Android手机取证：内存分析方法与EmailFinder工具研究

在本篇硕士学位论文中，作者针对Android智能手机取证分析方法进行了深入研究，尤其是在实验场景描述部分，列举了六个关键步骤来演示数据收集过程。这些场景具体如下： 1. 场景#1：研究者登录MailMaster应用，通过一系列操作如浏览、编辑、发送和接收邮件，然后在后台运行，利用LiME工具获取手机的运行内存镜像文件。这个步骤强调了在应用程序活跃状态下对RAM的监控。 2. 场景#2：在MailMaster应用中执行相同操作后，注销用户并关闭应用，同样利用LiME获取内存镜像，以展示在应用程序关闭后的取证情况。 3. 场景#3：测试更为严格的条件，即在MailMaster应用重启后立即获取内存镜像，考察手机启动过程中的内存状态。 4. 场景#4：同样的步骤被应用于QQMail，关注的是不同邮件客户端对取证分析的影响。QQMail作为另一个主要的电子邮件应用，也被用来提取RAM中的信息。 5. 场景#5：QQMail使用案例中，注销用户并关闭应用后，RAM中的痕迹被分析，以验证取证方法的通用性。 6. 场景#6：在QQMail上进行的操作完成后，立即重启手机并获取内存镜像，进一步探索手机开机瞬间的取证细节。 这些实验场景着重于两个主要研究领域：一是内置存储器的取证分析，包括数据获取和关联分析，以揭示用户通信行为模式；二是RAM存储器的取证，特别针对邮件应用程序，研究数据在用户操作后如何在RAM中留下痕迹，以及如何通过工具如EmailFinder对这些痕迹进行自动分析，以提升取证效率。 论文的关键点在于理解Android手机取证的新趋势，即随着数据加密的增加，RAM成为获取有价值信息的重要来源。通过对RAM的深入研究，作者不仅提供了对特定应用程序的取证策略，还开发了一个原型工具EmailFinder，它能自动化处理Android手机的RAM镜像，提取与邮件相关的证据，这对于执法机构和技术人员来说是一项实用的技术支持。 这篇论文对于Android取证领域的研究具有实际意义，不仅扩展了取证范围，还提升了取证效率，为未来的移动设备取证实践提供了有价值的方法论和技术支撑。