【案例】一次安卓手机删除图片恢复

拿到手机，查看系统图库，发现图库已经被删得像小编的钱包里一样空空如也。

2

查看手机Android系统版本，得知手机Android版本为6.0，通过制作手机镜像方式恢复被删除图片的可能性也是微乎其微。

Tips:在安卓4.4版本后，引入了垃圾页回收机制，通俗来讲，就是在以下情况会对已经删除的数据块进行填0操作 ，以加快下次写入时的速度。
1）设备已经闲置了至少一小时；
2）在过去24小时内没有进行清理回收工作；
3）电池电量大于 30%（充电中）或者80%（未进行充电）。

3

死马当活马医，万一小编是被选中的孩子成功恢复了数据呢，尝试使用取证软件制作物理镜像。

使用平航PH-EXTRACTOR S镜像软件制作镜像

4

使用平航手机取证分析软件解析镜像，果不其然，没有成功恢复图片。

5

正在小编一筹莫展尝试翻阅手机文件系统寻找一些蛛丝马迹时，发现相册的图片缓存文件居然有2.4M的文件大小，那是否还能从缓存文件中提取被删除图片的缓存呢？

Tips：相册缓存为手机系统根据相册图片内容生成的一张低分辨率、低占用大小的图片，用于图片完全加载前的展示，我们打开相册查看图片可以发现在查看图片几秒后图片变得更清晰，在图片变清晰前显示的图片即为缓存图片。安卓系统相册图片缓存目录一般为：Androiddatacom.coloros.gallery3dcache

6

使用WinHex打开imacache.0

7

我们已知.jpg图片的文件头为FFD8 ，文件尾为FFD9，使用WinHex搜索是否有FFD8开头的数据，找到后右键选择—选块起始位置。

8

再次搜索FFD9的十六进制数值，右键标识为—选选块尾部。

9

这样，我们就从缓存文件中标记了一张图片的内容

10

在选择区域中右键—复制选块—至新文件，保持为.jpg文件

11

重复以上步骤，将所有缓存图片提取出来，查看是否恢复出想要的图片。
最后，在成功恢复的几十张图片中，找到了客户需要的图片。
在取证工作中，我们不能完全依赖取证工具，多尝试不同的方式，也许会有惊喜。