想与大家讨论：数字取证设备的原理？

[King01]

今天突然想起前些日子在 douyin 上看到的数字取证设备（虽然以前也听说过这种设备），一台终端（ pc ）运行取证程序，话说现在 UI 还真是越做越好看了。
虽然看起来有点神秘的感觉，但这种设备的实现原理是不是打开 usb 调试后读取内部的存储数据，然后解析（一些需要取证的地方已提前写好按规则读取相应路径的数据）？如果是这样的话手机必须解锁后才能取证吧。

之前听说过一则传闻，无法验证真实性：
我有朋友之前在车站做过警务辅助工作人员，他跟我说过车站配备了一种设备，一个盒子连着线插在电脑上。只要将手机靠在那个盒子上，数据就出来了。我问他苹果手机能不能这样取，他说可以。
（真的会有这样的设备吗？当时就感觉也太牛逼了吧，关键是苹果也可以这样取数据。要是说国产的有专门预留的某种接口，苹果的从什么后台去调取云上贵州的数据我信，但是这种取法感觉还是有点梦幻。)

[risk7080]

搜索下美亚柏科+取证

[bernardkickass]

不好说，有可能是后门吧

比起这个，我更好奇某些数字取证技术能“破解” bitlocker 和 luks 是什么原理
从新闻上描述的来看，还是关机状态直接从硬盘提取的数据，所以排除从 RAM 中读取密钥的可能
总不能说 AES-XTS 已经密码学不安全了吧。。

[bobox]

苹果不行。用国外 id 。最多备份你的数据

[pingdog]

@bernardkickass 没那么神乎，就是 DMA 窃取密钥，经过内存发给 bitlocker 解密，巨硬后面也加了一些安全手段保护内存，阻止未登录时访问内存

[pingdog]

❕这个唤醒帐号发表的主题虽是隐藏了，你仍可通过搜索引擎检索到相关帖子

[King01]

@fuzzsh 2 我是最近闲了一些，账号我两年前注册的吧，前面都只是看，最近活跃一些

[rev1si0n]

没那么神，别把那些骗钱的想的太高级了，正常手机保持更新这东西基本就是个废物。无非是漏洞利用，只是是不是有别人没公开的洞罢了，这里的洞包括系统漏洞或者 APP 本身就有，你说的云上数据也不是不可能。你自己可能就能搞个效果不太好但是讲究能用的东西 CVE-2024-31317 CVE-2022-20421 （来自一个外行人的评价）

[cxe2v]

这也是为什么我学一个东西一定要学基本原理，只要懂了原理，甭管吹的再天花乱坠，你都能第一时间推理出来到底是不是真的

[AkinoKaedeChan]

基本上手机是要把 spyware 装上去的，解锁 BitLocker 应该是 DMA 攻击，就算他们手上有 0day 也不太可能随随便便拿出来用

[King01]

@AkinoKaedeChan 我觉得也是，最开始想着会不会用 0day ，随后又觉得可能性不大，0day 用在这种地方岂不是暴殄天物了

[Gilfoyle26]

不用这么麻烦，都是云上贵州和国产手机了，直接拿不就行了。

[MacsedProtoss]

其实大部分取证设备…都是备份数据然后“低成本解密”而已
目前公开已知的都是这样的。那么“低成本”解密是什么意思呢？
例如 win 开机后可以从内存中获取 bitlocker 密钥
国产安卓可以通过厂商直接解密
老版本 iOS 可以越狱，老版本 iPhone 可以 checkm8
那么剩下的没法通过厂商解锁的呢？大记忆恢复术来直接要密码就完事了。只要有密码那各平台解密都没啥难度

至于 0day ，想多了，太浪费

[Oxygen2025]

大记忆恢复术

[Borch]

n day 提权

[kang666]

@Borch 内存取证而已

[iv8d]

基本都是自家掌握的后门之类，其他就别想了

[FabricPath]

用得上这玩意儿，大概率是电棍电没电了，充电的时候试试其他办法。
正常情况下，只要电棍还有电，摄像头稍微故障一下，就解锁了

[SmithJohn]

官方后门的概率比较大.

[NGGTI]

都是利用漏洞的，保持手机更新就没问题了。

[mimiphp]

你可以 ai 提问:改装的充电宝读取手机数据原理

在 HDD 硬盘时代还有共振声波读盘！！！当然，漏洞，官方后门这是真实存在的！国家层面掌握的一些科技手段一旦流入社会，就是灾难性的！不要用用自己的认知去质疑国家层面的科技手段，根本不会公开，如果你能查到的就已经是过时的！包括部分个人黑客掌握的手段！凡是公开的都是过时的！比如不公开的漏洞，就不算漏洞！因为没有任何文献记载而已

[busier]

新闻联播看多了 只看到一会漂亮国后门漏洞 一会漂亮国间谍软件

就有一种错觉 好像全世界只有外国有后门 有间谍软件 有情报机构似的

[IamLostInCoding]

@Gilfoyle26 还有大记忆恢复术

[qinxi]

“只要将手机靠在那个盒子上，数据就出来了”

[xyhuangjia]

玩的好就要被收编，玩的不好铁定就要进去。

[WuDiHaiTai]

都是上级说，这玩意能查苹果，OK ，那就是能查苹果，查的是 iOS9 还是 iOS18 ，没人关心，就说能不能查苹果吧。

b 站能搜到取证学教程，有些公安院校大学生录的分享的美亚柏科还有别的取证公司的软件的教程视频，如果你是大学生的话还可以去申请这些软件的免费版本的许可证，真好奇可以自己下一个一探究竟。

[WilliamColton]

@cxe2v #8 这话说的实在，有些东西完全是吹出来扯淡的