即时通讯取证
即时通讯数据在移动取证里证据价值最高，也最容易整块拿不到。
知识节点
Android
在 移动取证 中继续浏览相关技术、方法与案例。
关联资源
围绕“Android”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
应用私有数据与 SharedPreferences
应用私有目录是移动取证里数据密度最高、体积最小、解析难度最低的那一块。
APK 逆向与 Manifest 分析
APK 是移动取证里第一份也是最容易被跳过的证据。
Frida 动态 Hook
静态分析能告诉你程序结构是怎样的，但有两类关键信息只存在于运行时：由多因素派生的密钥（IMEI、序列号、用户输入、签名哈希混合后做 KDF，其中服务器下发的盐在静态代码里根本看不见）与加固后才释放的真实代码。Frida 是处理这两类需求最通用的工具——它把脚本注入目标进程，在运行时拦截函数调用、读取内存。
TWRP 恢复分区取证与物理镜像提取
Android 设备的提取难度是分层的。常见的可用手段按「对设备状态的改变」从轻到重排列：
Android 数据存储总览
Android 取证最难的不是"读不出来"。