[发明专利]一种用于安卓攻击场景重建的可视化取证系统及实现方法

权利要求书

1.一种用于安卓攻击场景重建的可视化取证方法，其特征在于，包括如下步骤：

步骤1，配置阶段

开启安卓设备的USB调试模式，安装SDK确保运行环境，然后运行工具，配置模块检测安装设备是否连接，确保只有一个安卓设备连接，并获取安卓设备的基本信息；

步骤2，收集阶段

工具收到用户的记录命令后，用户操作收集模块、UI收集模块和Log收集模块同时开始工作；Log收集模块作为守护进程，不断收集与安全相关的日志并放入缓冲区；当用户与安卓设备交互时，用户操作收集模块被触发用于收集并分析用户的操作，同时UI收集模块被触发用于收集UI，最后结果被传递到UI分析模块；

步骤3，分析阶段

UI分析模块和Log过滤模块同时开始工作；UI分析模块结合来自用户操作收集模块和UI收集模块的数据，分析当前UI结构与原始UI结构的区别，以及分析用户操作的结点，结果存储在数据库中；同时，Log过滤模块过滤后台活动类型的日志条目，并且处理日志格式，结果存储在数据库中；

步骤4，关联阶段

工具收到用户的回放命令和设置的时间参数后，关联分析模块开始工作；根据设置的时间参数，关联分析模块从数据库中读取UI结构表、用户操作表和日志表的数据，使用时间戳归因法把它们结合在一起，以HTML形式展现给用户；

步骤5，当关联阶段完成后，等待用户的命令，返回步骤(2)或(4)。

2.根据权利要求1所述的用于安卓攻击场景重建的可视化取证方法，其特征在于，所述步骤1中安卓设备的基本信息至少包括：安卓设备触摸屏的系统名称、屏幕分辨率和输入事件最大值。

3.根据权利要求1所述的用于安卓攻击场景重建的可视化取证方法，其特征在于，所述步骤2收集阶段中，用户操作收集模块、UI收集模块监控用户与安卓设备的交互并收集UI相关的数据，Log收集模块收集与安全相关的日志数据；

所述用户操作收集模块的具体运行步骤如下：

a、初始化，用户操作收集模块创建监听进程，等待用户与安卓设备交互；

b、收集用户交互信息，当用户与安卓设备交互时，利用配置阶段得到的安卓设备触摸屏的系统名称，用户操作收集模块使用ADB工具执行的shellgetevent命令收集触摸屏的交互数据；

c、分析用户操作，从所有的输入信息中识别一次用户操作信息，根据EV_KEY/BTN_TOUCH DOWN和EV_KEY/BTN_TOUCHUP事件的间隔和次数判断用户的操作类型，再利用配置模块得到的安卓设备基本信息，计算坐标转化率将获取到的坐标转化为真实坐标；

所述UI收集模块的具体运行步骤如下：

a、初始化，UI收集模块创建监听进程，等待用户与安卓设备交互；

b、收集应用程序UI和屏幕截图，当用户与安卓设备交互时，UI收集模块使用dump命令获取安卓设备UI的XML文件，并通过push命令将XML文件传输到工具所在平台，UI收集模块还使用screencap命令来获取屏幕截图的PNG文件；

c、解析XML文件，UI收集模块使用基于事件驱动的SAX方法来解析XML文件，整个XML文件不需要预先加载，在解析过程中，遇到属性为text且属性值为空的结点，根据该结点的bounds属性来剪切截图，之后对截图执行文本识别，将该结点的属性值填充为文本识别的结果；解析完成后，得到一颗UI的层次树，包括许多UI结点以及结点的详细信息；

所述Log收集模块的具体运行步骤如下：

a、初始化，Log收集模块创建守护进程；

b、收集并预处理日志，使用ADB的logcat命令来收集与安全相关的日志，包括日志优先级为E和W；通过设置logcat参数，使用adblogcat-vtime*:W命令对日志进行过滤；数据暂存在缓冲区中，等待下一步处理。