行车记录仪车机数据如何取证？

行车记录仪车机的数据取证方案

[b]常见问题解答[/b]

[b]行车记录仪车机数据取证需要哪些工具？[/b]
行车记录仪车机数据取证通常需要专用取证设备或软件，如只读读卡器、数据恢复工具、硬件写保护器，以及支持车机文件系统的解析工具。具体工具选择取决于车机品牌和存储介质类型（如SD卡、内置eMMC）。取证时需确保介质只读，避免数据篡改。

[b]行车记录仪车机取证时如何保证数据完整性？[/b]
保证数据完整性需采用哈希校验（如MD5或SHA-256）对原始存储介质进行镜像，并在镜像基础上分析。同时使用写保护设备防止数据被修改，记录取证操作日志，确保过程可追溯。司法鉴定中还需遵守相关取证标准和规范。

[b]行车记录仪车机数据取证常见难点有哪些？[/b]
常见难点包括：车机加密或专有文件系统导致无法直接读取；存储介质损坏或数据覆盖；部分车机数据缓存机制导致关键视频未保存；以及时间戳不准确等问题。解决需结合数据恢复技术、文件系统逆向分析和时间校准方法，必要时借助专业实验室设备。

专项提取分析报告
淮西数[2026]电鉴字第9号（车载行车记录仪）
分析对象：32.img 镜像 / UDISK (F2FS) 分区 / data/data/com.dofun.variety/

一、分析概述
本报告针对检材 32.img 镜像文件中的 /data/data/com.dofun.variety/ 目录进行专项提取分析，旨在获取行车记录仪的录像运行记录、USB 插拔记录及时间同步记录。

镜像文件
32.img (29.12 GB)
分区方案
GPT
目标分区
UDISK (F2FS)
分区大小
23.71 GB
起始偏移
0x15A000000
目标包名
com.dofun.variety
录像应用
com.tw.dvr
分析日期
2026-08-24
二、文件系统识别与重建
2.1 GPT 分区表分析
通过解析 32.img 的 GPT 分区表，共识别出 20 个分区。其中 UDISK 分区为用户数据主分区，采用 F2FS 文件系统。

分区号        分区名称        起始LBA        结束LBA        大小        文件系统
20        UDISK        11337728        61071326        23.71 GB        F2FS
13        cache        225280        725279        244 MB        ext4
14        metadata        725280        758015        16 MB        ext4
15        twdataconfig        758016        766207        4 MB        ext4
16        twupdate        766208        897279        64 MB        ext4
18        system_tw        2179072        3497983        644 MB        ext4
19        media_data        3497984        3563519        32 MB        FAT16
F2FS 文件系统识别成功：UDISK 分区超级块 magic number 为 0xF2F52010，确认为 F2FS (Flash-Friendly File System) 文件系统。已通过检材目录完成数据提取。
三、/data/data/com.dofun.variety/ 目录结构
3.1 主要子目录
databases/ - 数据库文件 (4个)
shared_prefs/ - 配置文件 (8个XML)
files/log/ - 应用日志 (xlog格式)
files/mmkv/ - MMKV键值存储
files/lldt/ - 定位相关数据库
files/ofld/ - 离线定位数据库
cache/ - 缓存目录
app_p_a/ - 插件目录
qihooCrash/ - 崩溃日志
app_crashrecord/ - 崩溃记录
3.2 媒体区数据 (.stealth)
media/0/.stealth/variety/log/ - 37个xlog日志文件
media/0/.stealth/variety/data/stealth2.db - 隐身模式数据库
media/0/.stealth/variety/cfg/preference - 偏好配置
media/0/.travelLog/xlog/ - 旅行日志 (30个文件)
media/0/.weatherLog/xlog/ - 天气日志 (33个文件)
四、DVR 录像应用配置 (com.tw.dvr)
行车记录仪录像功能由独立应用 com.tw.dvr 提供，而非 com.dofun.variety。com.dofun.variety 为桌面启动器（Launcher）应用。
4.1 录像核心配置 (dvr.xml)
配置项        值        说明
auto_record        true        自动录像已开启
record_path        /storage/usb1        录像存储路径（U盘）
record_path_name        usb1        存储路径名称
record_duration        3        每段录像时长（分钟）
record_hint        true        录像提示
key_left_right_view        true        左右视图切换
Reversing_Ruler_Line        true        倒车标尺线
Delayed_Close_Preview        3        延迟关闭预览（秒）
4.2 倒车影像轨迹点 (ReversePathView.xml)
轨迹点        坐标
Point1        (19, 593)
Point2        (273, 498)
Point3        (693, 492)
Point4        (1016, 590)
关键发现：录像文件存储在 /storage/usb1（外接U盘），而非设备内部存储。因此 32.img 镜像中不包含实际的录像视频文件，仅包含录像应用的配置和运行日志。

五、数据库分析
5.1 数据库概览
数据库文件        大小        表数量        主要内容
stealth2.db        28 KB        4        应用入口过滤、收藏应用（空表）
overseas_variety.db        132 KB        15        主题配置、桌面小部件、主题使用记录
s.db        16 KB        -        非标准SQLite数据库
bugly_db_        -        -        Bugly崩溃统计（二进制格式）
gal.db (lldt)        64 KB        3        陀螺仪/加速度传感器数据 (242条)
hst.db (lldt)        20 KB        2        航向状态数据 (2条)
ofl_location.db (ofld)        28 KB        3        离线定位数据（空表）
ofl_statistics.db (ofld)        80 KB        11        离线定位统计（空表）
5.2 theme_usage 表（主题使用记录）
overseas_variety.db 中的 theme_usage 表包含 13 条主题使用记录，时间范围：2025-04-16 08:34:18 ~ 2025-04-17 03:00:30

ID        记录时间        目标Activity        是否默认桌面
136        2025-04-16 08:34:18        com.dofun.overseasvariety.Launcher        是
137        2025-04-16 08:34:18        com.dofun.overseasvariety.Launcher        是
138        2025-04-16 08:34:20        com.dofun.overseasvariety.Launcher        是
145        2025-04-17 03:00:30        com.dofun.overseasvariety.Launcher        是
148        2025-04-16 08:53:47        com.dofun.overseasvariety.Launcher        是
六、日志分析
6.1 日志文件概况
stealth/variety 日志
37 个 xlog 文件
日志时间跨度
2025.04.16 - 2025.09.19
travel 日志
30 个 xlog 文件
weather 日志
33 个 xlog 文件
6.2 明文日志分析 (variety-xlog_20250416_.log)
2025-04-16 的明文日志文件大小 3.4 MB，共 27,803 行，记录了 Launcher 启动及运行过程。

日志大小
3,455 KB
总日志行数
27,803 行
时间范围
04-16 至 05-15
应用版本
V7.28.8.281.250326
6.3 启动时间线 (2025-04-16)
08:34:10.780
LauncherApplication onCreate 开始 (PID 3032)
08:34:15.691
AppInitStatistics 数据采集开始
08:34:17.286
广告管理器初始化，0条统计记录
08:34:17.639
主题配置初始化
08:34:17.893
Launcher Activity onCreate 开始
08:34:19.106
权限获取：定位、录音等权限已授予
08:34:19.416
应用列表加载，包含 com.tw.dvr (DVR记录仪)
08:34:21.788
USB存储广播接收 (UsbDiskReceiver)
08:34:54.978
Launcher 启动完成
08:56:17.023
DVR通知：com.tw.dvr 通知发布 (id=1)
6.4 DVR 相关日志条目
[2025-04-16 08:34:19.416] [AppsView] 应用列表加载，包含 com.tw.dvr:com.tw.dvr.ui.activity.RecordAliasActivity
[2025-04-16 08:54:40.603] [NotifyService] onNotificationPosted 2 : com.tw.dvr, 1
[2025-04-16 08:56:17.023] [AppsView] observeRedDotInfo 红点信息更新，含 DVR 应用
6.5 加密 xlog 文件说明
加密日志：大部分日志文件（.xlog 后缀）采用腾讯 Mars XLog 加密格式存储，需使用对应密钥解密。检材目录中仅少量 _.log 文件为明文格式。