随着移动通讯技术以及智能应用软件的普及,智能手机已经承载了通讯、商务、娱乐等多种服务,极大提高了人们生活的便利性。智能手机的强大功能在改变人们日常生活的同时,也为不法分子实施各种各样违法犯罪活动提供了便捷。不法分子使用的智能手机中存储的应用程序数据,可能与他们的违法犯罪行为有关。因此,通过对不法分子使用的智能手机进行取证,搜集重要的证据信息,这对公安机关和司法机关打击违法犯罪行为起着非常关键的作用。目前Android比i OS的市场份额高很多,Android操作系统具有统治地位。因此,对Android智能手机进行取证研究,具有十分重要的现实意义。本文设计和实现了基于图形渲染的安卓取证系统,通过该取证系统,可以实现对应用程序历史屏幕信息的恢复,进而挖掘出有价值的证据信息,这对移动领域的取证研究有着非常重要的意义。首先,通过对安卓图形流水线中根视图定义的扩展,使得处于游离状态的视图对象得以恢复;在此基础上提出视图树重建算法,恢复了根视图的历史窗口信息,并消除了缺失的视图对象,最终实现视图树的重建与根视图生成。其次,成功实现DisplayList的生成。提出一种DisplayList生成方法,该方法包括:视图树修复、目标应用进程全局状态恢复、目标应用类资源加载、运行时环境转换控制,以及DisplayList生成等阶段。提出基于视图树剪枝的DisplayList生成算法,算法成功解决了由于视图结点中存在部分无效内存引用而引起丢弃整棵视图树的问题,通过对视图树中问题结点的定位和剔除,保证了尽可能多地恢复历史屏幕。最后,设计一种基于DisplayList注入的离线渲染技术,成功实现应用程序历史屏幕的渲染与恢复。本文选取不同品牌的安卓智能手机上的多个APP应用,对安卓取证系统进行了测试。测试结果表明,实现的安卓取证系统能成功地恢复出APP应用的历史屏幕信息,恢复的历史屏幕与原始屏幕基本一致,通过历史屏幕恢复,可以恢复出删除的数据信息,最终验证了安卓取证系统的有效性。