随着移动智能设备的广泛运用,针对Android设备的取证分析已经成为数字取证的重要组成部分。然而,由于Android设备的多样性,导致并没有针对Android设备通用的取证方法。针对非易失性内存的逻辑获取方式需要Root权限,使得其应用场景受到了很大的限制,因此,物理取证方式正在成为Android设备取证技术研究的重点。而在当前的Android设备物理取证方式中,JTAG芯片获取等技术由于存在着操作复杂、易产生损害等不足,同样具有局限性。针对上述问题,本文重点研究适合不同应用场景的、快速的非易失性内存物理取证方法以及对获取的非易失性内存镜像文件进行数据分析,主要工作和贡献如下:（1）研究了Android设备非易失性内存的访问机理以及数字取证的原理、方法与相关协议。针对使用高通处理器的Android设备,研究了EDL模式的底层实现、指令集格式以及Sahara和Firehose通信协议;针对非高通处理器的Android设备,研究了固件更新协议的原理、协议格式与指令集,为进一步研究内存镜像文件物理获取方法奠定了基础。（2）分别提出了基于高通EDL模式的内存镜像文件物理获取方法和基于固件更新协议的内存镜像文件物理获取方法。针对使用高通处理器的Android设备,基于EDL模式和Firehose通信协议,使用相应指令获取Android设备的非易失性内存镜像文件;针对非高通处理器的Android设备,基于固件更新协议使用相应指令获取Android设备的非易失性内存镜像文件。（3）提出了一种面向Android设备内存镜像文件的分析方法。针对Android设备的内存镜像文件难以解析等问题,本文方法对Android设备的非易失性内存镜像文件分别进行分区解析、文件系统还原和已删除数据恢复。本文方法基本思想为基于分区表和文件系统结构实现对内存镜像文件的文件系统还原,并根据文件系统日志域,实现了部分已删除数据的恢复。（4）设计实现了一个Android设备取证分析系统。该系统实现了对Android设备的数据获取与数据分析功能。其中,数据的物理获取采用基于固件更新协议和基于高通EDL模式的内存镜像文件物理获取方法;数据分析则面向Android设备非易失性内存镜像文件,实现了分区解析、文件系统还原和已删除数据恢复。测试验证结果表明,该系统提高了数据获取的成功率和数据分析的准确率。