隨著手機等行動裝置不斷推陳出新，非法行為的手法不斷地改變，為了因應這些新的非法行為型態，使人們不再受到新型的詐騙手法危害，證據的蒐集方法也要不斷地改進。本文即針對Android智慧型手機Facebook Messenger App對話紀錄的萃取，分析留存在手機的數位證據來證明非法者的非法行為。
3. 聊天大頭貼
當有新訊息傳來時，會在手機桌面彈出聊天大頭貼，並以小方框顯示傳來的訊息數目，若同時與多人進行對話，則只會顯示一個聊天大頭貼，但點開聊天大頭貼後，就會出現多個大頭貼並列，此時就可點選欲對話的大頭貼來開啟對話視窗（圖3）。
 |
| ▲圖3 聊天訊息視窗。 |
4. 在線狀況
開啟Facebook Messenger App後，可以從各個朋友的大頭貼右下角找到一個上線狀況的小圖示，從中可以了解對方是使用電腦版的Facebook或手機版的Facebook Messenger App。
另外，若對方已有一段時間未使用Facebook Messenger App，則會在上線方式後方顯示出對方前次使用的時間為多久以前，若對方正在使用，在同樣的位置就會顯示「現在」。從圖4的兩張圖中可以比較出不同上線方式，以及是否正在使用Facebook Messenger App的差異。
 |
| ▲圖4 對方登入Messenger方式。 |
由於Facebook Messenger App結合了電腦社交網路和通訊和定位，因此會如圖5般顯示出Facebook Messenger App關於定位服務的設定，若能萃取出其中的資料，對於非法行為的分析來說將有莫大的幫助。
 |
| ▲圖5 定位服務會在傳訊的同時傳送自己位置。 |
行動裝置鑑識
本文中的鑑識行為著眼於Facebook Messenger App對話訊息的萃取，因此以下針對手機等行動裝置資料的採集進行介紹。
行動裝置的類型包含智慧型手機、個人數位助理（PDA）、電子書以及平板電腦等等，每種類型又有各種各樣的製造品牌，使得資料的萃取也會因此有些微的不同。而在資料的萃取中，根據所收集的檔案資料類型不同，大致上可以分為實體萃取（Physical Acquisition）及邏輯萃取（Logical Acquisition）兩大類。
實體萃取
實體萃取是針對儲存在裝置硬體中的資料進行採集，這部分的資料無法透過命令提示字元來取得，一般需要利用專屬通訊協定，直接將裝置中的所有記憶體以「bit by bit」的方式複製出來，才能進行分析。
實體萃取的資料通常雜亂而不易解讀，但因為其中包含了未配置空間等容易被忽略的區域，因此經常能夠從中復原出被刪除而未被覆蓋的資料，尤其是當為了掩蓋非法行為而刻意將資料刪除時，就能利用實體萃取來修復證據，因此實體萃取對於調查非法情事的幫助相當大。
邏輯萃取
邏輯萃取的資料，為對裝置進行操作時即可獲得的資料。而其資料來源包含日誌檔和資料庫，是可以透過命令提示字元來取得的資料，其方法包含直接用連接線連接、讀取SD卡等。
邏輯萃取的資料較有條理且容易解讀，包含手機通訊錄、手機簡訊、通話紀錄、GPS等等。然而，邏輯萃取無法取得被刪除的資料。
實體萃取與邏輯萃取差異
實體萃取與邏輯萃取最大的區別，在於能不能還原出被刪除的資料，以及取出的資料是否有條理，而兩者的資料萃取方式也相當不同，如表1所示。
表1 實體萃取與邏輯萃取的差異
實體萃取是直接將記憶體全部複製萃取，因而會包含未配置空間等可能還原出被刪除資料的區域；而邏輯萃取是透過作業系統API讀取檔案或資料，因此不能還原被刪除的資料。
在本次主題中，由於Facebook Messenger App的對話資料內容不屬於邏輯萃取的部分，因此要透過實體萃取才能找出目標的對話訊息。接下來的進行方式是利用實體萃取的方法，萃取出Facebook Messenger App的對話訊息。
使用工具
本次實驗所用的工具為手機鑑識專用軟體XRY，以及Android的智慧型手機。
XRY
XRY為一專為手機鑑識的開發軟體，其功能包含實體萃取、邏輯萃取，並可用於還原應用程式上的數據，如圖6所示。其支援的行動裝置包含行動電話、智慧型手機、平板電腦等等，而支援的手機型號種類更是超過了1,400種。
 |
| ▲圖6 XRY的使用介面。 |
Android智慧型手機
本次使用的Android智慧型手機版本為2.2的作業系統版本，手機製造之品牌為三星（Samsung）。相較於iOS作業系統有其官方提供的軟體iTunes可以進行iPhone手機的備份，Android作業系統的手機並無開發專門的備份軟體。因此本次主題即以Android智慧型手機為工具，進行Facebook Messenger App的對話訊息萃取。