随着网络与信息技术的高速发展,智能手机现在已经成为人们生活中不可获取的通信工具与设备。手机,平板电脑等智能终端在人们的日常生活中的作用越来越重要,智能手机的广泛普及也使人们迈入了移动互联网的新时代。作为世界上最流行的智能终端操作系统,安卓(Android)操作系统占据着目前最高的市场份额,安卓平台下的应用数量和使用频率也一直在屡创新高。同时针对安卓系统的网络犯罪行为日益猖獗,安卓系统——尤其针对某些具有高安全性APP的取证迫在眉睫。本文提出利用安卓系统MVC架构中视图和数据生命周期的差异,设计一种内存取证的方案实现安卓应用屏幕恢复,研究内容如下:首先,本文分析了目前国内外学术界对安卓系统下内存取证与分析的进展与方法,对比各类方法的优劣,提出了一种以内存分析为目的,APP历史屏幕恢复为表现形式的方案。该方案不受APP种类的限制与影响,以屏幕恢复的形式展示出内存取证的结果,目的是能够通过内存取证当形式搜集出目标手机中的相关信息。在此基础上,设计了一个安卓APP历史屏幕取证架构,包括:内存提取模块,共生APP模块,内存注入模块、视图标记模块、APP历史屏恢复模块,以及数据回收模块等。其次,为了实现屏幕恢复的目的,本文借助PROC虚拟文件系统和PTRACE函数接口,设计了一套完善的提取特定进程内存空间的方法。该方法具备以下特点:1.针对安卓应用进程进行提取而不是整个内存镜像;2.不仅提取了内存镜像文件,还提取出了内存映射文件以便之后的内存分析;3.内存空间提取比较完整,内存空间中无论是Stack段、Heap段、数据段或是代码段,程序都尽可能的对其进行了提取。实验表明,本文提出内存提取方法在通用性和兼容性上都比较有效。最后,本文对提出的架构中的APP历史屏恢复机制进行了详细设计与实现。相比于主流的内存取证技术,课题完成的系统有着以下特点:1.以屏幕恢复为表现形式,相比于传统的内存取证系统更为直观,也能展示出一些隐藏在内存中的数据;2.该系统能够支持不同种类的应用程序包括目前流行的即时通讯软件。实验结果表明,本课题能够针对目前多种系统安卓手机的出厂应用和现今比较流行的即时通讯软件成功的实现屏幕恢复。