第1章 Android与移动取证 1
1.1 绪论 1
1.2 Android平台 1
1.2.1 Android的发展历程 3
1.2.2 谷歌的策略 8
1.3 Linux、开源软件与取证 10
1.4 Android开放源码项目 24
1.4.1 AOSP使用许可 24
1.4.2 开发过程 25
1.4.3 开源在取证中的价值 27
1.4.4 AOSP下载和编译 28
1.5 Android平台的国际化 29
1.5.1 Unicode 29
1.5.2 输入键盘 29
1.5.3 个性化分支 30
1.6 Android市场 31
1.6.1 应用软件安装 32
1.6.2 应用情况统计 34
1.7 Android取证 34
1.8 本章小结 35
1.9 参考资料 35
第2章 Android硬件平台 37
2.1 绪论 37
2.2 核心部件概述 37
2.2.1 中央处理器 37
2.2.2 基带调制解调器／无线电 38
2.2.3 内存（RAM与NAND闪存） 38
2.2.4 GPS 39
2.2.5 无线（Wi-Fi与蓝牙） 39
2.2.6 安全数字卡 39
2.2.7 显示屏 40
2.2.8 摄像机 40
2.2.9 输入键盘 41
2.2.10 电池 41
2.2.11 通用串行总线 41
2.2.12 加速仪／陀螺仪 42
2.2.13 音响／麦克风 42
2.3 终端设备类型概述 42
2.3.1 智能手机 43
2.3.2 平板电脑 43
2.3.3 上网本电脑 43
2.3.4 谷歌TV 43
2.3.5 车辆（内置） 43
2.3.6 GPS设备 44
2.3.7 其他终端设备 44
2.4 只读内存及启动加载程序 44
2.4.1 开启电源和片上ROM代码执行 45
2.4.2 启动加载程序（初始程序加载／第二阶段程序加载） 46
2.4.3 Linux内核 46
2.4.4 init进程 47
2.4.5 Zygote和Dalvik 49
2.4.6 系统服务器 49
2.5 制造商 50
2.6 Android更新 51
2.6.1 自定义用户界面 52
2.6.2 售后市场中的Android终端设备 52
2.7 具体的终端设备 53
2.7.1 T-Mobile G1 53
2.7.2 摩托罗拉Droid 53
2.7.3 HTC Incredible 53
2.7.4 谷歌Nexus One 54
2.8 本章小结 54
2.9 参考资料 55
第3章 Android软件开发套件和Android程序调试桥 56
3.1 绪论 56
3.2 Android平台 56
3.3 软件开发套件 60
3.3.1 软件开发套件的发布史 60
3.3.2 软件开发套件的安装 61
3.3.3 Android虚拟终端设备（仿真器） 68
3.3.4 Android操作系统体系结构 71
3.3.5 Dalvik虚拟机 72
3.3.6 本地代码开发 73
3.4 Android安全模型 73
3.5 取证与软件开发套件 74
3.5.1 将Android终端设备与工作站进行连接 75
3.5.2 USB接口 78
3.5.3 Android程序调试桥简介 83
3.6 本章小结 85
3.7 参考资料 85
第4章 Android文件系统与数据结构 86
4.1 绪论 86
4.2 shell中的数据 86
4.2.1 存储的数据 86
4.2.2 应用数据存储目录结构 87
4.2.3 数据如何存储 88
4.3 内存类型 105
4.4 文件系统 112
4.4.1 rootfs、devpts、sysfs和cgroup文件系统 113
4.4.2 proc 115
4.4.3 tmpfs 116
4.4.4 扩展文件系统 119
4.4.5 FAT32/VFAT 120
4.4.6 YAFFS2 120
4.5 挂载的文件系统 131
4.6 本章小结 134
4.7 参考资料 134
第5章 Android终端设备、数据与应用安全 135
5.1 绪论 135
5.2 数据窃取目标和攻击向量 136
5.2.1 以Android终端设备作为目标 136
5.2.2 以Android终端设备作为攻击向量 143
5.2.3 数据存储 143
5.2.4 用于记录的终端设备 144
5.3 安全考虑 145
5.3.1 安全的哲学原理 145
5.3.2 美国的计算机犯罪法律与规定 146
5.3.3 开放源码与封闭源码 148
5.3.4 NAND闪存加密 149
5.4 个人安全策略 150
5.5 企业安全策略 152
5.5.1 安全策略 152
5.5.2 密码、模式和个人识别号锁 152
5.5.3 终端设备远程清除 153
5.5.4 升级到最新版软件 154
5.5.5 终端设备的远程管理功能 154
5.5.6 应用软件与终端设备审计 156
5.6 应用开发安全策略 157
5.6.1 移动应用安全测试 157
5.6.2 应用安全策略 158
5.7 本章小结 164
5.8 参考资料 164
第6章 Android取证技术 166
6.1 绪论 166
6.1.1 取证调查的类型 166
6.1.2 逻辑技术与物理技术的区别 167
6.1.3 修改目标终端设备 168
6.2 操作Android终端设备的程序 169
6.2.1 终端设备的安全保护 169
6.2.2 网络隔离 170
6.2.3 如何绕过口令 172
6.3 Android USB大容量存储终端设备映像 178
6.3.1 SD卡与eMMC 179
6.3.2 如何获得SD卡或eMMC的取证映像 179
6.4 逻辑技术 185
6.4.1 adb pull 185
6.4.2 备份分析 186
6.4.3 AFLogical 187
6.4.4 供应商 193
6.5 物理技术 220
6.5.1 基于硬件的物理技术 221
6.5.2 基于软件的物理技术和权限 223
6.5.3 AFPhysical技术 230
6.6 本章小结 236
6.7 参考资料 236
第7章 Android应用与取证分析 238
7.1 绪论 238
7.2 分析技术 238
7.2.1 时间序列分析 238
7.2.2 文件系统分析 241
7.2.3 文件雕复 244
7.2.4 strings命令 246
7.2.5 十六进制：取证分析师的好朋友 248
7.2.6 Android目录结构 254
7.3 FAT取证分析 260
7.3.1 FAT时间序列分析 261
7.3.2 更多的FAT分析 268
7.3.3 FAT分析师说明 269
7.4 YAFFS2取证分析 272
7.4.1 YAFFS2时间序列分析 275
7.4.2 YAFFS2文件系统分析 280
7.4.3 YAFFS2文件雕复 283
7.4.4 YAFFS2的strings分析 285
7.4.5 YAFFS2分析师注意事项 286
7.5 Android应用分析与参考 290
7.5.1 Messaging（短信与彩信） 290
7.5.2 多媒体消息帮助应用 292
7.5.3 浏览器 292
7.5.4 联系人 297
7.5.5 媒体扫描仪 299
7.5.6 YouTube 301
7.5.7 Cooliris多媒体展厅 302
7.5.8 谷歌地图 303
7.5.9 Gmail 307
7.5.10 Facebook 309
7.5.11 Adobe Reader 311
7.6 本章小结 312
7.7 参考资料 312