[发明专利]数据取证分析方法、装置及电子设备

说明书

本申请公开一种数据取证分析方法、装置及电子设备，涉及网络安全领域。其中，数据取证分析方法包括：对应用程序进行反编译得到所述应用程序中包含的各组件；构建各所述组件分别对应的数据流图以及控制流图；预测各组件中包括的用于组件间通信的通信字段，根据所述通信字段对各所述组件进行排序；根据各所述组件的排序结果，以及与各所述组件对应的数据流图、控制流图构建所述应用程序对应的程序间数据流图和程序间控制流图；基于所述程序间数据流图和程序间控制流图生成数据取证分析报告，以用于数据库解密。

技术领域

本申请涉及计算机技术领域，具体而言，涉及一种数据取证分析方法、装置及电子设备。

背景技术

目前，Android智能手机已在全球智能手机市场中占有最大的市场份额，随之而来的是，如经济欺诈、走私等依托于智能手机中的应用程序实现的数字犯罪的数量也逐年攀升。

鉴于通过安装在智能手机中的应用程序处理的有关用户的大量个人信息存储在本地数据库中，因此，基于本地数据库的数据取证成为了智能手机取证分析中至关重要的步骤。

但是，在基于智能手机中的本地加密数据库进行取证分析时，存在加密数据库的加密机制取证分析问题，针对该问题，相关技术中所采用的加密数据库取证分析方法主要包括：手动逆向工程方法和动态分析方法。其中，手动逆向工程方法是通过反编译源代码，再通过人工查找数据库加密密钥，最后分析秘钥生成机制实现，但该方法的局限性在于：取证分析耗时长，且需要丰富的技术专长。而动态分析方法是将需要分析得到应用程序安装在测试手机或模拟手机环境中，再使用该应用程序跟踪、记录加密数据库运行过程实现，但该方法的局限性在于：很难触发数据库运行过程中的所有程序路径，导致无法找到加密数据库的所有加密方式。

发明内容

对于上述问题，本申请实施例提供了一种数据取证分析方法、装置及电子设备，以尽可能的搜索到加密数据库的所有加密路径，且耗时短，具体方案如下。

第一方面，本申请实施例提供一种数据取证分析方法，包括：对应用程序进行反编译得到所述应用程序中包含的各组件；构建各所述组件分别对应的数据流图以及控制流图；预测各组件中包括的用于组件间通信的通信字段，根据所述通信字段对各所述组件进行排序；根据各所述组件的排序结果，以及与各所述组件对应的数据流图、控制流图构建所述应用程序对应的程序间数据流图和程序间控制流图；基于所述程序间数据流图和程序间控制流图生成数据取证分析报告。

进一步，本申请的一种实施例中，根据所述通信字段对各所述组件进行排序的步骤，包括：根据所述通信字段确定组件意图以及意图过滤器；针对每个所述组件，计算所述组件的组件意图与其他组件分别对应的意图过滤器之间的匹配概率；按照匹配概率的大小对各所述组件进行排序。

进一步，本申请的一种实施例中，所述匹配概率为其中，表示第i个所述组件的组件意图，表示第f个所述组件的意图过滤器。

进一步，本申请的一种实施例中，所述基于所述程序间数据流图生成数据取证分析报告的步骤之后，所述方法还包括：在所述数据流图中的各数据流节点携带有节点编号的情况下，根据所述节点编号查找所述程序间数据流图中的数据库加密指令；通过所述数据库加密指令跟踪各所述组件对应的数据流图，得到秘钥来源；基于所述程序间数据流图和所述秘钥来源生成所述数据取证分析报告。

进一步，本申请的一种实施例中，在所述秘钥来源为非变量的情况下，停止对各所述组件对应的数据流图的跟踪，并执行所述基于所述程序间数据流图和所述秘钥来源生成所述数据取证分析报告的步骤。

进一步，本申请的一种实施例中，在所述秘钥来源为变量的情况下，则继续执行通过所述数据库加密指令跟踪各所述组件对应的数据流图，得到秘钥来源的步骤，直到跟踪到的秘钥来源为非变量，则执行基于所述程序间数据流图和所述秘钥来源生成所述数据取证分析报告的步骤。