[发明专利]数据取证分析方法、装置及电子设备

权利要求书

1.一种数据取证分析方法，其特征在于，包括：

对应用程序进行反编译得到所述应用程序中包含的各组件；

构建各所述组件分别对应的数据流图以及控制流图；

预测各所述组件中包括的用于组件间通信的通信字段；根据所述通信字段确定组件意图以及意图过滤器；针对每个所述组件，计算所述组件的组件意图与其他组件分别对应的意图过滤器之间的匹配概率；按照匹配概率的大小对各所述组件进行排序；

根据各所述组件的排序结果，以及与各所述组件对应的数据流图、控制流图构建所述应用程序对应的程序间数据流图和程序间控制流图；

基于所述程序间数据流图和程序间控制流图生成数据取证分析报告。

2.根据权利要求1所述的数据取证分析方法，其特征在于，根据所述通信字段对各所述组件进行排序的步骤，包括：

根据所述通信字段确定组件意图以及意图过滤器；

针对每个所述组件，计算所述组件的组件意图与其他组件分别对应的意图过滤器之间的匹配概率；

按照匹配概率的大小对各所述组件进行排序。

3.根据权利要求2所述的数据取证分析方法，其特征在于，所述匹配概率为其中，表示第k个所述组件的组件意图，表示第k个所述组件的意图过滤器。

4.根据权利要求1所述的数据取证分析方法，其特征在于，基于所述程序间数据流图生成数据取证分析报告的步骤，包括：

在所述程序间数据流图中的各数据流节点携带有节点编号的情况下，根据所述节点编号查找所述程序间数据流图中的数据库加密指令；

通过所述数据库加密指令跟踪各所述组件对应的数据流图，得到秘钥来源；

基于所述程序间数据流图和所述秘钥来源生成所述数据取证分析报告。

5.根据权利要求4所述的数据取证分析方法，其特征在于，在所述秘钥来源为非变量的情况下，停止对各所述组件对应的数据流图的跟踪，并执行所述基于所述程序间数据流图和所述秘钥来源生成所述数据取证分析报告的步骤。

6.根据权利要求4所述的数据取证分析方法，其特征在于，在所述秘钥来源为变量的情况下，则继续执行通过所述数据库加密指令跟踪各所述组件对应的数据流图，得到秘钥来源的步骤，直到跟踪到的秘钥来源为非变量，则执行基于所述程序间数据流图和所述秘钥来源生成所述数据取证分析报告的步骤。

7.一种数据取证分析装置，其特征在于，包括：

反编译模块，用于对应用程序进行反编译得到所述应用程序中包含的各组件；

第一构建模块，用于构建各所述组件分别对应的数据流图以及控制流图；

预测模块，用于预测各组件中包括的用于组件间通信的通信字段；根据所述通信字段确定组件意图以及意图过滤器；针对每个所述组件，计算所述组件的组件意图与其他组件分别对应的意图过滤器之间的匹配概率；按照匹配概率的大小对各所述组件进行排序；

第二构建模块，用于根据各所述组件的排序结果，以及与各所述组件对应的数据流图、控制流图构建所述应用程序对应的程序间数据流图和程序间控制流图；

报告生成模块，用于基于所述程序间数据流图和程序间控制流图生成数据取证分析报告。

8.根据权利要求7所述的数据取证分析装置，其特征在于，所述预测模块具体用于根据所述通信字段确定组件意图以及意图过滤器；以及针对每个所述组件，计算所述组件的组件意图与其他组件分别对应的意图过滤器之间的匹配概率；按照匹配概率的大小对各所述组件进行排序。

9.一种电子设备，其特征在于，包括：

至少一个处理器；

与所述处理器连接的至少一个存储器；

其中，所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行如权利要求1至6任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述存储介质存储有计算机指令，所述计算机指令使所述计算机执行如权利要求1至6中任一项所述的方法。