編者按：在手機(jī)電子數(shù)據(jù)取證領(lǐng)域，除了手機(jī)短信、通訊錄、通話記錄等重要信息外，手機(jī)照片也是一項(xiàng)重要提取內(nèi)容。手機(jī)照片可能包含拍攝時(shí)間、拍攝距離、拍攝經(jīng)緯度等重要數(shù)據(jù)，如果將這些信息進(jìn)行關(guān)聯(lián)，就可以構(gòu)成使用者行蹤軌跡，有助于偵查破案或取證。本期，數(shù)據(jù)恢復(fù)四川省重點(diǎn)實(shí)驗(yàn)室科研人員將介紹手機(jī)照片所包含的信息，以及如何對(duì)手機(jī)照片地理軌跡進(jìn)行提取。

　　一、背景介紹

　　隨著智能手機(jī)的日益普及，利用手機(jī)進(jìn)行拍照變得越來越廣泛。根據(jù)《2016年手機(jī)使用習(xí)慣調(diào)查報(bào)告》顯示，利用手機(jī)拍照功能排在打電話、聊微信、看電影之后，位列主流手機(jī)用途第4位，如圖1。在進(jìn)行手機(jī)拍照時(shí)，如果手機(jī)開啟了GPS定位服務(wù)功能，其他用戶就可以通過手機(jī)照片查看出使用者的拍攝地點(diǎn)等信息。

　　圖1

　　二、提取照片地理軌跡意義

　　對(duì)于手機(jī)電子數(shù)據(jù)取證而言，將智能手機(jī)中的照片全部提取出來(包括已刪除的照片)，再將提取照片中的創(chuàng)建時(shí)間、最后修改時(shí)間、經(jīng)緯度等信息進(jìn)行時(shí)間排序，并將相應(yīng)在順序在地圖上標(biāo)記出來，就可以很清楚知道使用者的地理軌跡，這對(duì)案件偵破或取證有重要作用。

　　三、照片中包含的信息

　　對(duì)于手機(jī)中的照片而言，除了包含圖像ID、尺寸、高度、寬度、分辨率等屬性外，還能存儲(chǔ)照相機(jī)本身的屬性，如：照相機(jī)制造商、型號(hào)、光圈值、曝光時(shí)間等。對(duì)于手機(jī)電子數(shù)據(jù)取證而言，手機(jī)照片可能還存儲(chǔ)有一些更重要的數(shù)據(jù)：

　　1.拍攝目標(biāo)距離

　　拍照都會(huì)有一定距離，例如自拍的距離通常在1米左右，偷拍的距離通常在10米以上。當(dāng)然，我們也可以從手機(jī)照片屬性中查找拍攝距離信息，如圖2。利用拍攝目標(biāo)距離與拍攝目標(biāo)進(jìn)行比對(duì)，就可以得出使用者所在的地理范圍。

　　圖2

　　2.照片經(jīng)緯度

　　經(jīng)緯度在地圖上面使用很頻繁，但現(xiàn)在手機(jī)照片也能存儲(chǔ)經(jīng)緯度信息，如圖3。

　　圖3

　　利用圖3中的經(jīng)緯度信息數(shù)據(jù)，經(jīng)過一定的方法進(jìn)行換算，得出拍攝GPS經(jīng)緯度坐標(biāo)為緯度：30.5722888888889，經(jīng)度：104.061158333333。通過經(jīng)緯度查詢得知，該坐標(biāo)地址為：四川省成都市武侯區(qū)桂溪街道星美國際影城(成都環(huán)球店)成都環(huán)球中心天堂洲際大飯店，如圖4。

　　圖4

　　由此，我們可以查找出照片拍攝的具體地理位置。

　　四、照片地理軌跡提取

　　一部手機(jī)中，通常包含了有很多照片。我們可以利用效率源MTF 手機(jī)可視化行蹤取證系統(tǒng)可將手機(jī)中的照片全部提取出來(已刪除照片，可進(jìn)行深度恢復(fù))。軟件可自動(dòng)將提取照片中的創(chuàng)建時(shí)間、最后修改時(shí)間、經(jīng)緯度等重要信息按照時(shí)間順序進(jìn)行關(guān)聯(lián)，最后將經(jīng)緯度在地圖上面標(biāo)記出來，如圖5。這樣，取證人員便能很快了解手機(jī)使用者的相關(guān)地理軌跡信息。

　　圖5

　　五、什么照片里面沒有經(jīng)緯度

　　1.如果手機(jī)GPS定位沒有開啟的話，手機(jī)拍攝出的照片是不會(huì)存儲(chǔ)經(jīng)緯度信息的，這是一種自我隱私保護(hù)措施。

　　2.上傳到QQ空間或微信朋友圈的照片也是沒有經(jīng)緯度的， 因?yàn)檐浖_發(fā)商為了用戶隱私，會(huì)把這些信息給抹除掉。

　　結(jié)語：

　　手機(jī)照片除了直接反應(yīng)拍攝對(duì)象以外，還包含拍攝時(shí)間、拍攝距離、拍攝經(jīng)緯度等重要信息。利用效率源MTF 手機(jī)可視化行蹤取證系統(tǒng)可以對(duì)手機(jī)照片實(shí)現(xiàn)完整提取，并將相關(guān)信息進(jìn)行關(guān)聯(lián)，形成直觀的地理軌跡圖，可以為案件偵破或取證提供重要線索，提升工作效率。