr"},{"data":{"image":{"id":"615c86e5425b357b4d3def80"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"c1oog"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Теперь запускаем командный интерпретатор CMD.EXE. А дальше, уже через него, — шелл, который предоставит доступ к девайсу:","type":"unstyled","key":"fc6j6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":" C:\\ADB_folder>adb.exe devices","type":"unordered-list-item","key":"c2dmo"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"List of devices attached:","type":"unordered-list-item","key":"50mnv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":" 4df155сс115e4f21 device","type":"unordered-list-item","key":"327to"},{"data":{"image":{"id":"615c8711dc6fca00da8373d0"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"em214"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Так, мы законнектили наш девайс к компьютеру. Теперь можно получить внутренний шелл Android-устройства и проверить вывод, набрав команду whoami:","type":"unstyled","key":"bqb95"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"C:\\ADB_folder>adb.exe shell","type":"unordered-list-item","key":"4d6l0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"shell@android:/ $ whoami","type":"unordered-list-item","key":"8d975"},{"data":{"image":{"id":"615c873bdccd0f25d37e714d"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"9nk8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\uD83D\uDCCC Приглашение $ в командной строке означает, что мы находимся в непривилегированном пользовательском режиме. Символ # — приглашение с правами суперпользователя.","type":"blockquote","key":"fv693"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"a60o6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":51,"offset":0,"style":"BOLD"}],"text":"Мини-шпаргалка по самым востребованным командам ADB","type":"unstyled","key":"8316r"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb start-server — запуск службы ADB на локальном компьютере;","type":"unordered-list-item","key":"1a9p0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb kill-server — остановить службу ADB (завершить процесс и выгрузить из памяти);","type":"unordered-list-item","key":"ace0b"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb devices — получить список подключенных устройств;","type":"unordered-list-item","key":"4re23"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb get-state — получить статус текущих подключений;","type":"unordered-list-item","key":"chmr8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb logcat — просмотр логов в режиме реального времени в консоли;","type":"unordered-list-item","key":"42ap9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb logcat *:E — выводить на экран только ошибки (system error);","type":"unordered-list-item","key":"95sf2"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb backup -option -packets — выполнить резервное копирование;","type":"unordered-list-item","key":"lsqr"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb backup -option -packets — выполнить резервное копирование;","type":"unordered-list-item","key":"cba7j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb backup -option -packets — выполнить резервное копирование;","type":"unordered-list-item","key":"dlmcq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb reboot bootloader — перейти в режим настройки загрузчика.","type":"unordered-list-item","key":"8g9qj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Теперь создаем копию внутренней памяти Android-устройства. Для этого в CLI девайса пишем:","type":"unstyled","key":"8fdcl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"️ dd if=/dev/block/mmcblk0 of=/sdcard/blk0.img bs=4096","type":"unordered-list-item","key":"8uvce"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Не забудь предварительно убедиться, что в смартфон или другое устройство вставлена SD-карточка, на которую будет писаться образ. Иначе он запишется во внутреннюю память устройства, и тогда часть артефактов потеряется. Результат: фактическая картина инцидента будет искажена.","type":"unstyled","key":"50gvl"},{"data":{},"depth":0,"entityRanges":[{"key":0,"length":10,"offset":86}],"inlineStyleRanges":[],"text":"Чтобы сделать копию уже имеющейся SD-карты, можно воспользоваться бесплатной утилитой FTK Imager. Кстати, этот же образ потом можно будет и просмотреть в программе.","type":"unstyled","key":"cvbrc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Источники данных","type":"header-three","key":"1g6cu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Прежде чем приступить к поиску и извлечению артефактов, нужно определиться с основными источниками, которые мы будем анализировать, и местами их хранения во внутренней памяти Android-девайса.","type":"unstyled","key":"40fmo"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\uD83D\uDCCC Все данные приложений, в том числе системных, сохраняются в директории /data/data/. Но доступ к этой директории возможен только с правами суперпользователя, так что если наше устройство изначально не «рутовано», значит, нам предстоит это сделать.","type":"blockquote","key":"ctsdm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"31jlv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Каждое приложение (app) представляет собой одноименный пакет. Как правило вида , где name.app — имя приложения, которое пользователь видит в Google Play или уже в своем телефоне, а *.base — это некая сигнатура, определяющая, что именно содержит пакет. К примеру:","type":"unstyled","key":"d4tid"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"contacts — список контактов;","type":"unordered-list-item","key":"cqsvh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"maps — карты и координаты геолокации;","type":"unordered-list-item","key":"dqvev"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"maps — карты и координаты геолокации.","type":"unordered-list-item","key":"ecufm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Внутри пакета по сути набор директорий, где в соответствии с внутренней логикой приложения содержатся те или иные данные. Например, обычно визуальный и аудиоконтент хранится в /media, фотокарточки и аватары — в /photos, данные профиля — в /profile, кеш — в /chache. Конечно, бывают исключения: иногда нужно залезать в каждый каталог и просматривать его.","type":"unstyled","key":"4i6jf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Основные источники данных","type":"header-three","key":"8ntpl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":25,"offset":0,"style":"BOLD"}],"text":"Контакты и журнал вызовов","type":"unstyled","key":"72vp8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/files/photos/profile//databases/contacts2.db — основная БД, содержащая список контактов, открывается с помощью SQL Manager Lite (viewer).","type":"unstyled","key":"2m3l1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":19,"offset":0,"style":"BOLD"}],"text":"Сообщения SMS и MMS","type":"unstyled","key":"5d96s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Имя пакета: com.android.providers.telephony","type":"unstyled","key":"b4q47"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Интересующие эксперта директории и файлы:","type":"unstyled","key":"bk3at"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/app_parts","type":"unstyled","key":"8ii12"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/databases","type":"unstyled","key":"ccptt"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/mmssms.db — БД с SMS- и MMS-сообщениями","type":"unstyled","key":"arm1s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"telephony.db — журнал звонков","type":"unstyled","key":"bvn1a"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":11,"offset":0,"style":"BOLD"}],"text":"Почта Gmail","type":"unstyled","key":"6r6kv"},{"data":{},"depth":0,"entityRanges":[{"key":1,"length":21,"offset":12}],"inlineStyleRanges":[],"text":"Имя пакета: com.google.android.gm","type":"unstyled","key":"9402f"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Интересующие эксперта директории и файлы:","type":"unstyled","key":"17iht"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/cache","type":"unstyled","key":"qass"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/databases","type":"unstyled","key":"5oo8p"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"mailstore.@gmail.com.","type":"unstyled","key":"3vtpr"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"dbdatabases/suggestions.db","type":"unstyled","key":"eiq8g"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/shared_prefs/MailAppProvider.xml","type":"unstyled","key":"do4l4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Gmail.xml","type":"unstyled","key":"4f5al"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"UnifiedEmail.xml","type":"unstyled","key":"dm7tj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":13,"offset":0,"style":"BOLD"}],"text":"Google Chrome","type":"unstyled","key":"68cs"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Имя пакета: com.android.chrome","type":"unstyled","key":"aespf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Интересующие эксперта директории и файлы:","type":"unstyled","key":"apkm8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/app_chrome/Default/","type":"unstyled","key":"6o6jm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Sync Data/SyncData.sqlite3","type":"unstyled","key":"brfvj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Bookmarks","type":"unstyled","key":"d2k0p"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Cookies","type":"unstyled","key":"4c3rd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Google Profile Picture.png","type":"unstyled","key":"94gi7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"History","type":"unstyled","key":"e13rv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Login Data","type":"unstyled","key":"25l35"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Preferences","type":"unstyled","key":"aj00"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Top Sites","type":"unstyled","key":"53n0j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Web Data","type":"unstyled","key":"5cl7q"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/app_ChromeDocumentActivity/","type":"unstyled","key":"2nlnt"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/cache/http/","type":"unstyled","key":"7nkin"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"databases/gmm_myplaces.db — сохраненные места на картах Google","type":"unstyled","key":"527qn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Mapsgmm_storage.db — места, отмеченные геолокацией","type":"unstyled","key":"35paf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/files/video-cache/","type":"unstyled","key":"8cpm0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/cache/images/","type":"unstyled","key":"atm89"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/databases/","type":"unstyled","key":"74s8h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"bookmarks_db2","type":"unstyled","key":"a884b"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"contacts_db2","type":"unstyled","key":"23f9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"nearbytiles_db","type":"unstyled","key":"7bl37"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"newsfeed_db","type":"unstyled","key":"2rr79"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"notifications_db","type":"unstyled","key":"2k7db"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"prefs_db","type":"unstyled","key":"ajsfk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"threads_db2","type":"unstyled","key":"dr1tp"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/files/preferences/","type":"unstyled","key":"bu9ug"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"activated_sim_serial","type":"unstyled","key":"fhfgk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"display_name","type":"unstyled","key":"cenpe"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"reg_viber_phone_num","type":"unstyled","key":"f881c"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/sdcard/viber/media/","type":"unstyled","key":"ccvhu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/User Photos/","type":"unstyled","key":"4ual"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/Viber Images/","type":"unstyled","key":"boreb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/Viber Videos/","type":"unstyled","key":"es46e"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/databases/","type":"unstyled","key":"ddmgs"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"viber_data","type":"unstyled","key":"837a8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"viber_messages","type":"unstyled","key":"674q8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/files/","type":"unstyled","key":"5n1bi"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Avatars/","type":"unstyled","key":"30s94"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"me","type":"unstyled","key":"2fa9a"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"me.jpeg","type":"unstyled","key":"2r151"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/shared_prefs/","type":"unstyled","key":"124un"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"RegisterPhone.xml","type":"unstyled","key":"1gvi3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"VerifySMS.xml","type":"unstyled","key":"3n03e"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/databases/","type":"unstyled","key":"apq1a"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"msgstore.dbwa.db","type":"unstyled","key":"clc8f"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/sdcard/WhatsApp","type":"unstyled","key":"5rgbh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"/Media/","type":"unstyled","key":"14blk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Databases/","type":"unstyled","key":"5ik1k"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Помимо стандартных приложений на устройство может быть установлено фейковое или вредоносное ПО. Поэтому еще одним источником данных может послужить изучение *.apk-файла, вытянутого из внутренней памяти. Но это уже больше относится к реверсингу малвари и выходит за рамки статьи. И все же для вирусных аналитиков и форензик-специалистов это настоящий кладезь ценной информации.","type":"unstyled","key":"325h8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сброс пароля и графического ключа","type":"header-three","key":"ahjgn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Один из основных вопросов в начале анализа — как получить доступ к устройству. И на первых порах помешать этому может установленный графический ключ или пароль. Но для нас это будет совсем не большой проблемой. Поступить можно двумя способами: либо узнать сам PIN/Password, либо просто обнулить их.","type":"unstyled","key":"526jr"},{"data":{"image":{"id":"615c8931102be86155152862"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"uguk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\uD83D\uDCCC Хеш графического ключа хранится в файле /data/system/gesture.key, а пароля — в /data/system/password.key. В принципе, пароль можно попробовать и побрутить, благо на это есть готовые радужные таблицы. Но тут Android оказался не так плох, и в password.key хеш пароля хранится с солью. А сама соль лежит по пути /data/data/com.android.providers.settings/databases/settings.db для Android версии 4.4 и ниже и собственно в /data/system/locksettings.db для версий старше, чем 4.4. Хотя есть утилиты, способные методом перебора и разделения соли выдать нам готовые PIN/Key. Мы так извращаться не станем и пойдем более быстрым и жестким путем.","type":"blockquote","key":"fjvbf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"7a95d"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Итак, приступим к разблокировке девайса. Как написано выше, если нет файла, значит, нет условия проверки. А значит, чтобы скинуть Lock Screen, нужно просто удалить несколько файлов. В консоли ADB пишем:","type":"unstyled","key":"1tohs"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ adb shell","type":"unstyled","key":"4rc1d"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ su","type":"unstyled","key":"4ol5s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ rm /data/system/locksettings.db","type":"unstyled","key":"f2j97"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ rm /data/system/locksettings.db-wal","type":"unstyled","key":"4eac5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ rm /data/system/locksettings.db-shm","type":"unstyled","key":"emhf6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ reboot","type":"unstyled","key":"8n1nb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Если после перезагрузки девайса трюк не удался, сделай еще так:","type":"unstyled","key":"di3vv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ adb shell","type":"unstyled","key":"6efid"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ cd /data/data/com.android.providers.settings/databases","type":"unstyled","key":"fn52s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ sqlite3 settings.db","type":"unstyled","key":"b2tvn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ update system set value=0 where name=’lock_pattern_autolock’;update system set value=0 where name=’lockscreen.lockedoutpermanently’;.","type":"unstyled","key":"2d0pf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"▫️ quit","type":"unstyled","key":"9cqvs"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Вот, собственно, и все! Дело сделано, дорога расчищена.","type":"unstyled","key":"3nqoh"},{"data":{},"depth":0,"entityRanges":[{"key":2,"length":33,"offset":39},{"key":3,"length":9,"offset":276}],"inlineStyleRanges":[],"text":"Для любопытных есть еще одна утилита — UFED User Lock Code Recovery Tool. Она полностью автоматизирует байпасинг. Все, что нужно, — это подключить девайс по USB-кабелю и выбрать соответствующую опцию в окне программы. И, на всякий случай, есть еще аналогичный онлайн-сервис — Andriller.","type":"unstyled","key":"3mbbt"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Основной инструментарий","type":"header-three","key":"1vvb0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Теперь об инструментах, которые мы будем юзать для форензики нашего Android-девайса.","type":"unstyled","key":"2501c"},{"data":{},"depth":0,"entityRanges":[{"key":4,"length":10,"offset":0}],"inlineStyleRanges":[],"text":"ViaExtract — это очень крутая прога, которая позволяет извлекать данные как на логическом, так и на физическом уровне. Она вытаскивает бэкапы, «рутует» девайс в один клик, а также имеет внутренний парсер и просмотрщик директорий, содержимого в них (картинки, аудио, видео), умеет делать репорты в формате XML, PFD или JSON!","type":"unstyled","key":"drtjd"},{"data":{"image":{"id":"615c897edc8e076183040389"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"7ht5"},{"data":{},"depth":0,"entityRanges":[{"key":5,"length":7,"offset":0}],"inlineStyleRanges":[],"text":"Autopsy — известная прога для анализа файловых систем и восстановления удаленных/allocated-файлов. Есть возможность мгновенного предпросмотра, экспорта и каталогизации.","type":"unstyled","key":"8u8e1"},{"data":{"image":{"id":"615c8997dc6fca00da878c06"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"4mhs1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"ViaLab Community Edition — софтина, чем-то родственная ViaExtract. Позволяет извлекать крайне ценные данные: содержание телефонной книги, журнала SMS, паролей от Gmail и других сервисов Google, пассы от сохраненных профилей Wi-Fi и т.д.","type":"unstyled","key":"6gj6l"},{"data":{"image":{"id":"615c89b4425b357b4d4234f3"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"ea9b4"},{"data":{},"depth":0,"entityRanges":[{"key":6,"length":22,"offset":0}],"inlineStyleRanges":[],"text":"Oxygen Mobile forensic — очень крутой комбайн утилит для извлечения различных данных с девайса: календаря, журналов звонков, SMS-переписки, телефонной книги, удаленных контактов, системных логов и т.п. Must have в арсенале эксперта-криминалиста, занимающегося расследованиями на мобильных платформах.","type":"unstyled","key":"88fo0"},{"data":{"image":{"id":"615c89d3102be861551619a3"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"4tjnl"},{"data":{},"depth":0,"entityRanges":[{"key":7,"length":16,"offset":0}],"inlineStyleRanges":[],"text":"SQL Manager Lite — известная утилита для просмотра баз данных (контакты, списки групп и т.д.), которые мы можем вытянуть из внутренней памяти исследуемого девайса.","type":"unstyled","key":"f66ka"},{"data":{"image":{"id":"615c89ecdc6fca00da881c62"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"fn9fl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Кейс 1. Украденный телефон","type":"header-three","key":"dbuge"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Кейс — банальная история утери (кражи) телефона некоего топ-менеджера одной из солидных фирм. Внутри корпоративная почта, аккаунты, привязанные к различным CRM-, ERP-системам, удаленный доступ к рабочему ноутбуку и куча сохраненных файлов, содержащих конфиденциальную информацию (отчеты, планы, презентации, вложения писем). Через пару дней телефон был случайно обнаружен (подброшен?) в офисе. Однако непонятно, кто и с какой целью его похитил. Соответственно, встал вопрос: что злоумышленники делали с телефоном все то время, которое он отсутствовал у владельца?","type":"unstyled","key":"egce5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Первым делом скидываем цифровой пароль и получаем доступ к смартфону. Далее тратим несколько минут на «рутинг» девайса и получаем права суперпользователя.","type":"unstyled","key":"3gb98"},{"data":{"image":{"id":"615c8a369d349c412a49daf8"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"4m347"},{"data":{"image":{"id":"615c8a3c9525c028db83d471"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"cvinr"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Дальше восстанавливаем SMS, список контактов и журнал вызовов. Пишем в консоли ADB:","type":"unstyled","key":"7padm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adb pull –p /data/data/com.android.providers.telephony/databases/mmssms.db C:/Users/Forensic/Case_0001","type":"unstyled","key":"6jhbl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"После копирования открываем файл mmssms.db вьювером SQL Manager Lite. Либо, если предварительно прогнать через Autopsy, сразу будет доступен предпросмотр.","type":"unstyled","key":"9i0m7"},{"data":{"image":{"id":"615c8a61be7c267155df1966"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"1rnat"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Дальше, после прогона Autopsy, мы можем получить список контактов и журнал вызовов, а затем выстроить по ним таймлайн, чтобы определить, звонил ли по каким-то номерам телефонов наш злоумышленник.","type":"unstyled","key":"9t68o"},{"data":{"image":{"id":"615c8a789d349c412a4a4eb9"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"bkqsl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Далее просматриваем список Wi-Fi-сетей, к которым подключался девайс. Для этого нужно пройти по пути /data/misc/wifi/wpa_supplicant.conf и извлечь файл wpa_supplicant.conf. Этот файл содержит в себе открытым текстом (без какого-либо шифрования!) данные о подключениях к Wi-Fi: имя точки доступа, пароль и некоторые служебные данные, необходимые для подключения.","type":"unstyled","key":"cvdg2"},{"data":{"image":{"id":"615c8af1436f843994b88518"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"bigmc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Как видим, кроме корпоративной сети с дефолтными настройками, наш аппарат больше никуда не подключался. И как мини-вывод: либо никаких подключений злоумышленнику и не требовалось, либо данные об этом подключении после завершения коннекта были удалены.","type":"unstyled","key":"232a5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Ищем удаленные файлы с помощью Autopsy.","type":"unstyled","key":"54nf"},{"data":{"image":{"id":"615c8b0fd132a051351b8ba0"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"fir3l"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"По результатам поиска нам так и не удалось обнаружить никаких серьезных артефактов, свидетельствующих о неправомерных действиях с телефоном. Очевидно, что злоумышленник мог просто получить визуальный доступ, просмотрев, к примеру, почтовые сообщения, сохраненные вложения и, возможно, перекопировав пароли доступа к другим корпоративным системам (если их просмотр без смены был возможен). Как вариант, мог быть снят полный дамп памяти телефона. Но к сожалению, подобные манипуляции никак не отражаются в системе, и констатировать их невозможно.","type":"unstyled","key":"ahh3q"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Кейс 2. Ревнивая жена","type":"header-three","key":"ea6fb"},{"data":{},"depth":0,"entityRanges":[{"key":8,"length":22,"offset":668}],"inlineStyleRanges":[],"text":"Очень банальная ситуация в духе детективных агентств из классических романов. К нам в лабораторию обратилась дама с просьбой найти следы измены ее благоверного. Несмотря на то, что муж заявляет обратное, и никаких компрометирующих данных на поверхностный взгляд в смартфоне нет, мы попробуем установить истину. Итак, что мы будем искать в первую очередь? Это переписка в мессенджере WhatsApp, сохраненные (и, возможно, уже удаленные) фотографии во внутренней памяти и на SD-карте, а также звонки и SMS-сообщения. Ведь это же прямые доказательства, не так ли? Снова извлекаем данные о SMS/MMS, журнал звонков и список контактов. На сей раз будем действовать при помощи Oxygen Mobile forensic. После нескольких минут ожидания получаем листинг отправленных SMS и совершенных звонков.","type":"unstyled","key":"4v7qg"},{"data":{"image":{"id":"615c8b319525c028db854639"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"bvo4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Пробуем нащупать удаленные фотовидеофайлы, которые могли быть отправлены или получены от интересующего нас адресата. В дело идет уже известный Autopsy.","type":"unstyled","key":"4bh1c"},{"data":{"image":{"id":"615c8b429d349c412a4b98e0"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"7srki"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Ну что, дело за WhatsApp. Уж там-то должно быть много интересного! Дергаем два файла: /data/data/com.whatsapp/databases/msgstore.db и /data/data/com.whatsapp/databases/wa.db. Файл wa.db хранит в себе список контактов, их номеров, активность и даты чатов. Кстати, WhatsApp периодически делает резервную копию, которую хранит локально. Взять ее можно по пути /sdcard/WhatsApp/Databases/msgstore.db.crypt. А ключ шифрования лежит по пути userdata/data/com.whatsapp/files/key.","type":"unstyled","key":"o40h"},{"data":{"image":{"id":"615c8b5ddc8e07618307147e"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"eg1si"},{"data":{},"depth":0,"entityRanges":[{"key":9,"length":25,"offset":16}],"inlineStyleRanges":[],"text":"Берем программу WhatsApp DB/Key Extractor и скармливаем ей наш ключ, указывая путь к msgstore.db, дальше выбираем опцию Decrypt и отправляемся пить кофе. В итоге у нас расшифрованная база данных всех чатов с содержанием бесед и пересылаемых данных (их метаданных).","type":"unstyled","key":"ama07"},{"data":{"image":{"id":"615c8b9edc8e076183078198"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"brb18"},{"data":{"image":{"id":"615c8ba59d349c412a4c309e"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"8359c"},{"data":{"image":{"id":"615c8ba91ea217184e28c869"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"8o6v7"},{"data":{"image":{"id":"615c8bafc17cf933fdd73971"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"8op50"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Резюме","type":"header-three","key":"4kh5c"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Перед тобой полноценное руководство по извлечению данных из смартфона. Пускай мы и покажемся занудами, но используй его в благих целях. Все зло возвращается в десятикратных размерах. Зачем вредить самому себе?","type":"unstyled","key":"bnrc7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"b05uh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"5d10q"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"9r4i3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"70e5h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"2tpjo"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"2u6e1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"cbfpa"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"51fap"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"bgdc4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"epqs9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"5s4h0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"ccsl9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"6k61o"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"3qi40"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"4epcu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"8s6ae"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"c2s3t"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"ejb1m"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"9gq4o"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"8bsp8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"marker","key":"Z1B3qjeXKPyjrZtbx1Rr"}],"entityMap":{"0":{"data":{"href":"https://accessdata.com/product-download","url":"https://accessdata.com/product-download"},"mutability":"MUTABLE","type":"LINK"},"1":{"data":{"href":"http://com.google.android.gm/","url":"http://com.google.android.gm/"},"mutability":"MUTABLE","type":"LINK"},"2":{"data":{"href":"https://www.invsolutionsllc.net/ufed-user-lock-code-recovery-tool-unlocking-an-ios-device/","url":"https://www.invsolutionsllc.net/ufed-user-lock-code-recovery-tool-unlocking-an-ios-device/"},"mutability":"MUTABLE","type":"LINK"},"3":{"data":{"href":"https://www.andriller.com/","url":"https://www.andriller.com/"},"mutability":"MUTABLE","type":"LINK"},"4":{"data":{"href":"https://www.nowsecure.com/blog/2012/07/15/viaextract-version-1-6-available-now/","url":"https://www.nowsecure.com/blog/2012/07/15/viaextract-version-1-6-available-now/"},"mutability":"MUTABLE","type":"LINK"},"5":{"data":{"href":"https://www.sleuthkit.org/autopsy/","url":"https://www.sleuthkit.org/autopsy/"},"mutability":"MUTABLE","type":"LINK"},"6":{"data":{"href":"https://www.oxygen-forensic.com/","url":"https://www.oxygen-forensic.com/"},"mutability":"MUTABLE","type":"LINK"},"7":{"data":{"href":"https://sqlitebrowser.org/","url":"https://sqlitebrowser.org/"},"mutability":"MUTABLE","type":"LINK"},"8":{"data":{"href":"https://www.oxygen-forensic.com/","url":"https://www.oxygen-forensic.com/"},"mutability":"MUTABLE","type":"LINK"},"9":{"data":{"href":"http://www.spyhttps//github.com/EliteAndroidApps/WhatsApp-Key-DB-Extractor","url":"http://www.spyhttps//github.com/EliteAndroidApps/WhatsApp-Key-DB-Extractor"},"mutability":"MUTABLE","type":"LINK"}}},"mentions":[]}