(資料圖片僅供參考)

1、高通CPU的物理鏡像：目前安卓使用的主流CPU即為美國高通的CPU，大部分品牌的每代旗艦產(chǎn)品都是高通的CPU。高通CPU的手機(jī)都可以進(jìn)入到9008強(qiáng)刷模式，在這個模式下可以不通過系統(tǒng)的引導(dǎo)強(qiáng)制刷新系統(tǒng)文件，對手機(jī)進(jìn)行修復(fù)。取證中可以利用這個端口對手機(jī)進(jìn)行數(shù)據(jù)讀取，保存成鏡像文件。這個方法對于沒有開啟全盤加密的手機(jī)都有效。但是，6.0以后開啟全盤加密的，就無法這樣操作了（全盤加密的鏡像無法解析）。此外，有些手機(jī)需要拆開外殼，在主板上短接兩個測試點(diǎn)才可以進(jìn)入到9008模式。

2、Root后的邏輯提取：安卓手機(jī)root后，已經(jīng)獲得最高的系統(tǒng)權(quán)限，通過邏輯提取可以獲取到大量的數(shù)據(jù)，包括各種應(yīng)用的刪除數(shù)據(jù)。但在安卓6.0后，手機(jī)的root越來越難，幾乎不可能簡單的通過第三方工具獲得權(quán)限。

3、Root后的開機(jī)邏輯鏡像：所有安卓手機(jī)在開機(jī)狀態(tài)下獲得權(quán)限后，都可以提取手機(jī)的邏輯鏡像。在安卓4.x時代，這個方法用的很多。有了邏輯鏡像，就可以通過分析軟件對數(shù)據(jù)進(jìn)行解析，恢復(fù)刪除數(shù)據(jù)（即使6.0后開啟全盤加密，只提取用戶區(qū)的邏輯鏡像也可以解析）。隨著手機(jī)難以root，除了少部分機(jī)型外，現(xiàn)在也很少使用這個方法。

4、Recovery下的邏輯提取和邏輯鏡像：安卓版本的提升造成手機(jī)很難通過互聯(lián)網(wǎng)上的通用root工具獲得權(quán)限，但取證設(shè)備廠家技術(shù)的也在不斷提高。一些廠家自己制作權(quán)限包，獲得權(quán)限。通常是在手機(jī)刷機(jī)模式下寫入權(quán)限包，保證手機(jī)啟動到recovery模式后具有root權(quán)限，這時同樣可以進(jìn)行邏輯提取、邏輯鏡像（6.0后全盤加密的只做用戶區(qū)鏡像）。這種方法是解決高版本安卓提取難的一個行之有效的方法，但需要依賴于取證廠家不斷的軟件更新支持。

5、MTK物理鏡像：MTK作為臺灣產(chǎn)的CPU，因其性價比高，被眾多國產(chǎn)品牌青睞，中低端手機(jī)通常都采用的這個CPU。這個CPU的安卓手機(jī)，同樣可以通過CPU的底層命令對存儲芯片數(shù)據(jù)進(jìn)行讀取。