氧气OFD 14.2版本升级技术指南

2021年12月

氧气®OFD v.14.2发布，新版本更新了支持的设备和云提取能力，增强的数据导入功能，新数据格式支持

增强了对华为麒麟芯片设备的支持

氧气®OFD v.14.2版本更新了华为转储提取手段，适用于麒麟芯片安卓9和10的设备。它现在支持具有2021年5月和6月的SPL（安全补丁级别）的华为设备。对于更新了SPL的设备，改进了密码暴力破解算法。提取硬件密钥的同时，在设备上完成密码恢复，而不是在转储上。该方法适用于设备数据和隐私空间提取。

重新设计OFD中通过iTunes备份苹果手机的提取方式

14.2版本完全重新设计和改进了iTunes备份方法，可以在从未解锁的苹果iOS设备中进行逻辑提取。全新设备提取模块除了用户界面改进，取证人员还将能够在提取时查看更多的详细信息。此外，提取的数据将立即保存在取证人员选择的目标文件夹中。以前版本中iTunes备份会被临时保存在磁盘C上的默认文件夹中。现在使用OFD连接苹果手机，取证人员只需要从官方网站或微软商店下载iTunes即可完成

应用程序支持

14.2版本专注于VPN应用程序的解析。取证人员现在可以从网络幽灵VPN、ZenMateVPN、ExpressVPN、NordVPN和RusVPN应用程序中提取证据。此外，氧气®OFD v.14.2引入了对Flock、Anon聊天、VK邮件和Clubhouse（安卓）的支持。支持的应用程序版本的总数现在超过了25,800个。

选择性数据分析

氧气®OFD v.14.2版本发布了一个革命性的取证手段——选择性数据分析。数据导入之前，取证人员可以选择部分需要分析的数据以进行进一步分析。要使用此功能，请在导入向导中选择“选择数据分析”选项，并检查需要解析的特定应用程序。该功能不仅节省了大量的时间，而且还允许取证人员只解析当前所需的数据。iOS、Android和KaiOS的提取都支持此功能。

谷歌Warrant Returns

氧气®OFD v.14.2可以提取和解析谷歌Warrant Returns。取证人员获取到以下证据集：设备详细信息、日历、Gmail联系人、Gmail消息、谷歌云盘、位置历史记录和我的活动。OFD可以解析出谷歌Warrant Returns中得这五种数据类型。OFD同时也支持Instagram、脸书、推特和Snapchat的return服务。

 其他导入方式更新

在氧气®OFD v.14.2增强了其他的导入手段。增加了对安卓GrayKey提取的支持。取证人员现在可以提取和解析UFDX文件。更新了对最新版本的三星智能交换机备份的支持。

云取证模块更新

OFD14.2版本更新了云服务模块。包含WhatsApPQR服务、WhatsApp云服务、VIPole、Telegram服务、Foursqure服务和Microsoft服务的授权算法。更新了对领英的支持。重新设计了提取的电子邮件(IMAP)在氧气®OFD中显示的方式。增强了对云电子邮件的分析。

解析计算机镜像

氧气法医®KeyScout允许取证人员在Windows系统计算机镜像中采集更多的数据类型：

USN(NTFS)期刊

LogFile(NTFS)期刊

LNK文件

TOAST通知

此外，增加了从Windows和macOS电脑收集桌面谷歌云盘数据的能力。取证人员可以提取文件、图像、文件夹、缓存和同步设备的列表。

已解决的问题

在WindowsOS8和11上关闭软件时发生的错误。

无法从华硕Zenfone3Max中提取加密密钥。

导入已损坏的TAR或ADB备份时发生的错误。

从长目标路径导入备份时发生的错误。