Android OAT/ART
| Format | Android OAT/ART |
|---|---|
| Kurzname | OAT/ART |
| Kategorie | execution |
| Plattformen | Android |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Ahead-of-Time-kompilierte Code-Artefakte der Android Runtime (ART), eingeführt mit Android 5.0 (Lollipop). Drei Dateitypen bilden pro App eine Dreiergruppe: .odex/.oat (ELF-Binary mit AOT-kompiliertem nativem Code aus dex2oat), .vdex (verifizierter DEX-Bytecode, enthält seit Android 8.0 eine Kopie des ursprünglichen DEX) und .art (optionales ART-Heap-Image für einen schnellen Start). Das Vorhandensein einer .odex/.oat-Datei zeigt, dass die App für das Gerät kompiliert wurde. Allein beweist es keine Ausführung (vorinstallierte Apps werden beim Erstellen des System-Images kompiliert). Vor Android 8.0 enthielt die OAT-Datei selbst eine eingebettete DEX-Kopie, nützlich zur Wiederherstellung von App-Code, wenn die ursprüngliche APK fehlt. Gespeichert unter /data/app/<package>/oat/<arch>/ für Nutzer-Apps, in einem Verzeichnis oat/ neben vorinstallierten System-Apps und in /data/dalvik-cache/. Die Dateizeitstempel dieser Artefakte zeigen an, wann die App zuletzt installiert oder (neu) kompiliert wurde.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset unbekannt | 6F 61 74 0A | oat. | OAT-Header-Magic in der ELF-Section 'oatdata' (.oat/.odex-Dateien sind ELF-Binaries) |
| Offset 0 (0x0) | 76 64 65 78 | vdex | Datei-Magic von VDEX |
| Offset 0 (0x0) | 61 72 74 0A | art. | Datei-Magic von ART-Images |
Bekannte Dateiendungen
.oat, .odex, .vdex, .art
Referenzen
- ART configuration and file types (Android AOSP) https://source.android.com/docs/core/runtime/configure
- Android OAT/VDEX/DEX/ART formats (LIEF documentation) https://lief.re/doc/latest/tutorials/10_android_formats.html
- Android compilation process and binaries (APK, DEX, OAT, ODEX, VDEX, ART) https://github.com/connglli/blog-notes/issues/35
Diesen Eintrag zitieren
Crush-Format-Referenz, „Android OAT/ART“. https://kalink0.github.io/crush-forensics/formats/de/oat-art/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden