如何获取Android应用Activity生命周期调用记录用于数字取证？

我正在安卓手机上开展数字取证实验，想要获取Discord、Facebook Messenger、WhatsApp这类常用聊天应用的生命周期日志，精准定位每个应用的onCreate()、onStart()、onStop()等生命周期方法的调用时间。我曾尝试查看data/system/usagestats文件夹，仅在该目录下找到了onPause()和onResume()的调用记录，未获取到onStart()、onCreate()、onStop()、onDestroy()等其余生命周期方法的相关记录。我也检查了logcat日志，发现其中并未记录生命周期方法的相关信息，请问在哪里可以查询到完整的生命周期方法调用时间明细？

首先明确两个前提：

• /data/system/usagestats的设计目的是统计应用使用时长，仅会记录影响前台/后台状态切换的onResume、onPause回调，本身就不会存储其他生命周期方法的记录
• 默认logcat不会输出系统级全量生命周期日志，需要手动开启对应开关后才能抓取到完整记录

你可以根据设备权限情况选择以下方案： #

方案1：开启系统内置生命周期日志（无需修改目标APP，推荐取证场景使用） #

只要设备获得root权限，执行以下命令开启Activity生命周期全局打印开关：
setprop debug.app.activities 1
重启设备后，系统会自动将所有应用所有Activity的onCreate、onStart、onRestart、onResume、onPause、onStop、onDestroy回调的触发时间（毫秒级精度）、所属包名、Activity类名输出到logcat的ActivityManager标签下，使用以下命令即可过滤出专属日志：
logcat -s ActivityManager:* | grep "Lifecycle"
如果需要长期留存日志，可以直接将输出重定向到本地文件，避免logcat滚动覆盖。 #

方案2：LSPosed/Xposed框架Hook生命周期（抗日志屏蔽） #

如果设备已经刷入LSPosed框架，你可以直接使用通用的生命周期监控模块，或者自行编写简单的Hook代码，直接Hookandroid.app.Activity类的所有生命周期回调方法，触发时自动将时间戳、包名、方法名写入独立的本地日志文件，不会受目标APP的反调试、日志屏蔽策略影响，也不会和其他系统日志混淆，方便后续提取分析。 #

方案3：提取历史生命周期记录（无需提前开启日志，仅支持安卓8及以下版本） #

安卓8及更低版本的系统会在/data/system/activity_service.db SQLite数据库中存储全量Activity的启动、销毁时间记录，root后直接pull该数据库，查询activity表即可拿到onCreate、onDestroy对应的近似时间戳，可用于回溯未提前开启监控的历史行为。

内容的提问来源于stack exchange，提问作者Joe