一種偽基站取證設備及偽基站快速取證方法與流程
2023-10-06 09:30:39 2
本發明涉及安防領域，具體涉及一種偽基站取證設備及偽基站快速取證方法。
背景技術：
隨著人類文明的不斷進步，人類對於計算機通信的依賴越來越重，同時，伴隨著而來的是不法分子利用計算機通信進行違法活動，其中，以偽基站為例。
偽基站是近年來出現的一種新型違法犯罪活動形式。不法分子利用「偽基站」實施電信詐騙和非法廣告推銷等違法犯罪活動,不僅損害群眾財產權益、侵犯公民隱私,而且擾亂了國家通信秩序和社會公共秩序。目前偽基站從第一代已經發展到第三代，第三代偽基站設備一旦關機，執法人員便無法獲取其所發信息的任何資料，這給執法人員的取證造成了困難。
技術實現要素：
為了克服上述現有技術中存在的缺陷，本發明的目的是提供一種偽基站取證設備及偽基站快速取證方法。
為了實現本發明的上述目的，本發明提供了一種偽基站取證設備，包括現場勘驗取證一體箱、信號屏蔽器和備用供電電源；所述現場勘驗取證一體箱包括取證u盤，所述信號屏蔽器包括頻率幹擾發射模塊；
所述頻率幹擾發射模塊屏蔽遠程無線遙控對偽基站的控制信號，所述備用供電電源向偽基站供電，所述取證u盤插在偽基站上，進行偽基站在線取證。
通過信號屏蔽器避免了偽基站被遠程控制，並利用備用供電電源向偽基站供電，解決了偽基站設備被遠程控制關機，執法人員便無法取證的問題。
進一步的，所述備用供電電源包括交流供電電源和/或直流供電電源，所述交流供電電源包括直流電源和dc-ac逆變器，所述直流電源輸出端連接所述dc-ac逆變器輸入端，所述dc-ac逆變器輸出端連接偽基站供電端，所述直流供電電源輸出端連接偽基站供電端。
備用供電電源簡單便攜性強，能夠給偽基站持續供電。且該偽基站取證設備既能適用於直流供電的偽基站，也能適用於交流供電的偽基站。
進一步的，所述頻率幹擾發射模塊為雙頻幹擾發射模塊，屏蔽433mhz和315mhz的頻段信號，能對433mhz和315mhz的頻段信號進行幹擾屏蔽，有效防止了偽基站被遠程控制。
本發明還提出了一種基於上述偽基站取證設備的偽基站快速取證方法，包括以下步驟：
s1，發現偽基站後，採用所述頻率幹擾發射模塊發送屏蔽信號，避免偽基站被遠程控制，並使用備用供電電源為偽基站供電，；
s2，將取證u盤插入到偽基站上，將系統鏡像複製，然後進行偽基站在線提取；
系統鏡像複製：首先將系統鏡像完整製作出來，然後固定偽基站系統中所有用戶數據，通過系統搜索的方式找到相關數據進行拷貝，將製作好的鏡像存儲到移動介質中；
偽基站在線提取是通過後臺系統搜索的方式快速查找偽基站相關存在的關鍵數據，然後將關鍵數據存儲到移動介質中。
該方法能夠快速在線獲取偽基站發送的相關數據，並且將數據存放到移動介質中。
優選的，系統的鏡像複製採用dd的方式，即扇區按位複製方式。
進一步的，偽基站系統中所有用戶數據包括send.data、openbts.log、tmsi.db、syslog、mysql數據，所述偽基站相關存在的關鍵數據包括send.data、openbts.log、tmsi.db、syslog、mysql數據。這全面包含了取證所需要所有數據，使得取證更加全面。
進一步的，在偽基站在線取證過程中，對系統後臺日誌及用戶屬組變化情況進行監視，如發生異常則通知後臺。
本發明的附加方面和優點將在下面的描述中部分給出，部分將從下面的描述中變得明顯，或通過本發明的實踐了解到。
附圖說明
本發明的上述和/或附加的方面和優點從結合下面附圖對實施例的描述中將變得明顯和容易理解，其中：
圖1是偽基站取證設備結構示意圖；
圖2是現場勘驗取證一體箱與偽基站的連接示意圖；
圖3是信號屏蔽器結構示意圖；
圖4是220v偽基站供電模塊示意圖；
圖5是12v偽基站供電模塊示意圖；
圖6是取證流程圖；
圖7是取證後的數據處理流程圖。
具體實施方式
下面詳細描述本發明的實施例，所述實施例的示例在附圖中示出，其中自始至終相同或類似的標號表示相同或類似的元件或具有相同或類似功能的元件。下面通過參考附圖描述的實施例是示例性的，僅用於解釋本發明，而不能理解為對本發明的限制。
在本發明的描述中，除非另有規定和限定，需要說明的是，術語「安裝」、「相連」、「連接」應做廣義理解，例如，可以是機械連接或電連接，也可以是兩個元件內部的連通，可以是直接相連，也可以通過中間媒介間接相連，對於本領域的普通技術人員而言，可以根據具體情況理解上述術語的具體含義。
本發明提供了一種偽基站取證設備，如圖1所示，包括現場勘驗取證一體箱、信號屏蔽器和備用供電電源。
如圖2所示，所述現場勘驗取證一體箱包括取證u盤、無線滑鼠鍵盤、顯示器以及拆解偽基站的工具，取證u盤與無線滑鼠鍵盤均通過usb集線器連接到偽基站上，偽基站的信息輸出端連接至顯示器的輸入端。該現場勘驗取證一體箱便攜性強，能夠在線獲取偽基站發送的相關數據，並且將數據存放在取證u盤裡，同時還便於對偽基站進行拆解。
所述信號屏蔽器包括頻率幹擾發射模塊、led工作狀態指示燈，電源開關，電源模塊以及發送天線，電源開關開啟時，頻率幹擾發射模塊、led工作狀態指示燈開始工作，電源模塊為該信號屏蔽器供電。本實施例中，頻率幹擾發射模塊可為雙頻幹擾發射模塊，如圖3所示，可選用但不限於使用433mhz和315mhz頻率幹擾發射模塊，用於屏蔽433mhz和315mhz的頻段信號。該雙頻幹擾發射模塊體積小、實用性強，能夠同時有效的屏蔽433mhz與315mhz的頻段信號。
所述頻率幹擾發射模塊屏蔽遠程無線遙控對偽基站的控制信號，所述備用供電電源向偽基站供電，所述取證u盤插入到偽基站上，進行偽基站在線取證。
當發現偽基站的設備時，首先用信號屏蔽器屏蔽遠程無線遙控對偽基站的開關電源等控制失去作用，用備用供電電源給偽基站進行供電，將現場勘驗取證一體箱接在偽基站上面，進行偽基站在線取證。
本實施例中，所述備用供電電源包括交流供電電源和/或直流供電電源，所述交流供電電源包括直流電源和dc-ac逆變器，所述直流電源輸出端連接所述dc-ac逆變器輸入端，所述dc-ac逆變器輸出端連接偽基站供電端，流供電電源輸出端連接偽基站供電端。
大多數偽基站採用220v交流電供電或者12v直流電供電，因此，本實施例中，如果是使用220v交流電供電的偽基站，那麼交流供電電源的直流電源選用12v便攜鋰電池，dc-ac逆變器為12v直流轉220v交流逆變器，如圖4所示；如果是使用12v直流電供電的偽基站，如圖5所示，直接採用12v便攜鋰電池給偽基站供電即可。
本發明還提出了一種基於上述偽基站取證設備的偽基站快速取證方法，如圖6所示，包括以下步驟：
s1，發現偽基站後，採用所述頻率幹擾發射模塊發送屏蔽信號，避免偽基站被遠程控制，並使用備用供電電源為偽基站供電；
s2，將取證u盤插入到偽基站上，將系統鏡像複製，然後進行偽基站在線提取；
系統鏡像複製：首先將系統鏡像完整製作出來，這裡系統的鏡像複製採用但不限於dd的方式，即扇區按位複製方式。偽基站系統是linuxlivecd系統掛載在/dev/sda磁碟下，通過ddif＝/dev/sdaof＝u盤路徑即可將系統扇區按位複製出來。
然後固定偽基站系統中所有用戶數據，通過系統搜索的方式找到相關數據進行拷貝，將製作好的鏡像存儲到移動介質中，如取證u盤,偽基站系統中所有用戶數據包括send.data、openbts.log、tmsi.db、syslog、mysql數據，固定方法為：這5類證據源均存在固定的位置，查找對應位置的對應數據提取，send.data是硬碟所有位置的都複製，openbts.log是偽基站運行日誌，存在/var/log下，tmsi.db是偽基站存儲配置文件，存在/etc/openbts下，syslog是系統運行日誌，存在/var/log下，mysql是偽基站運行時的發送記錄及簡訊內容記錄，存在/var/lib/mysql下。
取證u盤將以上數據提取過後，對數據(如imsi內容、發送的簡訊，其中發送的簡訊為send.data中的部分內容)進行匯總，，如圖7所示，統計犯罪人員發的信息數量，對所發的信息數量排重，去掉重複的信息,通常的做法為將提取完成的數據存入vector中使用sort從低到高排序，使用unique排重。
偽基站在線提取是通過後臺系統搜索的方式快速查找偽基站相關存在的關鍵數據，然後將關鍵數據存儲到移動介質中。這裡偽基站相關存在的關鍵數據包括send.data、openbts.log、tmsi.db、syslog、mysql數據。
同時，在偽基站在線取證過程中，對系統後臺日誌及用戶屬組變化情況進行監視，如發生異常則通知後臺。
在本說明書的描述中，參考術語「一個實施例」、「一些實施例」、「示例」、「具體示例」、或「一些示例」等的描述意指結合該實施例或示例描述的具體特徵、結構、材料或者特點包含於本發明的至少一個實施例或示例中。在本說明書中，對上述術語的示意性表述不一定指的是相同的實施例或示例。而且，描述的具體特徵、結構、材料或者特點可以在任何的一個或多個實施例或示例中以合適的方式結合。
儘管已經示出和描述了本發明的實施例，本領域的普通技術人員可以理解：在不脫離本發明的原理和宗旨的情況下可以對這些實施例進行多種變化、修改、替換和變型，本發明的範圍由權利要求及其等同物限定。