随着Android手机的普及,Android应用程序的相关数据成为越来越多刑事案件、经济案件、政治案件以及高科技犯罪的重要证据。对于Android应用程序的数据取证,现有的研究主要集中在存储数据的取证分析上。但是随着Android系统不断改进应用程序存储数据的防护手段,并提供底层的全盘数据加密功能,传统的数据取证方法已无法获取有效的数据证据。本文在分析现有Android应用程序的存储数据取证技术上,进一步研究了Android应用程序的内存数据取证分析方法。在此基础上开发实现了Android应用程序数据取证系统,可对Android应用程序的存储数据和内存数据进行取证分析。本文的主要工作如下：1.在研究手机取证现有技术的基础上,提出了符合现有国际国内标准流程的Android应用程序数据的取证方法及流程。根据Android应用程序数据存储方式将数据取证分为存储数据取证和内存数据取证：根据Android应用程序数据存储位置及存储格式分为XML文件数据取证、SQLite数据库文件数据取证以及二进制文件数据取证,并提出相应的取证方法；根据Linux内核存储空间以及内存管理机制,提出应用程序内存数据取证方法。2.研究Android应用存储数据的取证方法：Android应用数据主要以XML文件、SQLite数据库文件以及二进制文件形式存储。首先对Android应用进行使用,通过向应用中输入关键信息,观察和比较特殊文件,获取其应用数据存储文件格式及存储位置。对于XML文件,通过遍历其树形结构格式,判断属性值的方法进行数据证据的提取及分析；对于SQLite数据库文件,通过SQL语言查询相关数据库的方法进行数据证据的提取及分析；对于二进制文件,通过遍历二进制文件查找特征值或者匹配固定格式数据的方法进行数据证据的提取及分析,或者对Android应用进行逆向分析,通过向应用反编译产生的smali代码注入特征代码的方式,完成解析应用数据存储及加密方式,最终获得解密数据,从而完成二进制文件数据证据的提取及分析。3.研究Android应用内存数据的取证方法：分析Android系统内核及其内存映射机制。利用Linux内核运行时可扩展的特性,通过可加载内核(LKM)的方式,加载驱动程序到系统内核态从而直接实时提取内存数据；通过解析内存中的iomem_resource结构,获取实际系统内存物理地址空间,通过地址偏移计算得到内存当中虚拟地址页帧号,从而计算获得相应页结构；在此基础上通过高端映射获取虚拟内存空间线性地址,并从相应地址读取系统所有应用进程相关数据；内存提取程序通过TCP连接与驱动程序通信,存储提取应用程序内存数据；对于所提取的应用程序内存数据,通过查找分析特征值的方法对提取的内存数据进行相关分析。4.提出一种基于隐马尔科夫模型(Hidden Markov Module, HMM)的Android应用内存数据分析方法：由于所提取的应用内存数据结构未知且存在变化,难以获取有效信息。本文提出一种基于HMM的有限概率状态机的解析方法。通过观察提取数据相应特征,建立相关HMM模型结构,然后针对经过预处理后的数据,使用Viterbi算法提取出匹配模型且具有最大概率的信息序列,从而实现从内存数据中自动提取有效数据证据。5.设计并实现了符合国际国内取证标准流程的Android应用程序数据取证系统。该取证系统包括Android应用程序数据获取模块、数据鉴定和分析模块以及取证结果生成模块：数据获取模块实现待取证目标数据的提取；数据鉴定和分析模块根据不同的取证类型对提取的数据进行解析并提取有效数据证据；数据结果生成模块实现数据证据的展示。本文从地理位置类、微博社交类以及即时通讯类应用中选取了携程旅行、新浪微博以及QQ聊天等常见应用程序对本系统进行功能性测试。测试表明该系统可有效针对Android应用的存储数据和内存数据进行取证分析,具有较强的实用价值,并且可以适用于主流的即时通讯类、地理位置类、微博社交、浏览器类、电子邮箱类、云客户端以及电子支付类等应用程序。