Android Forensik

{% hint style="success" %} Lernen Sie AWS-Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lernen Sie GCP-Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Unterstützen Sie HackTricks

Überprüfen Sie die Abonnementpläne!
Treten Sie der 💬 Discord-Gruppe oder der Telegramm-Gruppe bei oder folgen Sie uns auf Twitter 🐦 @hacktricks_live.
Teilen Sie Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud Github-Repositorys senden.

{% endhint %}

Gesperrtes Gerät

Um mit der Extraktion von Daten von einem Android-Gerät zu beginnen, muss es entsperrt sein. Wenn es gesperrt ist, können Sie:

Überprüfen, ob das Gerät die USB-Debugging aktiviert hat.
Überprüfen Sie auf einen möglichen Fingerabdruckangriff
Versuchen Sie es mit Brute-Force

Datenbeschaffung

Erstellen Sie ein Android-Backup mit adb und extrahieren Sie es mit Android Backup Extractor: java -jar abe.jar unpack file.backup file.tar

Bei Root-Zugriff oder physischer Verbindung zum JTAG-Interface

cat /proc/partitions (Suchen Sie den Pfad zum Flash-Speicher, normalerweise ist der erste Eintrag mmcblk0 und entspricht dem gesamten Flash-Speicher).
df /data (Ermitteln Sie die Blockgröße des Systems).
dd if=/dev/block/mmcblk0 of=/sdcard/blk0.img bs=4096 (Führen Sie es mit den Informationen aus der Blockgröße aus).

Speicher

Verwenden Sie den Linux Memory Extractor (LiME), um die RAM-Informationen zu extrahieren. Es handelt sich um eine Kernelerweiterung, die über adb geladen werden sollte.