編者按：在手機電子數(shù)據(jù)取證領(lǐng)域，除了手機短信、通訊錄、通話記錄等重要信息外，手機照片也是一項重要提取內(nèi)容。手機照片可能包含拍攝時間、拍攝距離、拍攝經(jīng)緯度等重要數(shù)據(jù)，如果將這些信息進行關(guān)聯(lián)，就可以構(gòu)成使用者行蹤軌跡，有助于偵查破案或取證。本期，數(shù)據(jù)恢復(fù)四川省重點實驗室科研人員將介紹手機照片所包含的信息，以及如何對手機照片地理軌跡進行提取。

　　一、背景介紹

　　隨著智能手機的日益普及，利用手機進行拍照變得越來越廣泛。根據(jù)《2016年手機使用習(xí)慣調(diào)查報告》顯示，利用手機拍照功能排在打電話、聊微信、看電影之后，位列主流手機用途第4位，如圖1。在進行手機拍照時，如果手機開啟了GPS定位服務(wù)功能，其他用戶就可以通過手機照片查看出使用者的拍攝地點等信息。

　　圖1

　　二、提取照片地理軌跡意義

　　對于手機電子數(shù)據(jù)取證而言，將智能手機中的照片全部提取出來(包括已刪除的照片)，再將提取照片中的創(chuàng)建時間、最后修改時間、經(jīng)緯度等信息進行時間排序，并將相應(yīng)在順序在地圖上標記出來，就可以很清楚知道使用者的地理軌跡，這對案件偵破或取證有重要作用。

　　三、照片中包含的信息

　　對于手機中的照片而言，除了包含圖像ID、尺寸、高度、寬度、分辨率等屬性外，還能存儲照相機本身的屬性，如：照相機制造商、型號、光圈值、曝光時間等。對于手機電子數(shù)據(jù)取證而言，手機照片可能還存儲有一些更重要的數(shù)據(jù)：

　　1.拍攝目標距離

　　拍照都會有一定距離，例如自拍的距離通常在1米左右，偷拍的距離通常在10米以上。當然，我們也可以從手機照片屬性中查找拍攝距離信息，如圖2。利用拍攝目標距離與拍攝目標進行比對，就可以得出使用者所在的地理范圍。

　　圖2

　　2.照片經(jīng)緯度

　　經(jīng)緯度在地圖上面使用很頻繁，但現(xiàn)在手機照片也能存儲經(jīng)緯度信息，如圖3。

　　圖3

　　利用圖3中的經(jīng)緯度信息數(shù)據(jù)，經(jīng)過一定的方法進行換算，得出拍攝GPS經(jīng)緯度坐標為緯度：30.5722888888889，經(jīng)度：104.061158333333。通過經(jīng)緯度查詢得知，該坐標地址為：四川省成都市武侯區(qū)桂溪街道星美國際影城(成都環(huán)球店)成都環(huán)球中心天堂洲際大飯店，如圖4。

　　圖4

　　由此，我們可以查找出照片拍攝的具體地理位置。

　　四、照片地理軌跡提取

　　一部手機中，通常包含了有很多照片。我們可以利用效率源MTF 手機可視化行蹤取證系統(tǒng)可將手機中的照片全部提取出來(已刪除照片，可進行深度恢復(fù))。軟件可自動將提取照片中的創(chuàng)建時間、最后修改時間、經(jīng)緯度等重要信息按照時間順序進行關(guān)聯(lián)，最后將經(jīng)緯度在地圖上面標記出來，如圖5。這樣，取證人員便能很快了解手機使用者的相關(guān)地理軌跡信息。

　　圖5

　　五、什么照片里面沒有經(jīng)緯度

　　1.如果手機GPS定位沒有開啟的話，手機拍攝出的照片是不會存儲經(jīng)緯度信息的，這是一種自我隱私保護措施。

　　2.上傳到QQ空間或微信朋友圈的照片也是沒有經(jīng)緯度的， 因為軟件開發(fā)商為了用戶隱私，會把這些信息給抹除掉。

　　結(jié)語：

　　手機照片除了直接反應(yīng)拍攝對象以外，還包含拍攝時間、拍攝距離、拍攝經(jīng)緯度等重要信息。利用效率源MTF 手機可視化行蹤取證系統(tǒng)可以對手機照片實現(xiàn)完整提取，并將相關(guān)信息進行關(guān)聯(lián)，形成直觀的地理軌跡圖，可以為案件偵破或取證提供重要線索，提升工作效率。