想与大家讨论：数字取证设备的原理？

[King01]

今天突然想起前些日子在 douyin 上看到的数字取证设备（虽然以前也听说过这种设备），一台终端（ pc ）运行取证程序，话说现在 UI 还真是越做越好看了。
虽然看起来有点神秘的感觉，但这种设备的实现原理是不是打开 usb 调试后读取内部的存储数据，然后解析（一些需要取证的地方已提前写好按规则读取相应路径的数据）？如果是这样的话手机必须解锁后才能取证吧。

之前听说过一则传闻，无法验证真实性：
我有朋友之前在车站做过警务辅助工作人员，他跟我说过车站配备了一种设备，一个盒子连着线插在电脑上。只要将手机靠在那个盒子上，数据就出来了。我问他苹果手机能不能这样取，他说可以。
（真的会有这样的设备吗？当时就感觉也太牛逼了吧，关键是苹果也可以这样取数据。要是说国产的有专门预留的某种接口，苹果的从什么后台去调取云上贵州的数据我信，但是这种取法感觉还是有点梦幻。)

[tamshy]

搜索下美亚柏科+取证

[bernardkickass]

不好说，有可能是后门吧

比起这个，我更好奇某些数字取证技术能“破解” bitlocker 和 luks 是什么原理
从新闻上描述的来看，还是关机状态直接从硬盘提取的数据，所以排除从 RAM 中读取密钥的可能
总不能说 AES-XTS 已经密码学不安全了吧。。

[bobox]

苹果不行。用国外 id 。最多备份你的数据

[fuzzsh]

@bernardkickass 没那么神乎，就是 DMA 窃取密钥，经过内存发给 bitlocker 解密，巨硬后面也加了一些安全手段保护内存，阻止未登录时访问内存

[fuzzsh]

❕这个唤醒帐号发表的主题虽是隐藏了，你仍可通过搜索引擎检索到相关帖子

[King01]

@fuzzsh 2 我是最近闲了一些，账号我两年前注册的吧，前面都只是看，最近活跃一些

[rev1si0n]

没那么神，别把那些骗钱的想的太高级了，正常手机保持更新这东西基本就是个废物。无非是漏洞利用，只是是不是有别人没公开的洞罢了，这里的洞包括系统漏洞或者 APP 本身就有，你说的云上数据也不是不可能。你自己可能就能搞个效果不太好但是讲究能用的东西 CVE-2024-31317 CVE-2022-20421 （来自一个外行人的评价）

[cxe2v]

这也是为什么我学一个东西一定要学基本原理，只要懂了原理，甭管吹的再天花乱坠，你都能第一时间推理出来到底是不是真的

[AkinoKaedeChan]

基本上手机是要把 spyware 装上去的，解锁 BitLocker 应该是 DMA 攻击，就算他们手上有 0day 也不太可能随随便便拿出来用

[King01]

@AkinoKaedeChan 我觉得也是，最开始想着会不会用 0day ，随后又觉得可能性不大，0day 用在这种地方岂不是暴殄天物了

[Gilfoyle26]

不用这么麻烦，都是云上贵州和国产手机了，直接拿不就行了。

[MacsedProtoss]

其实大部分取证设备…都是备份数据然后“低成本解密”而已
目前公开已知的都是这样的。那么“低成本”解密是什么意思呢？
例如 win 开机后可以从内存中获取 bitlocker 密钥
国产安卓可以通过厂商直接解密
老版本 iOS 可以越狱，老版本 iPhone 可以 checkm8
那么剩下的没法通过厂商解锁的呢？大记忆恢复术来直接要密码就完事了。只要有密码那各平台解密都没啥难度

至于 0day ，想多了，太浪费

[Oxygen2025]

大记忆恢复术

[Borch]

n day 提权

[kang666]

@Borch 内存取证而已

[iv8d]

基本都是自家掌握的后门之类，其他就别想了

[FabricPath]

用得上这玩意儿，大概率是电棍电没电了，充电的时候试试其他办法。
正常情况下，只要电棍还有电，摄像头稍微故障一下，就解锁了

[SmithJohn]

官方后门的概率比较大.

[NGGTI]

都是利用漏洞的，保持手机更新就没问题了。

[mimiphp]

你可以 ai 提问:改装的充电宝读取手机数据原理

在 HDD 硬盘时代还有共振声波读盘！！！当然，漏洞，官方后门这是真实存在的！国家层面掌握的一些科技手段一旦流入社会，就是灾难性的！不要用用自己的认知去质疑国家层面的科技手段，根本不会公开，如果你能查到的就已经是过时的！包括部分个人黑客掌握的手段！凡是公开的都是过时的！比如不公开的漏洞，就不算漏洞！因为没有任何文献记载而已

[busier]

新闻联播看多了 只看到一会漂亮国后门漏洞 一会漂亮国间谍软件

就有一种错觉 好像全世界只有外国有后门 有间谍软件 有情报机构似的