mvt-project/androidqfandroidqf (أندرويد كويك فورينكس) يساعد في جمع الأدلة الجنائية بسرعة من أجهزة أندرويد، من أجل تحديد الآثار المحتملة للاختراق.
androidqf (Android Quick Forensics) هي أداة محمولة لتبسيط الحصول على البيانات الجنائية ذات الصلة من أجهزة أندرويد.
androidqf تهدف إلى توفير أداة بسيطة ومحمولة عبر المنصات للحصول بسرعة على البيانات من أجهزة أندرويد. وهي مشابهة في الوظيفة لـ mvt-android. ومع ذلك، وعلى عكس MVT، صُممت androidqf لتكون سهلة الاستخدام حتى من قبل المستخدمين غير التقنيين. يمكن تحليل البيانات المستخرجة بواسطة androidqf باستخدام MVT.
هذا المستودع هو شوكة من androidqf التي يديرها مختبر الأمن في منظمة العفو الدولية. تم تطوير أداة androidqf في الأصل بواسطة Claudio Guarnieri.
يجب أن تكون الملفات الثنائية القابلة للتنفيذ لأنظمة Linux وWindows وMac متاحة في الإصدار الأحدث. في حال واجهت مشاكل في تشغيل الملف الثنائي، قد ترغب في بنائه بنفسك.
يستخدم هذا المشروع GoReleaser للبناء الآلي والإصدارات. للبناء محلياً:
تثبيت GoReleaser:
go install github.com/goreleaser/goreleaser@latest
تشغيل بناء لقطة (بدون نشر):
./build_locally.sh
سينشئ هذا ملفات ثنائية لجميع المنصات في مجلد dist/، بما في ذلك ملف ثنائي عالمي لـ macOS يعمل على كل من Intel و Apple Silicon.
يمكنك الاستمرار في استخدام نهج Makefile التقليدي. ستحتاج إلى تثبيت Go 1.23+، بالإضافة إلى make و git و unzip و wget. يتضمن AndroidQF وحدة collector مترجمة عبر المنصات تعمل على الجهاز الهدف لاستخراج المعلومات الجنائية ذات الصلة بشكل أكثر موثوقية.
أولاً، قم ببناء وحدة collector:
make collector
ثم قم بتجميع AndroidQF للنظام الأساسي الذي تختاره:
make linux
make darwin
make windows
ستنشئ هذه الأوامر ملفات ثنائية في مجلد build/.
يمكن لحزم التوزيع اختيار عدم تضمين ملفات ADB و collector الثنائية المضمنة عن طريق البناء باستخدام علامة البناء unbundle:
go build -tags unbundle -o build/
عند تمكين هذه العلامة، تتوقع androidqf:
adb متاحاً من PATH النظام./usr/lib/androidqf/android-collector/ باستخدام الأسماء التي تتوقعها androidqf، مثل collector_arm و collector_arm64.يمكن للمُحزمين إزالة الأصول الثنائية المضمنة من assets/ قبل البناء، لكن يجب أن يظل مجلد الحزمة assets/ وملفات Go المصدرية الخاصة به موجودة. لا يزال بناء unbundle يستورد حزمة assets، وسيفشل البناء إذا تم حذف مجلد assets/ بالكامل.
يتم نشر صورة حاوية الإصدار إلى GitHub Container Registry:
docker pull ghcr.io/mvt-project/androidqf:latest
للتجميع من جهاز Android متصل بمنفذ USB على Linux، قم بتمرير ناقل USB وتثبيت مجلد الإخراج:
docker run --rm -it --privileged \
-v /dev/bus/usb:/dev/bus/usb \
-v "$(pwd)/output:/output" \
ghcr.io/mvt-project/androidqf:latest -fast -output /output
يمكنك أيضاً بناء الصورة محلياً لإصدار معين:
docker build --build-arg VERSION=1.8.3 -t androidqf .
[!TIP] راجع أرشيفات الاستحواذ لتنسيق الأرشيف، ومجموع التجزئة، والتشفير، ومعالجة الملفات الكبيرة. للحصول على قاموس للملفات المجمعة، راجع قاموس مخرجات AndroidQF من SocialTIC (جهة خارجية).
قبل تشغيل androidqf، يجب أن يكون جهاز Android الهدف متصلاً بجهاز الكمبيوتر الخاص بك عبر USB، ويجب أن تكون قد قمت بتمكين تصحيح أخطاء USB. يُرجى الرجوع إلى التوثيق الرسمي حول كيفية القيام بذلك، لكن ضع في اعتبارك أن هواتف Android من مختلف الشركات المصنعة قد تتطلب خطوات تنقل مختلفة عن الافتراضية.
بمجرد تمكين تصحيح أخطاء USB، يمكنك المتابعة لبدء تشغيل androidqf. ستقوم أولاً بمحاولة الاتصال بالجهاز عبر جسر USB، مما سيؤدي إلى ظهور رسالة على هاتف Android تطلب منك منح الثقة لمفاتيح المضيف يدوياً. تأكد من منح الثقة، ويفضل أن يكون ذلك بشكل دائم حتى لا تظهر الرسالة مرة أخرى.
الآن يجب تشغيل androidqf وإنشاء أرشيف مضغوط للاستحواذ في مجلد العمل الحالي، أو في المجلد المقدم مع -output. في مرحلة ما أثناء التنفيذ، ستطلب منك androidqf بعض الخيارات: هذه الطلبات ستوقف عملية الاستحواذ إلى أن تقوم بالتحديد، لذا انتبه.
يمكن استخراج البيانات التالية:
| البيانات | اختياري؟ | المسار(ات) الناتج |
|---|---|---|
| نسخة احتياطية كاملة أو نسخة احتياطية لرسائل SMS و MMS. | ✅ | backup.ab |
| مخرجات أمر shell getprop، التي توفر معلومات البناء ومعلمات التهيئة. | getprop.txt | |
| جميع إعدادات النظام | settings_*.txt | |
| مخرجات أمر shell ps، التي توفر قائمة بجميع العمليات الجارية. | processes.txt | |
| قائمة خدمات النظام. | services.txt | |
| نسخة من جميع سجلات النظام. | logs/, logcat.txt | |
| مخرجات أمر shell dumpsys، التي توفر معلومات تشخيصية حول الجهاز. | dumpsys.txt | |
| قائمة بجميع الحزم المثبتة وملفات التوزيع ذات الصلة. | packages.json | |
| نسخة من جميع حزم APK المثبتة أو فقط تلك غير المميزة كتطبيقات النظام. | ✅ | apks/* |
| سجلات الاختراق. تحتوي على بيانات خاصة مثل سجل التصفح. | ✅ | intrusion_logs/* |
| قائمة بالملفات الموجودة على النظام. | files.json | |
| نسخة من الملفات المتاحة في المجلدات المؤقتة. | tmp/* | |
| تقرير أخطاء يحتوي على سجلات النظام والتطبيقات، بدون بيانات خاصة. | bugreport.zip |
يحتوي كل استحواذ أيضاً على acquisition.json و command.log عند إخراج السجل، و hashes.csv. تسجل قائمة التجزئة ملخص SHA-256 لكل إدخال أرشيف نصي سابق ولا تتضمن نفسها. لا يتم تسجيل عمليات سحب الجهاز الفاشلة كإدخالات أرشيف. راجع أرشيفات الاستحواذ للتفاصيل.
الخيارات التالية تُعرض عند تشغيل مجموعة androidqf:
Would you like to take a backup of the device?
...
? Backup:
▸ Only SMS
Everything
No backup
تشير هذه الخيارات إلى البيانات التي تم جمعها من الجهاز عن طريق تشغيل أمر adb backup في الخلفية. إذا تم تحديد No backup، فلن يتم تشغيل أمر adb backup.
| الخيار | الشرح |
|---|---|
| Only SMS | يتم تشغيل adb backup com.android.providers.telephony. يتم جمع البيانات فقط من com.android.providers.telephony. يشمل ذلك قاعدة بيانات SMS. |
| Everything | يتم تشغيل adb backup -all. يطلب هذا النسخ الاحتياطي للتطبيقات التي سمحت صراحةً بنسخ بياناتها احتياطياً عبر هذه الطريقة. منذ Android 12+، لا تستخرج هذه الطريقة أي شيء تقريباً لجميع التطبيقات. |
| No backup | لا يتم تشغيل adb backup |
Would you like to download copies of all apps or only non-system ones?
? Download:
▸ All
Only non-system packages
Do not download any
| الخيار | الشرح |
|---|---|
| All | سيتم استرداد جميع الحزم المثبتة من الهاتف |
| Only non-system packages | لا تقم بتنزيل أي حزم مدرجة في adb pm list packages -s |
| Do not download any | لا تقم بتنزيل أي حزم |
Would you like to take the Intrusion Logs of the device?
? Intrusion Logs:
▸ Yes
No
| الخيار | الشرح |
|---|---|
| Yes | سيتم استرداد سجلات الاختراق من الهاتف. |
| No | يتم تخطي جمع سجلات الاختراق. |