小chen妙妙屋

汽车取证

11分钟阅读

汽车取证

汽车电子数据分布在多个独立模块中，取证不是”拿一个镜像”而是逐个模块提取。数据来源按价值排序：车机 IVI（导航/蓝牙/通话）> T-box（轨迹/远程控制）> EDR/ACM（碰撞数据）> 行车记录仪 > 其他控制器。

一、取证通用流程

  1. 现场勘查：记录品牌/车型/年款（决定支持哪些提取方式），拍照记录屏幕状态、连接的设备、OBD 口是否插着东西
  2. 确定模块清单：中控车机、T-box（通常藏在中控台后/座椅下/后备箱侧板）、气囊模块 ACM、行车记录仪、OBD 盒子、智能钥匙
  3. 带电优先：车机、T-box 尽量在通电状态先提逻辑数据（ADB/诊断口），断电可能导致易失数据丢失或模块锁死
  4. 由软到硬：逻辑提取（ADB/诊断协议/工具直连）→ 拆模块读接口（UART/JTAG）→ chip-off（编程器读 Flash）逐级降级
  5. 镜像与校验：任何提取先做镜像算哈希，后续分析在副本上进行

二、车机 IVI 取证（数据量最大）

车机多为 Android / Android Automotive / Linux，思路直接复用 5 手机取证/安卓系统结构.md。

1. 逻辑提取：ADB

  • 开 ADB 的常见入口：
    • 设置里连点”版本号”开开发者模式（原生安卓车机）
    • 工程模式/工厂模式：各品牌组合键或密码不同（如部分国产车机 设置→系统→连点版本；大众/奥迪 MIB 有隐藏工程菜单）——按具体车型查
    • 工程机/后装车机很多默认开启 ADB 甚至默认 root
  • 连接后操作：
adb devices
adb shell                    # 有 su 就直接提权
adb pull /sdcard ./sdcard    # 外置存储：导航数据、App 缓存、日志都在这
adb pull /data/data ./data   # 需要 root，应用私有数据库
adb logcat -d > logcat.txt   # 系统日志
  • 无 ADB 时：部分车机支持 U盘导出日志（工程菜单里的 “copy log to USB”）

2. 关键数据路径

数据位置
导航历史/目的地高德车机版：/sdcard/amapauto*/ 下的数据目录；百度地图/车机版导航同理，找 SQLite 和 json 缓存
蓝牙配对记录/data/misc/bluedroid/bt_config.conf（配对过的手机名 + MAC，证明某手机连过此车）
Wi-Fi 连接记录/data/misc/wifi/WifiConfigStore.xml（Android 8+）或 wpa_supplicant.conf（连过的热点 SSID/密码，含手机热点）
通话记录/通讯录同步车机电话 App 的 /data/data/<包名>/databases/
USB 设备插拔日志中 UsbDeviceManager 相关记录
语音助手对应 App 目录下的识别记录/缓存音频

3. 专业工具：Berla iVe

车机取证的行业标准工具（对应手机领域的 Cellebrite）：

  • 支持宝马 iDrive、奔驰 MBUX、福特 SYNC、通用、特斯拉等主流车机的逻辑/文件系统提取
  • 硬件连接车机的 USB/诊断口或直接接拆下的主机，软件自动解析：导航记录、蓝牙设备列表、通话记录、媒体播放、车辆事件（车门开关、档位变化的时间戳）
  • 输出结构化报告，可直接做时间线

4. 拆机提取（车机无法开机/无接口）

  • 拆出主机，找板上的 eMMC：用编程器（RT809H 等）或 eMMC 转接座读全量镜像
  • 镜像多为 ext4 分区（Android），挂到取证机用 Autopsy/FTK 解析，按手机安卓的思路找数据
  • SPI NOR（8 脚小芯片，存 bootloader/固件）用 CH341A 即可读

三、T-box 取证（轨迹与远控）

T-box（Telematics Box）连接 CAN 总线与 4G/5G 网络，是车辆”上云”的通道，存轨迹和远程控制记录。

1. 模块定位与基础信息

  • 常见位置：中控台内部、主/副驾座椅下方、后备箱侧板内衬后
  • 拆出后先记录：铭牌型号、SIM 卡（插卡式直接取卡读 ICCID；eSIM 需读芯片）、主板方案
  • AT 命令（通过串口对模组）：AT+CCID 读 ICCID、AT+CGSN 读 IMEI

2. 串口（UART）提取

板上一般留 4 针调试焊点（VCC/TX/RX/GND）：

  1. 万用表找 GND，通电测 TX（开机有数据跳变），常见波特率 115200 8N1
  2. USB 转 TTL 连接，SecureCRT/PuTTY/minicom 打开
  3. 多数直接给 root shell 或打断 U-boot 进命令行
  4. 有 shell 后：
cat /proc/mtd            # 看 Flash 分区
cat /proc/cpuinfo        # 主控方案
# 找数据：SQLite 轨迹库、json 缓存、运行日志
find / -name "*.db" -o -name "*.sqlite" 2>/dev/null
# 整盘备份（有网口/可插U盘时）
dd if=/dev/mmcblk0 | nc <取证机IP> 1234

3. 固件提取与分析（无可用 shell）

  • eMMC：编程器读全量 → 得到 Linux 分区镜像
  • 固件解包：
binwalk -Me firmware.bin      # squashfs/ext4 直接解
# UBIFS 镜像用：
ubireader_extract_files rootfs.ubifs
  • 解包后重点找：与 TSP 平台通信的配置（平台域名/IP、设备证书、APN）、轨迹缓存库、远控指令日志、OTA 升级记录

4. 数据要点

数据取证意义
GPS 轨迹（经纬度+时间戳）行踪时间线
远程控制记录（解锁/启动/空调）何人何时操作过车辆
通信日志（与 TSP 心跳/上报）网络行为；平台侧数据更全，可依法向车企调取
VIN/IMEI/ICCID/绑定手机号设备与人关联

四、EDR / ACM 取证（碰撞数据）

EDR 记录碰撞事件前后约 5 秒的车辆动态数据，集成在气囊控制模块 ACM 内。法规：中国 GB 39732-2020（2022 年起新生产乘用车强制）、美国 49 CFR Part 563。

1. 提取方式

方式一：DLC 诊断口（优先，无损）

  • 车辆未严重损毁时，通过 OBD-II 口读取

方式二：直连模块（Direct-to-Module）

  • 车辆断电/损毁时拆出 ACM，用对应车型的转接线束直接供电读取

工具：

  • Bosch CDR：行业标准。CDR 900 接口盒 + 软件，先查 CDR Supported Vehicles List 确认车型支持 → 连接 → 读取 → 生成带哈希的 PDF 报告
  • 特斯拉：官方 EDR Retrieval Program（官网免费提供软件和线材图，需自备 CAN 接口硬件）
  • 国内：元征、道通等诊断设备部分支持

2. 报告解读

  • Pre-crash 数据：车速、发动机转速、油门开度、制动状态、方向盘转角——按固定采样间隔的时间序列（画成曲线看碰撞前驾驶员操作）
  • Crash 数据：纵向/横向 delta-V（速度变化量）曲线、气囊展开时间、安全带状态
  • 核对：报告中的 VIN、点火循环计数 与车辆是否一致（防张冠李戴）；事件分展开/非展开两类，非展开事件可能被后续事件覆盖
  • EDR 不记日常轨迹，只记触发事件；时间戳是相对时间（点火循环），需与其他证据对齐

五、CAN 总线数据（补充手段）

EDR 拿不到时，可通过 CAN 总线抓实时数据佐证车速等：

# 硬件：PCAN-USB / CANable 接 OBD-II 的 6/14 脚（CAN-H/CAN-L）
candump can0 -l             # can-utils 抓原始帧
# SavvyCAN：图形化分析，加载车型 DBC 文件把原始帧解析成车速/转速等信号
  • DBC 文件（信号定义）是关键，按车型找；没有 DBC 就只能逆向
  • 也可读取故障码 DTC 和冻结帧（Freeze Frame）：事故时刻的工况快照，OBD 诊断设备即可

六、行车记录仪与其他

  • 行车记录仪：取 SD 卡做镜像（FAT32/exFAT），除现存视频外做删除视频恢复（视频流连续存储，雕刻成功率高）；注意视频内嵌时间戳是否被修改过，和 GPS 轨迹互证
  • OBD 后装盒子（车联网公司/保险 UBI 设备）：独立取证对象，内部有 Flash 和流量卡
  • 智能钥匙：部分车型钥匙存最后使用记录；钥匙匹配记录在车身的防盗模块里

七、工具清单

类别工具
车机提取Berla iVe、ADB、Autopsy/FTK（解析镜像）
EDRBosch CDR、特斯拉 EDR Retrieval
串口/芯片USB 转 TTL、CH341A（SPI NOR）、RT809H（eMMC）、ubireader、binwalk
CAN 总线PCAN-USB/CANable、can-utils、SavvyCAN
手机关联车机蓝牙记录 ↔ 手机取证交叉验证

八、注意事项

  • 时钟不统一：车机走 GPS/网络授时、EDR 用点火循环相对时间、记录仪时间可能漂移——做总时间线前先逐模块对齐
  • 改装车/后装设备（后装安卓大屏、OBD 盒子）是独立取证对象，数据往往比原厂还多
  • 涉及案件时注意调取合规：TSP 平台数据、车企后台数据需依法调取，拆模块前拍照记录原始状态

关系图谱