GA T 1571-2019 法庭科学 Android系统应用程序功能检验方法.pdf

1、 GA 中 华 人 民 共 和 国 公 共 安 全 行 业 标 准 法庭科学 Android 系统应用程序功能检验方法 Forensic sciences Examination methods for functions of Android applications XXXX - XX - XX 发布 XXXX - XX - XX 实施 GA/T XXXX XXXX ICS 13.310 A 92 中华人民共和国公安部 发 布 GA/T XXXX XXXX I 前 言 本标准按照 GB/T 1.1 2009给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些

2、专利的责任。 本标准由全国刑事技术标准化技术委员会电子物证检验分技术委员会（ SAC/TC 179/SC 7）提 出。 本标准由全国刑事技术标准化技术委员会（ SAC/TC 179）归口。 本标准起草单位： 公安部网络安全保卫局、 重庆市公安局。 本标准 主要 起草人： 刘晓宇、田庆宜、罗珮允、李天长、付飞、向勇、李保顺、张江文 、 吴倩 。 GA/T XXXX-XXXX 1 法庭科学 Android 系统应用程序功能检验方法 1 范围 本标准规定了 法庭科学领域 检验 Android系统 应用 程序功能 的 方法。 本标准适用于法庭科学领域对 Android系统特定应用程序的功能检验 。 2

3、 规范性引用文件 下列文件对于 本文件的 应用 是必不可少的， 凡是注日期的引用文件，仅 注日期的版本适用于本文 件。 凡是不注日期的引用文件，其最新版本（包括 所有的修改单 ）适用于本文件。 GA/T 756 2008 数字化设备证据数据发现提取固定方法 GA/T 757 2008 程序功能检验方法 GA/T 828 2009 电子物证软件功能检验技术规范 3 术语和定义 GA/T 756 2008、 GA/T 757 2008、 GA/T 828 2009界定的 以及下列术语和定义适用于本 文件 。 3.1 Android 系统应用程序 Android application 运行于 An

4、droid系统之上具有 某项或某几项 特定功能的 程序 。 3.2 反编译 decompile 将应用程序文件 还原成汇编或者高级语言代码的过程。 4 仪器设备 4.1 硬件 特定接口数据连接线、智能终端检验工作站 。 4.2 软件 屏幕截图软件、 送检应用程序 所需 的 运行 环境 、 反编译工具、 分析检验所需工具软件等。 5 检验步骤 5.1 记录检材情况并编号 对送检的检材进行唯一性编号。 GA/T XXXX-XXXX 2 5.2 检材拍照 对送检的检材进行拍照。 5.3 对应用程序样本保全备份 5.3.1 对于检材 为 单一 的 应 用 程序文件，计算该文件的哈希值，并 固定该 应用

5、 程序文件。 5.3.2 对于检材 为安装有 应用 程序 的 智能终端 ， 应在信号 阻 断 环境下 使用 应用 程序备份 等方法 将该 程序 固定 提取，并 计算 备份程序 文件的哈希值。 5.4 程序代码功能分析检验 5.4.1 获取程序文件的基本属性 获取程序的文件名、文件大小、文件最后修改时间、文件哈希值等属性。 5.4.2 静态分析程序 使用反编译工具对 应用 程序文件进行反编译 ，如 应用 程序 采用加壳处理，对 应用 程序 脱壳 ，查看 该程序具有的包名、权限、证书信息，根据测试目标和测试的功能分析程序代码。 对恶意类应用程序 重点分析 该程 序是否具有：发送邮件、 监听拦截转发

6、 短息、监视修改拨出电话、 获取（如 GPS）定位等功能。 使用截屏 、 拍照或 录像的方式对检验 结果进行固定 。 5.4.3 动态分析程序 使用 Android系统设备或 Android SDK（ Android系统专属软件开发工具包 ） 等虚拟仿真 环境 根据 测试目标和测试的功能 对 应用 程序文件 进行动态检 验，必要时，可以对 应用 程序网络行为进行抓包分 析 ，主要分析 与 应用程序 通信的 服务器 IP、邮箱账号、密码等信息 。 使用截屏 、 拍照或录像的方式对 检验 结果进行固定 。 6 检验 意见 根据检验 情况依次列出检出的应用程序功能。如检出应用程序具有发送邮件、监听拦截转发短息、 监视修改拨出电话、获取（如 GPS）定位等功能应单独列出。 7 附则 7.1 检验过程满足以下要求： a） 应做检验记录 ； b） 不应改变检验对象中的数据 ； c） 检出的数据应存储到 专用的存储介质中 ； d） 宜对检验过程同步录像。 7.2 应 对送检检验对象做好防水、防磁、防静电和防震保护。 _