編者按：在手機電子數據取證領域，除了手機短信、通訊錄、通話記錄等重要信息外，手機照片也是一項重要提取內容。手機照片可能包含拍攝時間、拍攝距離、拍攝經緯度等重要數據，如果將這些信息進行關聯，就可以構成使用者行蹤軌跡，有助于偵查破案或取證。本期，數據恢復四川省重點實驗室科研人員將介紹手機照片所包含的信息，以及如何對手機照片地理軌跡進行提取。
一、背景介紹
隨著智能手機的日益普及，利用手機進行拍照變得越來越廣泛。根據《2016年手機使用習慣調查報告》顯示，利用手機拍照功能排在打電話、聊微信、看電影之后，位列主流手機用途第4位，如圖1。在進行手機拍照時，如果手機開啟了GPS定位服務功能，其他用戶就可以通過手機照片查看出使用者的拍攝地點等信息。
圖1
二、提取照片地理軌跡意義
對于手機電子數據取證而言，將智能手機中的照片全部提取出來(包括已刪除的照片)，再將提取照片中的創建時間、最后修改時間、經緯度等信息進行時間排序，并將相應在順序在地圖上標記出來，就可以很清楚知道使用者的地理軌跡，這對案件偵破或取證有重要作用。
三、照片中包含的信息
對于手機中的照片而言，除了包含圖像ID、尺寸、高度、寬度、分辨率等屬性外，還能存儲照相機本身的屬性，如：照相機制造商、型號、光圈值、曝光時間等。對于手機電子數據取證而言，手機照片可能還存儲有一些更重要的數據：
1.拍攝目標距離
拍照都會有一定距離，例如自拍的距離通常在1米左右，偷拍的距離通常在10米以上。當然，我們也可以從手機照片屬性中查找拍攝距離信息，如圖2。利用拍攝目標距離與拍攝目標進行比對，就可以得出使用者所在的地理范圍。
圖2
2.照片經緯度
經緯度在地圖上面使用很頻繁，但現在手機照片也能存儲經緯度信息，如圖3。
圖3
利用圖3中的經緯度信息數據，經過一定的方法進行換算，得出拍攝GPS經緯度坐標為緯度：30.5722888888889，經度：104.061158333333。通過經緯度查詢得知，該坐標地址為：四川省成都市武侯區桂溪街道星美國際影城(成都環球店)成都環球中心天堂洲際大飯店，如圖4。
圖4
由此，我們可以查找出照片拍攝的具體地理位置。
四、照片地理軌跡提取
一部手機中，通常包含了有很多照片。我們可以利用效率源MTF 手機可視化行蹤取證系統可將手機中的照片全部提取出來(已刪除照片，可進行深度恢復)。軟件可自動將提取照片中的創建時間、最后修改時間、經緯度等重要信息按照時間順序進行關聯，最后將經緯度在地圖上面標記出來，如圖5。這樣，取證人員便能很快了解手機使用者的相關地理軌跡信息。
圖5
五、什么照片里面沒有經緯度
1.如果手機GPS定位沒有開啟的話，手機拍攝出的照片是不會存儲經緯度信息的，這是一種自我隱私保護措施。
2.上傳到QQ空間或微信朋友圈的照片也是沒有經緯度的， 因為軟件開發商為了用戶隱私，會把這些信息給抹除掉。
結語：
手機照片除了直接反應拍攝對象以外，還包含拍攝時間、拍攝距離、拍攝經緯度等重要信息。利用效率源MTF 手機可視化行蹤取證系統可以對手機照片實現完整提取，并將相關信息進行關聯，形成直觀的地理軌跡圖，可以為案件偵破或取證提供重要線索，提升工作效率。
