移动设备取证

何时使用 / 何时不用

• 用：设备备份/镜像的数据提取、应用数据取证、删除恢复、时间线重建
• 用：应用数据落盘路径解析（数据库/偏好/缓存）——App 结构理解配合 [[re-mobile]]
• 用：时间点对比取证（备份前后数据变化/已删除记录比对）
• 用：轻量定向提取（单应用单表数据——直接 run-as/单应用备份，不必全量）
• 用：删除数据可恢复性评估（先判定再动手，避免无效耗时）
• 用：设备已离线/损坏时（备份文件仍可解析——备份解析不依赖设备在线）
• 不用：App 逆向分析（[[re-mobile]]）；通用文件系统分析（[[re-disk-forensics]]）；运行中进程动态提取（[[re-frida]]）
• 不用：云备份/云同步数据（Google/iCloud 云侧不在本技能，取证范围需另行授权）
• 不用：无授权设备（红线：仅授权设备；设备隔离与保全原则见 [[gotchas]]）

工具准备

adb（Android 设备接口）