2026-10-16 09:19:03 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【手机取证篇】蘇小沐手机取证注意事项

原创

蘇小沐
蘇小沐

DFIR蘇小沐

2026年9月24日 18:31
湖北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

优先不要关机，不要重启，开启飞行模式！保持电量，及时解密。结合当前法律法规和个人手机取证经验，书写此文，仅供参考。（需要手机解锁服务等可联系我---【蘇小沐】

一、手机现场扣押与封存原则

（一）法律与程序底线

1、取证主体合法：收集、提取电子数据应当由二名以上具备取证资格的侦查人员进行，取证方法必须符合相关技术标准。

2、审批手续完备：扣押、封存、冻结原始存储介质，须按规定履行审批手续；冻结电子数据须经县级以上公安机关负责人或检察长批准。

3、见证人制度：应有符合条件的见证人在场；无见证人或持有人拒绝签名的，须在笔录中注明原因。

4、全程可追溯：制作笔录，记录案由、对象、内容、时间、地点等，并附电子数据清单，注明类别、文件格式、完整性校验值（哈希值）等。

SF/Z JD0401002-2015《手机电子数据提取操作规范》。
《公安机关办理刑事案件电子数据取证规则》（2019）
《最高人民法院最高人民检察院公安部关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（2016）

1、人机分离原则

首先将机主与设备分离，避免嫌疑人销毁设备。

2、保持开机状态，优先\"断网\"原则（开启飞行模式和断开WiFi、蓝牙等）

未掌握开机密码之前，非必要，不要关机，不要重启！！！保持好手机电量。

部分设备：HW鸿蒙系统中高端机型、iPhone（主要是iPhone12及之后机型，可能会在72小时内重启。）

【Android设备是否重启快速判断】

输入密码界面：设备\"没重启\"和\"重启\"过的输入密码界面，设备重启后一般有\"重启\"字样提示。

输入密码界面：已经重启有明显的\"重启\"字样，以及可以看到密码位数。

【iPhone设备是否重启快速判断】

1、输入密码界面：密码输入界面查看是否有\"重启\"字样。

2、下拉菜单栏/手机界面点击\"相机\"图标，未重启的设备可以点击相机图标，打开相机。

（二）手机取证注意事项（非必要不关机、不重启）

未掌握开机密码之前，非必要，不要关机，不要重启！！！保持好手机电量，部分设备（主要是iPhone12及更新的设备）会在72小时内重启。

1、不要关机、不要重启！！！

未掌握开机密码之前，非必要，不要关机，不要重启！！！，第一时间开启\"飞行模式\"。保持好手机电量，部分设备（主要是iPhone12及更新的设备）会在72小时内重启。

华为鸿蒙系统的设备，尤其是鸿蒙2以上的系统，建议保持开机，非必要不要重启，不要关机。

2、现场关闭\"失窃设备保护\"模式！！！

案件现场要做的，现场关闭\"失窃设备保护\"！！！

【版本要求】在系统版本iOS17.3中首次新增\"失窃设备保护\"功能，并在系统版本iOS 18.2中默认自动开启。

【为什么要现场关闭】离开手机常在地后，即使知道开机密码，iPhone连接取证电脑无法弹出\"信任此电脑\"操作，仍然无法提取iPhone数据。

【解决方法】

1、需要机主配合 Face ID（面容识别）或 Touch ID（触控ID）验证解锁后（需要解锁两次：使用面容 ID 或触控 ID 进行一次生物识别认证（而且不可使用密码替代或回退），等待一小时后才能进行第二次面容 ID 或触控 ID 认证，两次认证完成才能彻底关闭\"失窃设备保护\"模式），iPhone连接到取证电脑才能获取信任。

2、提权，仍然无法关闭该模式，但可以利用漏洞提权，制作文件系统镜像。

所以，iPhone在现场获取到密码之后，在现场优先查看是否开启了\"失窃设备保护\"模式，优先关闭该模式。

【路径：\"设置\">\"面容 ID与密码（或触控 ID与密码）\">\"失窃设备保护\"】

3、应用分身、系统分身等排查

各品牌厂商系统存在差异化，具体路径位置存在不同，所以最快的方法是直接在设置里面搜索\"分身\"之类的关键词。

注意，一般系统分身无法打开\"开发者模式\"，无法开启USB调试。

二、手机品牌机型查询方法

优先不要重启设备，建议先把已知信息整理好，寻求解决方案：优先提供两张图：

1、正面照片：手机输入密码界面照片（可查看手机密码位数和手机状态）

2、手机背面照片：方便核对可能的机型。

3、已重启/已关机过的设备：已重启/已关机过的设备建议按照下面方法或使用厂商读取系统版本工具，进一步读取详细的设备型号和系统版本，方便我这边查询是否支持解密等。

（一）Android机型查询方法

1、未重启，有机会绕密，时效高，成本低：

\"正反面\"照片，正面输入密码界面照片（密码位数和状态）+手机背面照片，尤其是把带有设备型号信息的照片拍照；【注意事项】部分设备的型号编码位置：手机SIM卡槽位置、手机充电接口内侧等也可能存在设备型号编码。

2、已重启/已关机：

\"正反面\"照片，正面输入密码界面照片（密码位数）+详细版本信息（优先按照以下方法或各厂商设备型号读取方法尝试读取）

可使用各厂商的手机型号查询工具查询。

厂商	查询方法	备注
vivo系列（vivo、iqoo）	（1）手机开机状态下，切换至【紧急拨号】，输入 \ # \ # 5588 # \ # \ ，出现扫码界面后，按【返回键】即可进入售后工程模式查看相关信息。（2）查看【版本信息】及[移动通讯国际识别码(IMEI)]。【退出】：连续按两次【返回键】可退出测试界面。
oppo系列（oppo、oneplus一加、真我）	操作指南及注意事项（1）手机开机状态下，切换至【紧急呼叫】，输入 \*#899# ，完成自动显示【工程模式】界面（2）点击工程模式界面中的【软件版本】，即可在新窗口中获得Model（型号代码）、Android Version（安卓版本）及Build Time（编译时间）等信息。
Samsung（三星）系列	Recovery模式进入方法：手机关机状态下用数据线把手机连接到电脑。长按【电源键】+[音量+]，直至出现Samsung标志后，松开电源键，音量上继续按住，直到进入Recovery模式。【提示】三星手机强制重启或关机方法：长按【电源】＋[音量-]，直到屏幕变黑。
小米	Recovery恢复模式进入方法：（1）关机状态下，将数据线两端分别与手机和电脑连接好，长按【电源键】+[音量+]，出现Mi/Redmi标志后松开电源键，[音量+]继续长按，直至出现【主菜单】界面。（2）在【主菜单】中移动[音量-]键下移至【连接小米助手】，按1次【电源键】进行选择，然后使用[Recovery模式读取]读取设备型号信息。关机/重启操作方法：长按【电源键】，选择【关机】或【重启】即可。
Google（Pixel、Nexus）系列	Fastboot模式进入方法：关机状态下，使用数据线将手机与电脑连接，长按【电源键】+[音量-]，直到出现Fastboot画面。注意事项：如未能正常读取信息，请在Fastboot界面按1次[音量-]，出现\"Restart Bootloader\"后，按1次【电源键】，等待重新显示Fastboot画面，选择\"Fastboot模式读取\"按钮查询。正常启动模式下的关机/重启操作方法：手机正常启动且处于屏幕锁定状态下，按1次【电源键】+[音量+]键，在出现的菜单中选择\"关机\"或\"重启\"即可。特殊模式状态下的关机操作方法：同时长按【电源键】+[音量+]持续9-15秒，直到出现画面变黑，可放开按键。

（二）iPhone机型查询方法

非必要不要重启，不要关机！先咨询解决方法。

如果是已经关机已经重启过的，再按照下面方法读取具体版本。

型号	查询方法
iPhone5~iPhoneX系列	1.手机关机，并连接电脑。2.同时按下“Home键”+“电源键”，等待5~10秒设备上出现苹果开机图标后松手，直到进入Recovery模式
iPhone11~iPhone18系列	1.手机关机，并连接电脑。2.同时按下“音量下键”+“电源键”，等待5~10秒设备上出现苹果开机图标后松手，直到进入Recovery模式

带实体Home键、

1、【iPhone关机】iPhone系列关机操作方法

非必要不要重启，不要关机！

型号	关机方法
iPhone 4~8系列	长按【电源键】（右侧或顶部），出现关机画面后，拖动滑动条关机。
iPhone X~18系列	长按【电源键】（右侧）+【音量键】(+或-)，出现关机画面后，拖动滑动条关机。

2、【iPhone重启】iPhone系列强制重启方法

非必要不要重启，不要关机！

型号	重启方法
iPhone 6S/6S Plus/SE 1代/6 Plus/6/5S/5C/5系列	长按【电源键】+[Home键]，持续按住，直到出现苹果标志。
iPhone 7/7 Plus机型	长按【电源键】+[音量-]，持续按住，直到出现苹果标志。
iPhone 8~18/iPhone SE 2代及以上（FaceID机型）	按次序快按[音量+]及[音量-]，然后立即长按【电源键】，直到出现苹果标志。

3、【iPad重启】iPad系列关机操作方法

型号	重启方法
有Home键的iPad系列	长按【电源键】（或长按【电源键】+【Home键】）出现关机画面后，拖动滑动条关机。
无Home键的iPad系列	按次序长按【电源键】+【音量键（ + 或 - ）】，出现关机画面后，拖动滑动条关机。