面向Windows Mobile系统的取证数据恢复技术研究

摘要

随着信息技术的不断发展，利用手机作为犯罪工具的案件在司法案件中逐年增多，因此手机取证已经越来越多地出现在司法程序中。大量的手机犯罪活动，使得传统的手机取证方式已经满足不了办案需求，犯罪嫌疑人往往会删除手机中相关的重要证据信息，影响手机取证工作，削弱手机取证的效果。面对这种情况，如何能有效地获取手机中的电子证据，包括删除的证据，已经日益成为一个迫切需要解决的问题。
　　 本文所讨论的Windows Mobile系统是微软应用于智能手机的一个操作系统，是目前市场上常见的智能手机操作系统之一。随着手机技术的快速发展，智能手机正在逐步取代传统手机，常见的智能手机操作系统不外乎几种，这使得手机在操作系统层面上逐渐出现了规范统一，给研究手机取证中的数据恢复指明了方向--可以从不同的操作系统入手。
　　 本文主要研究对于Windows Mobile系统，如何进行正确的手机取证工作，如何从pim.vol文件中恢复出包括已经删除的联系人在内的所有联系人信息，以及如何实现，主要完成以下的工作：
　　 首先介绍了手机取证技术的研究背景和数据恢复技术在手机取证中的重要性，并对手机取证技术的相关知识进行了介绍，为研究手机取证数据恢复提供了基础。
　　 其次，分析了Windows Mobile系统的系统架构，对Windows Mobile系统下的重要文件及目录进行了分析，重点研究了pim.vol文件，解析了文件中关键字段的含义，如何从该文件中恢复取证数据，提出了一种Windows Mobile系统下取证数据恢复的技术方法，并通过代码设计实现了一款PIM通讯录恢复工具，对该技术方法进行了验证。
　　 最后通过设置了不同的测试环境及场景，分别在Windows Mobile模拟器和真实的取证环境中，对设计的数据恢复软件进行了测试和总结，验证了面向WindowsMobile系统的取证数据恢复技术的正确性，软件的功能和性能都达到了设计要求。