好久不寫了，不管是忙還是閑，歸結起來還是懶。
無人機在國內銷售火熱，成了新的時尚玩具，但是目前針對民用無人機的監管，尚未出台相關的管理規定，近期和一個LE的朋友聊，談到了無人機的取證，今天寫一寫這方面的想法和近期的研究。
一、為什么取無人機，能不能做？
電子數據取證涵蓋的介質極為廣泛，可以說凡是帶存儲的都可以列入其范圍，所以無人機、智能家居設備、可穿戴設備、物聯網設備……這些一定，或早或晚，會成為電子數據取證調查工作的調查對象；
至於能不能做，答案自然是可以，與去年研究的AppleWatch取證一樣，目前消費級無人機還是要依賴於手機App來進行聯網和顯示，所以這些問題一部分可以用手機取證的方法來解決；此外，廠商出於審計或者質量跟蹤和維護需要，一般會在無人機內部集成一定容量的存儲，用於Flight data recoder，所以這也將是一個重要的數據來源。
二、手機App取證
以大疆DJI Go為例，數據傳遞方式“無人機→2.4G控制信號→遙控器→數據線→手機 [反之亦然]“，手機中顯示並存儲了所有飛行數據，通過對DJI Go App（下簡稱”Go“）的分析，可直接找到對應的FlightRecords文件，對其格式進行轉化后，可找到詳細的日志記錄信息，如下圖：
此外，還可將上述信息轉換為kml軌跡，在Google Earth中查看其飛行路徑。
三、機身取證
除了直接對Go App的數據進行分析外，在某些特定情況下，我假設了一個場景：某重要場合禁飛區，有不明無人機飛入，使用技術手段使其迫降后，希望找到無人機擁有者，起飛時間地點以及軌跡信息的。
這個思路就在於對無人機內部的FDR進行提取，以大疆Phantom 3這一主流消費無人機為例，其內部固定了一張TF卡用於FDR記錄，其數據格式亦為公開，且卡可以保存的飛行數據容量相當之大，對其進行轉換后也可采用與App數據一致的展現方法，將飛行數據完整展現。
四、應用場景
簡單的以DJI Phantom3為例，模擬一個不明無人機的典型調查場景：
1. 發現不明無人機入侵，使用干擾設備和反無人機設備將其迫降；
2. 打開設備，取出乳膠固定的FDR卡；
3. 快速讀取DAT文件並解析，找出最近的飛行記錄；
4. 找到飛行起始點經緯度，以及高度信息，直接判斷建築物和所在樓層；
5. 快速響應，控制操控者。
***這個研究參考了David Kovar, Greg Dominguez以及Cindy Muurphy的研究報告，在此致謝；有興趣者可以搜索他們近期的研究內容。