Safemobile基本操作步骤

SafeMobile盘石手机取证分析系统1、系统简介SafeMobile盘石手机取证分析系统专业版采用逻辑获取，支持包括Nokia、Motorola、Samsung、LG及iPhone以及国产手机联想、夏新、飞利浦，智能手机WindowsCE平台、iPhone平台、Android平台、塞班S60智能手机平台多种品牌手机的大多数型号，同时也能对市面上常见的GSMSIM卡与CDMASIM卡进行取证分析，并且支持对存储卡进行镜像制作及解析。SafeMobile盘石手机取证分析系统实验室版采用物理镜像获取，支持MTK平台手机镜像的物理获取，以及MTK平台、iPhone平台、Android平台手机镜像和黑莓平台手机备份文件的分析、取证，并且支持对存储卡进行镜像制作及解析。可以分析出镜像中存储的联系人、短信、通话记录、日历以及文件系统等。并且能获取到已被删除的文件及用户信息。2、安装与卸载（1）安装请从本产品光盘开始安装SafeMobile盘石手机取证分析系统。请注意，要在电脑上安装本系统，您必须具有管理员权限。要在手机和电脑或仪器和电脑之间建立连接，还需要在电脑上安装驱动程序。安装驱动程序安装包时，会自动安装大多数驱动程序。（2）卸载1)选择“开始”“程序”SafeMobile盘石手机取证分析系统“卸载盘石手机取证分析系统”；2)按照屏幕上的说明，直到删除程序文件。或者1)选择“开始”“设置”“控制面板”；2)双击“添加/删除程序”；3)在当前安装的程序列表中，选择SafeMobile盘石手机取证分析系统；4)单击“更改/删除”，如果单击“更改”，则需要在打开的窗口中单击“删除”；5)按照屏幕上的说明操作，直到删除程序文件。★SafeMobile盘石手机取证分析系统卸载，不会卸掉相关的手机驱动。（3）安装手机驱动程序SafeMobile盘石手机取证分析系统专业版进行取证分析，需要安装驱动程序安装包。运行驱动程序安装包，默认安装路径为C:\ProgramFiles\PanSafe\SafeMobileDrivers\；安装SafeMobile盘石手机取证分析系统驱动程序时，会自动安装注册大多数手机驱动程序。所有驱动安装完成，部分驱动程序需要重新启动计算机才能生效。3、案件管理基本操作在计算机桌面上，双击SafeMobile盘石手机取证分析系统图标。打开SafeMobile盘石手机取证分析系统应用程序后，主窗口如图所示：案件管理的基本操作包括新建、打开、关闭、保存、另存、修改案件信息等。4、快速提取手机信息（1）快速提取设定点击【工具-选项】菜单项，或在快速提取对话框中点击【选项】按钮，弹出选项对话框。用以设定获取选项配置、创建默认案件、程序运行时打开“快速提取”和屏蔽端口号。默认配置如下图所示：（2）智能手机提取信息A.确保手机与计算机已建立连接，并可以正常通讯，单击工具栏上【快速提取】按钮，弹出快速获取对话框。B.按【开始】按钮，开始检测手机设备。C.检测完成后自动获取手机信息。获取完成，数目列显示获取到手机信息条目数。D.若想继续获取其他手机，建立其他手机与计算机的正常连接，单击【开始】继续获取；若完成获取单击对话框右上角的关闭按钮。（3）非智能手机提取信息1)对于非智能手机，单击【开始】后自动检测手机状态，会弹出选择非智能手机品牌对话框。2)在相对应的手机品牌上单击，弹出设置串口对话框。3)选择相应串口及波特率，单击【确定】，开始进行手机信息获取。注：选择非智能手机品牌对话框中，没有符合获取手机的品牌，可以寻找一款类似的品牌实施获取，若寻找不到类似品牌，将无法实现快速提取，请使用高级向导获取功能。5、高级向导-手机连接（1）数据线连接方式1)新建案件后，点击【功能-高级向导】菜单项目或工具栏上的【高级向导】按钮，打开添加证据对话框2)在高级向导对话框中，默认选择数据线连接，点击【选择数据线】按钮，弹出选择数据线对话框3)在选择数据线对话框中，厂商列表中输入手机品牌和手机型号查询数据线，完成后单击【确定】关闭对话框。4)如果在选择数据线对话框中，没有找到与要获取手机匹配的数据线，请自行查找数据线连接。特殊平台获取过程注意事项：诺基亚系列手机（非智能机）1）在手机连接计算机之前，首先手机上设置数据连接方式为PC套件或OviSuite（不同版本的手机数据连接设置菜单可能有所区别）。2）若安装诺基亚PC套件，请退出诺基亚PC套件，再执行SafeMobile进行获取，避免产生冲突。塞班S60智能手机1）在手机连接计算机之前，首先手机上设置数据连接方式为PC套件或OviSuite（不同版本的手机数据连接设置菜单可能有所区别）。2）若已运行诺基亚PC套件，请退出诺基亚PC套件，再执行SafeMobile进行获取，避免产生冲突。3）S60第三版（不包含FP2版本），目前已实现插件免签功能，由SafeMobile系统下载SafeMobileS603.sisx文件到手机其他文件夹中，执行数据信息获取。4）S60第三版FP2版本和S60第五版，目前已实现插件免签功能，由SafeMobile系统下载SafeMobileS605.sisx到手机其他文件夹中，执行数据信息获取。P2K平台手机P2K驱动程序必须等到MotorolaP2K手机，在获取过程中转换到P2K模式时，根据弹出的发现新硬件向导才能安装。如需再次获取，需重启手机后方能正常获取。Lenovo、Amoi系列手机在手机连接计算机之后，首先在手机上选择串口或PC通讯模式。Philips系列手机在手机连接计算机之后，首先在手机上选择COM端口。LG系列手机在手机连接计算机之后，手机端设置：【菜单-设置-连接-调制解调器】，或【菜单—连接性—USB连接—数据服务】，根据手机具体情况进行设置，部分手机要求在获取过程中保持滑盖状态或保持设置的界面，否则数据信息获取不全。三星系列手机1）在手机连接计算机之后，手机端设置：【功能表-设定-话机设定-USB设定-调制解调器】，或【功能表-设定-手机设定-USB设定-三星PCStudio】，根据手机具体情况进行设置，否则数据信息获取不全。2）部分三星手机在获取过程中，要插入一张SIM卡，否则无法获取。Sharp系列手机1)在手机连接计算机之后，手机端设置：【设置-连接性-电脑连接-数据电缆】，在获取过程中，要保持数据电缆界面，否则数据信息获取不全。2)在获取过程中，要插入一张有效的SIM卡，否则获取信息不全。WindowsCE平台1)在获取时会出现提示，需要在手机内存上加载插件,此时单击【是】，将获取手机中所有用户信息；单击【否】，将不能获取短信、部分设备信息等（另：通话记录全部显示在拨出电话中）。2)在获取信息时，请确认手机不在飞行模式（通讯管理中）。3)在获取开始时，手机端会提示程序运行是未知运行商，要求确认，请点是继续。MTK平台、Philips1)在手机连接时选择串口模式、数据通讯或序列接口等串口通讯连接方式。2)在获取过程中，可能会出现提示“询问是否获取电话本附加信息，选择是将影响对删除数据的恢复”，原理是因为在获取过程中，会在手机用户存储器上进行交换文件，可能会覆盖手机上删除的图片、铃声等，对通话记录、短信及文件系统没有影响。（电话本附加信息包括：电话本中的类型、位置、所属群组等）。出现上面提示信息，是因为少部分手机是没有用户存储器的，如需获取附加信息，需要插入一张外部存储器（SD卡），这时请插入一张SD卡，重新获取。备注：由于厂商未发布WindowsXPSP3驱动，当操作系统为WindowsXPSP3时，如已安装过老版的MTK驱动，在获取MTK平台手机时，会长时间停滞在设备信息不动；需更新驱动，重新指定驱动方能正常获取。连接手机后具体操作方法如下：Android平台SafeMobile盘石手机取证分析系统在Android智能手机获取时除ROM版本1.5外，需要向手机中下载一个取证插件；在获取对象手机中QQ好友列表及内置邮件客户端中邮件时，对象手机需已经取得Root权限，否则无法获取。连接手机前需开启USB调试模式（菜单-设置-应用程序-开发-USB调试）；同时勾选未知来源（菜单-设置-应用程序-未知来源）；连接时USB连接选择门户和工具；部分品牌手机由于深度定制，连接方式可能有所不同，例如：华为C8500手机,连接后会出现一个虚拟光驱盘符，运行该虚拟光盘，安装手机PC助手及驱动程序。手机数据线驱动1)手机数据线驱动在驱动安装程序安装时，一同安装在计算机中，默认安装路径为C:\ProgramFiles\PanSafe\SafeMobileDriver\。2)在第一次连接手机或获取过程中会提示发现新硬件，自动安装驱动失败情况下，请至上述目录中查找相应驱动。连续进行第二次获取部分手机，在连续进行第二次获取时，需要拔掉数据线重新插入（最好重新启动手机），避免造成连续第二次获取失败。（2）蓝牙连接方式1)先连接蓝牙适配器到PC（任务栏上出现Bluetooth设备图标）。2)在手机上激活蓝牙功能，并设为可见。3)在任务栏上，右击Bluetooth设备图标，选择【添加Bluetooth设备】。4)确保您的手机已激活蓝牙功能，在下图勾选“我的设备已经设置并且准备好，可以查找”。单击【下一步】。5)开始搜索蓝牙设备，选择你要添加的设备名称（这个设备名称即对应的手机，可以在手机上查到），单击【下一步】。6)勾选“让我选择自己的密钥”单选框，设置配对密码，单击下一步。7)待手机端弹出提示，输入配对密码，完成配对。有的手机会提示“是否与XX交换数据。”选择【是】。8)开始安装Bluetooth设备。9)完成蓝牙的设备添加。（3）数据线/蓝牙方式获得手机数据新建案件后，通过以下步骤获取手机数据：1)点击【功能-高级向导】菜单项目或工具栏上的【高级向导】按钮，打开高级向导对话框。2)选择数据线或蓝牙连接方式。3)手机数据线或蓝牙连接完成，点击【检测】按钮进行手机的名称、品牌、型号、平台、IMEI及端口的检测，检测结果为下一步操作提供参考。4)检测完成，点击【确定】按钮，弹出获取向导（1/5），在向导中根据检测结果自动匹配手机品牌和型号,单击【下一步】。5)跳转至获取向导(2/5)中，勾选【新建持有人】复选框，输入持有人信息，或选择已有设备下拉列表中设备，直接关联该设备的持有人信息，单击【下一步】。6)直接跳转至获取向导(5/5)中，指定要获取的信息，打勾选中项为需要获取的信息，以及手机中邮件、社交网络和上网日志应用分析的获取；同时设备名称中也可以根据需要自行更改您需要的名称，设备名称将显示在案件目录树中。7)如果在获取向导(1/5)中，没有完全匹配到手机的品牌或型号，可手动查找手机品牌或型号，如仍未查找到，则手机品牌选择其他（采用插件方式获取），并单击【下一步】。8)跳转至获取向导(2/5)中，勾选新建持有人复选框，输入持有人信息，或选择已有设备下拉列表中设备，直接关联该设备的持有人信息，单击【下一步】。9)跳转至获取向导(3/5)中，自行选择获取插件，单击【下一步】。10)跳转至获取向导(4/5)选择连接方式（择连接方式，目前通常只有一种连接方式），单击【下一步】。11)在获取向导(5/5)中，指定要获取的信息，打勾选中项为需要获取的信息，单击【下一步】。12)获取开始后，获取过程的提示将出现在对话框的下方。13)如果中途希望取消获取操作，可点击获取界面中【取消】按钮。14)获取结束后，即可察看获取到的信息。6、高级向导-镜像助手通常手机存储卡为FAT32文件系统格式，目前支持FAT32文件系统格式镜像的文件系统分析及删除文件及目录的恢复；同时，还可以对存储卡镜像中的塞班S60手机保存的短信息、备份的电话本、QQ2011和QQ2012聊天记录、新浪微博、UCWeb上网记录进行分析。（1）硬件连接1)用仪器的专用接口线将仪器与电脑连接，这时电脑就会自动检测到新硬件，并自动安装其驱动