【案例】一次安卓手机删除图片恢复

华盟原创文章投稿奖励计划

拿到手机,查看系统图库,发现图库已经被删得像小编的钱包里一样空空如也。
【案例】一次安卓手机删除图片恢复
【案例】一次安卓手机删除图片恢复

2

查看手机Android系统版本,得知手机Android版本为6.0,通过制作手机镜像方式恢复被删除图片的可能性也是微乎其微。

【案例】一次安卓手机删除图片恢复
Tips:在安卓4.4版本后,引入了垃圾页回收机制,通俗来讲,就是在以下情况会对已经删除的数据块进行填0操作 ,以加快下次写入时的速度。
1)设备已经闲置了至少一小时;
2)在过去24小时内没有进行清理回收工作;
3)电池电量大于 30%(充电中)或者80%(未进行充电)。

3

【案例】一次安卓手机删除图片恢复死马当活马医,万一小编是被选中的孩子成功恢复了数据呢,尝试使用取证软件制作物理镜像。

【案例】一次安卓手机删除图片恢复使用平航PH-EXTRACTOR S镜像软件制作镜像

4

【案例】一次安卓手机删除图片恢复使用平航手机取证分析软件解析镜像,果不其然,没有成功恢复图片。

【案例】一次安卓手机删除图片恢复

5

正在小编一筹莫展尝试翻阅手机文件系统寻找一些蛛丝马迹时,发现相册的图片缓存文件居然有2.4M的文件大小,那是否还能从缓存文件中提取被删除图片的缓存呢?

【案例】一次安卓手机删除图片恢复
Tips:相册缓存为手机系统根据相册图片内容生成的一张低分辨率、低占用大小的图片,用于图片完全加载前的展示,我们打开相册查看图片可以发现在查看图片几秒后图片变得更清晰,在图片变清晰前显示的图片即为缓存图片。安卓系统相册图片缓存目录一般为:Androiddatacom.coloros.gallery3dcache

6

使用WinHex打开imacache.0

【案例】一次安卓手机删除图片恢复

7

我们已知.jpg图片的文件头为FFD8 ,文件尾为FFD9,使用WinHex搜索是否有FFD8开头的数据,找到后右键选择—选块起始位置。

【案例】一次安卓手机删除图片恢复【案例】一次安卓手机删除图片恢复

8

再次搜索FFD9的十六进制数值,右键标识为—选选块尾部。

【案例】一次安卓手机删除图片恢复【案例】一次安卓手机删除图片恢复

9

这样,我们就从缓存文件中标记了一张图片的内容

【案例】一次安卓手机删除图片恢复

10

在选择区域中右键—复制选块—至新文件,保持为.jpg文件

【案例】一次安卓手机删除图片恢复

11

www.idc126.com

重复以上步骤,将所有缓存图片提取出来,查看是否恢复出想要的图片。
最后,在成功恢复的几十张图片中,找到了客户需要的图片。
在取证工作中,我们不能完全依赖取证工具,多尝试不同的方式,也许会有惊喜。

本文来源电子物证,经授权后由SIREN发布,观点不代表华盟网的立场,转载请联系原作者。

发表评论