來源：美亞柏科手機取證大師（ID：Mobile_Forensics）
編者按
本期感謝美亞柏科技術專家分享Android ROOT 權限在手機取證中的影響，期待更多技術專家共同探討。通常，在手機取證過程中，允許對手機操作的權限越多，獲取到的手機數據就會更加完整全面。本文主要從美亞柏科手機取證系列產品如：FL-900手機取證塔，DC-4501手機取證系統等產品對Android ROOT和未ROOT手機的數據獲取情況，進行對比分析。
一、Andorid ROOT手機能夠獲取到什麼數據Android手機通常需要開啟USB調試並取得ROOT權限，才能獲取或獲取到更多的數據，支持的數據如下：
手機基本信息：本機號碼、設備名稱、作業系統、系統版本、手機品牌、手機型號、
IMEI/IMEID、IMSI、ICCID、運營商、藍牙MAC地址、Wi-Fi MAC地址、時區、原始權限、SD卡信息、CPU ABI、Board Name、Hardware Name、Device Name；
通訊錄、已刪除通訊錄、簡訊、已刪除簡訊、通訊記錄、已刪除通話記錄、快速撥號、彩信；
記事本、已刪除記事本、日曆、已刪除日曆；
Wi-Fi信息；
藍牙傳輸記錄；
位置信息：指南針校準數據、圖片位置信息、視頻位置信息、應用程式地理位置信息；
媒體文件：圖片、音頻、視頻；
程序列表包含版本、安裝/更新日期等；
同步帳號（各種類型帳號）；
系統日誌：應用程式使用記錄、開關機時間；
用戶文件、系統文件。
即時通訊：已支持41種應用
微信、微信小號、QQ、QQ輕聊版、QQ國際版、陌陌、快、Telegram(電報)、釘釘、 Talkbox、點點蟲、YY語音、Voxer、DIDI（嘀嘀電話）、Whatsapp、米聊、旺信、飛信、LINE、遇見、易信、Viber、微話、Zello、CoCo Voice、ooVoo、Peeem、Hellotalk、Tango 、keechat、zalo、pal+（原cubi message）、有信、來電通、千牛、百度雲、百度Hi、Beetalk（蜜語）、全民K歌、Kik、Skype。
備註：點點蟲（資料庫被加密了正在逆向分析其解密方式）；QQ、QQ輕聊版、QQ國際版、釘釘、旺信均支持已刪除數據獲取；微信5.0以後的版本就都無法恢復刪除數據，因為刪除數據是清零操作，會在手機源文件中填0。
郵件客戶端：已支持5種應用
自帶郵件、QQ郵箱客戶端、139郵箱、網易郵箱大師、Gmail郵箱。
京東、天貓、淘寶、支付寶。
社交網絡：已支持5種應用
新浪微博、騰訊微博、人人網、 FaceBook、 Twitter。
手機安全：已支持2種應用
360手機衛士、360隱私保險箱。
上網記錄：已支持9種應用
自帶瀏覽器、UC瀏覽器、QQ瀏覽器、歐朋瀏覽器、百度瀏覽器、Chrome、海豚瀏覽器、傲遊雲瀏覽器、天天瀏覽器。
高德地圖、百度地圖。
二、Andorid 未 ROOT手機少獲取到什麼數據Android手機未ROOT情況下同樣能獲取大量的數據，包括未刪除的通訊錄、簡訊、通話記錄及QQ、微信等各種應用程式數據，對比ROOT後的取證，以下是未ROOT手機無法獲取的數據：
通訊錄、簡訊、通話記錄均少獲取已刪除數據（已刪除需要看手機是否支持備份出對應數據包的資料庫才可獲取）；
Wi-Fi信息：無法獲取Wi-Fi密碼；
彩信：無法獲取；
藍牙傳輸記錄：無法獲取；
同步帳號：無法獲取；
百度地圖、高德地圖、攜程網信息無法獲取；
旺信、人人網、LINE、Telegram、Skype、Hellotalk、百度雲、釘釘無法獲取；
騰訊微博無法獲取；
自帶郵箱、網易郵箱大師、139郵箱、QQ郵箱無法獲取；
chrome瀏覽器、海豚瀏覽器、傲遊雲瀏覽器、百度雲瀏覽器、UC瀏覽器、搜狗瀏覽器無法獲取；
京東商城、淘寶、支付寶無法獲取；
360手機衛士、360隱私保險箱無法獲取；
Android 6.0系統微信需要通過自帶備份解析的方式才能獲取。
備註：Android未ROOT手機取證，主要採用備份技術取證，有些手機App可以備份，有些手機App不支持備份，這是手機App的配置。其中比較獨特的是Android版微信，在Android6.0（不含）以前的版本可以備份，從Andorid 6.0開始就無法備份。華為、小米、OPPO、酷派、索尼五個品牌手機可以用手機自帶的備份應用來備份微信數據。詳見工具集的「手機備份應用引導」工具。
三、 Andorid6.0用自帶備份提取/解析微信數據以華為Mate7手機為例：
1.點擊手機桌面「備份」圖標，進入備份界面，建議選擇SD卡備份（手機插入空白SD卡）。
2.選擇微信應用，點擊開始備份。
3.進入設置密碼，不要設置密碼，點擊跳過。
4.打開Android備份轉換工具，對備份文件進行轉換。
5.將手機內的tencent\MicroMsg\MD5文件夾 拷貝到轉換後的文件com.tencent.mm\MicroMsg\MD5文件夾（註：MD5文件夾需一樣才能解析，此步驟主要為了獲取微信的語音、圖片等附件）。
6.通過FL-900手機取證塔，DC-4501手機取證系統等產品的文件解析進行解析，即可獲取微信數據。
備註：相關手機自帶備份取證方法，可以參照工具集的手機備份應用引導工具。
推薦閱讀：
手機root後無法開機有救了
看完這篇，你就知道了關於 root 的一切
Android 提權 (Root) 的原理
如何破解手機的Root權限