智能路由器數據取證研究

1、智能路由器數據取證研究1、 引言隨著近年來移動互聯(lián)網的迅猛發(fā)展，移動上網終端數量已經超過個人電腦，正在成為人們接入互聯(lián)網的主要方式。最直觀的改變是移動互聯(lián)網使互聯(lián)網的接入終端形態(tài)發(fā)生變化，互聯(lián)網業(yè)務及信息也正逐步從以個人電腦為中心向以手機等移動終端為中心轉變。隨之而來的是各類路由器的不斷普及，在一些大的城市里各類路由設備已覆蓋了城市的各個角落。這為我們公安機關辦理相關案件提供了新的思路，如何能在案發(fā)現(xiàn)場，通過提取周邊相關路由設備內的信息，為案件提供有力的線索，成為擺在我們面前的一個嶄新的課題。以下我們將以小米路由器為例，介紹一下相關的取證步驟及原理。智能路由器通常是指具有獨立操作系統(tǒng)，可以由用

2、戶進行智能化管理的路由器。自2013年起，以小米路由器為代表的智能路由器逐漸成為用戶的主流選擇，也成為電子取證工作中一項新的挑戰(zhàn)。智能路由器作為犯罪現(xiàn)場環(huán)境一個組成部分，其內部存儲的用戶數據可能為辦案人員提供重要線索，是未來電子物證檢驗工作中必不可少的一個環(huán)節(jié)。本文將從智能路由器的取證目標和取證方法入手，以小米路由器的取證為例介紹如何對智能路由器進行取證。2、 智能路由器系統(tǒng)介紹傳統(tǒng)路由器是指以提供基本的網絡功能為主的路由器產品，按照使用場景可分為家用路由器、企業(yè)路由器，按照傳輸方式又可分為無線路由器、有線路由器，比較知名的廠商有TPLink、Dlink、華為等。傳統(tǒng)路由器的操作系統(tǒng)主要有兩類

3、，一是由芯片廠商提供的開發(fā)套件SDK，二是實時操作系統(tǒng)，包含由美國風河公司開發(fā)的VxWorks操作系統(tǒng)，RedHat提供的eCos操作系統(tǒng)等，這兩類操作系統(tǒng)是目前傳統(tǒng)路由器市場的主流產品。有別與傳統(tǒng)路由器，智能路由器提供了豐富的應用功能擴展，內置離線下載、內網檢測、視頻加速等功能，用戶可以根據需求下載擴展應用（圖1）。國內常見的廠商包括極路由、小米路由器等。智能路由器系統(tǒng)大多由開源系統(tǒng)發(fā)展而來，包括OpenWRT、Tomato、DD-WRT等幾款操作系統(tǒng)。國內的智能路由器系統(tǒng)也大都由OpenWrt二次開發(fā)而成。圖1應用功能擴展3、 智能路由器取證3.1 界面取證路由器取證首先可以通過瀏覽器進入

4、路由器的后臺管理界面，在輸入登錄密碼后，能獲取到一些直觀的基礎的信息，比如連接到該路由器的設備信息，路由器運行的日志記錄等。下圖是某路由器的日志信息，顯示設備上發(fā)生的事件和活動日志。日志信息記錄了路由器與終端設備之間的交互，終端設備使用MAC地址（Medium/Media Access Control地址，用來表示互聯(lián)網上每一個站點的標識符，采用十六進制數表示，共六個字節(jié)（48位）標識。圖2路由器日志下圖是小米路由器的后臺界面，設備管理界面顯示了曾經連接到該路由器的終端設備名稱，以及產生的流量統(tǒng)計。圖3路由器管理信息在路由器的Wi-Fi設置界面，可以查看路由器的Wi-Fi名稱和密碼，如下圖所示

5、。圖4路由器WiFi設置小米路由器出廠時預裝的系統(tǒng)是普通用戶使用的穩(wěn)定版，用戶可以通過一些操作，將系統(tǒng)更新至開發(fā)者版本。刷入開發(fā)者系統(tǒng)版本的小米路由器，在系統(tǒng)狀態(tài)中可以下載路由器的運行日志。圖5路由器日志下載下載后將會得到一個以時間命名的壓縮包，解壓后獲得以下文件：圖6日志文件“trafficd.log”記錄了連接過的終端設備的名稱、MAC地址、IP地址等信息，如下圖所示：圖7設備連接記錄“messages”日志文件記錄路由器在運行過程中的大部分事件，分析該文件也將獲得連接至該路由器的終端設備的MAC地址以及連接時間。圖8日志事件3.2 鏡像分析智能路由器，如小米路由器，配置有一塊存儲介質，用

6、以安裝路由系統(tǒng)和保存數據。取證手段與普通的計算機取證類似，可通過只讀設備首先對其進行鏡像，然后通過分析該存儲介質，往往能獲得更多信息。下文以小米路由器為例，介紹一般取證手段和思路。拆除小米路由器的底殼，能輕易地取出一塊硬盤，與普通的筆記本硬盤相同。由于路由器系統(tǒng)使用的Linux內核，硬盤分區(qū)格式為ext4，無法直接掛載在Window系統(tǒng)下進行數據瀏覽，可對硬盤制作鏡像，使用專用的鏡像瀏覽工具來打開鏡像文件，并查看文件和數據。圖9小米路由硬盤加載鏡像后，清晰地瀏覽到該路由器的文件系統(tǒng)，從中獲取到關鍵信息。圖10鏡像文件3.2.1 連接記錄定位到文件/etc/xqDb，這是一個sqllite數據庫

7、文件，使用專用的sqllite瀏覽工具打開該文件，在表“DEVICE_INFO”中，記錄了曾經連接至該路由器的終端設備的MAC地址和設備名稱。圖11記錄數據庫3.2.2 日志在分區(qū)3，/usr/log 目錄下，存放了大量的messages日志文件，從鏡像中我們可以發(fā)現(xiàn)，直接從路由器的管理界面下載的日志并不完整，只包含了近期的兩份日志，而鏡像中留存了更早之前的日志記錄。依據Linux日志管理系統(tǒng)的規(guī)則，自動對日志進行截斷（或輪循）、壓縮以及刪除舊的日志文件，在下圖所示文件中，messages.5.gz中包含了最早的日志記錄。圖12日志文件圖13文件記錄內容結合日志記錄與“/etc/xqDb”中的

8、MAC地址，可以分析出某個終端設備的連接時間與斷開時間，分別顯示為：startSceneByDeviceStatus: mac=0c:41:3e:cd:5f:00, connected=1“connected=1” 表示終端設備0c:41:3e:cd:5f:00連接成功。"Device Disconnet:0C:41:3E:CD:5F:00"“Device Disconnet” 表示終端設備0C:41:3E:CD:5F:00斷開連接。3.2.3 用戶文件在分區(qū)4/data 目錄下存放了用戶文件，該文件夾是一個共享文件夾，連接至該路由器的設備，即可在網絡路徑中訪問這些文件圖1

9、4用戶數據文件智能路由器通常包含有遠程操縱下載的功能，能將文件下載保存在路由器自帶的硬盤中，文件夾的下載記錄也記錄在相應文件中。定位到文件/thunderDB/etm.db，使用sqllite瀏覽工具打開該文件，在“task_info”表中記錄了相關信息，包括：“create_time”-任務創(chuàng)建時間、“start_time”-下載開始時間、“finish_time”下載完成時間、“name”-下載文件名、“path”-文件保存路徑，“url”-下載鏈接地址。圖15下載記錄文件圖16下載記錄數據庫3.2.4 WIFI密碼信息路由器將Wi-Fi信息存儲在分區(qū)3“/etc/config/wireless”文件中：option ssid 'WIFI_NAME'顯示該路由器無線名稱為“WIFI_NAME”option key 'ThisIsWifiPassword'顯示該路由器無線密碼為“ThisIsWifiPassword”圖17無線密碼記錄4、 結束語伴隨著“物聯(lián)網”、“智能家居”等概念的興起，路由器特別是智能路由器逐漸成為生活網絡中必