Θέλετε να μάθετε ποιοι τύποι εγκληματολογικών τεχνουργημάτων WhatsApp υπάρχουν σε διαφορετικά λειτουργικά συστήματα και πού ακριβώς μπορούν να βρεθούν; Τότε αυτό είναι το μέρος για εσάς. Αυτό το άρθρο γράφτηκε από έναν ειδικό από το Group-IB Computer Forensics Laboratory Ιγκόρ Μιχαήλοφ ανοίγει μια σειρά δημοσιεύσεων σχετικά με την ιατροδικαστική έρευνα στο WhatsApp και ποιες πληροφορίες μπορούν να ληφθούν με την ανάλυση της συσκευής.
Είναι σημαντικό να σημειωθεί ότι διαφορετικά λειτουργικά συστήματα αποθηκεύουν διαφορετικούς τύπους τεχνουργημάτων WhatsApp και, εάν ένας ερευνητής μπορεί να εξαγάγει ορισμένους τύπους δεδομένων WhatsApp από μια συσκευή, αυτό δεν σημαίνει απαραίτητα ότι οι ίδιοι τύποι δεδομένων μπορούν να εξαχθούν από μια άλλη συσκευή. Για παράδειγμα, εάν η μονάδα συστήματος που εκτελεί το λειτουργικό σύστημα καταργείται. Windows, τότε οι συνομιλίες του WhatsApp πιθανότατα δεν θα βρίσκονται στους δίσκους του (με εξαίρεση τα αντίγραφα ασφαλείας των συσκευών iOS, τα οποία ενδέχεται να βρίσκονται στους ίδιους δίσκους). Η κατάσχεση φορητών υπολογιστών και κινητών συσκευών θα παρουσιάσει τις δικές της προκλήσεις. Ας το συζητήσουμε αυτό με περισσότερες λεπτομέρειες.
Τεχνουργήματα WhatsApp στο Android-συσκευή
Για να εξαγάγετε αντικείμενα WhatsApp από μια συσκευή με λειτουργικό σύστημα Android, ο ερευνητής πρέπει να έχει δικαιώματα υπερχρήστη ('ρίζα') στη συσκευή που βρίσκεται υπό έρευνα ή έχουν τη δυνατότητα να εξαγάγουν με άλλον τρόπο μια φυσική ένδειξη της μνήμης της συσκευής ή του συστήματος αρχείων της (για παράδειγμα, εκμεταλλευόμενοι ευπάθειες λογισμικού μιας συγκεκριμένης κινητής συσκευής).
Τα αρχεία εφαρμογών βρίσκονται στη μνήμη του τηλεφώνου στην ενότητα όπου αποθηκεύονται τα δεδομένα χρήστη. Συνήθως αυτή η ενότητα ονομάζεται 'δεδομένα χρήστη'. Οι υποκατάλογοι και τα αρχεία προγράμματος βρίσκονται κατά μήκος της διαδρομής: '/data/data/com.whatsapp/'.
Τα κύρια αρχεία που περιέχουν εγκληματολογικά αντικείμενα WhatsApp στο λειτουργικό σύστημα Android είναι βάσεις δεδομένων 'wa.db' и 'msgstore.db'.
Στη βάση δεδομένων 'wa.db' περιέχει μια πλήρη λίστα με τις επαφές ενός χρήστη του WhatsApp, συμπεριλαμβανομένου του αριθμού τηλεφώνου, του εμφανιζόμενου ονόματος, των χρονικών σφραγίδων και οποιασδήποτε άλλης πληροφορίας που παρείχε κατά την εγγραφή του στο WhatsApp. Αρχείο 'wa.db' που βρίσκεται κατά μήκος του μονοπατιού: '/data/data/com.whatsapp/databases/' και έχει την εξής δομή:
Οι πιο ενδιαφέροντες πίνακες στη βάση δεδομένων 'wa.db' για τον ερευνητή είναι:
- 'wa_contacts'
Αυτός ο πίνακας περιέχει πληροφορίες σχετικά με τις επαφές: Αναγνωριστικό επαφής WhatsApp, πληροφορίες κατάστασης, εμφανιζόμενο όνομα χρήστη, χρονικές σημάνσεις κ.λπ.Εμφάνιση τραπεζιού:
Δομή πίνακαΌνομα πεδίου Αξία _ταυτότητα εγγραφή του τακτικού αριθμού (στον πίνακα SQL) jid Αναγνωριστικό επαφής WhatsApp, γραμμένο στη μορφή <αριθμός τηλεφώνου>@s.whatsapp.net is_whatsapp_user περιέχει «1» εάν η επαφή αντιστοιχεί σε πραγματικό χρήστη του WhatsApp, «0» διαφορετικά κατάσταση περιέχει το κείμενο που εμφανίζεται στην κατάσταση επαφής status_timestamp περιέχει μια χρονική σήμανση σε μορφή Unix Epoch Time (ms). αριθμός αριθμός τηλεφώνου που σχετίζεται με την επαφή raw_contact_id αριθμός επικοινωνίας DISPLAY_NAME εμφανιζόμενο όνομα επαφής phone_type τύπο τηλεφώνου τηλέφωνο_ετικέτα ετικέτα που σχετίζεται με τον αριθμό επικοινωνίας unseen_msg_count τον αριθμό των μηνυμάτων που στάλθηκαν από μια επαφή αλλά δεν διαβάστηκαν από τον παραλήπτη photo_ts περιέχει μια χρονική σήμανση σε μορφή Unix Epoch Time thumb_ts περιέχει μια χρονική σήμανση σε μορφή Unix Epoch Time photo_id_timestamp περιέχει μια χρονική σήμανση σε μορφή Unix Epoch Time (ms). δεδομένο_όνομα η τιμή του πεδίου αντιστοιχεί στο "display_name" για κάθε επαφή wa_name Όνομα επαφής WhatsApp (εμφανίζει το όνομα που καθορίζεται στο προφίλ της επαφής) sort_name όνομα επαφής που χρησιμοποιείται στις λειτουργίες ταξινόμησης παρατσούκλι Ψευδώνυμο επαφής WhatsApp (εμφανίζει το ψευδώνυμο που καθορίζεται στο προφίλ της επαφής) εταίρα εταιρεία (εμφανίζει την εταιρεία που καθορίζεται στο προφίλ της επαφής) τίτλος διεύθυνση (Κυρία/Κύριος, εμφανίζεται η διεύθυνση που έχει οριστεί στο προφίλ επαφής) όφσετ προκατάληψη - 'sqlite_sequence'
Αυτός ο πίνακας περιέχει πληροφορίες σχετικά με τον αριθμό των επαφών. - 'android_metadata'
Αυτός ο πίνακας περιέχει πληροφορίες σχετικά με τον εντοπισμό γλώσσας WhatsApp.
Στη βάση δεδομένων 'msgstore.db' περιέχει πληροφορίες σχετικά με τα μηνύματα που έχουν μεταφερθεί, όπως αριθμός επικοινωνίας, κείμενο μηνύματος, κατάσταση μηνύματος, χρονικές σημάνσεις, λεπτομέρειες σχετικά με τα μεταφερόμενα αρχεία που περιλαμβάνονται στα μηνύματα κ.λπ. Αρχείο 'msgstore.db' που βρίσκεται κατά μήκος του μονοπατιού: '/data/data/com.whatsapp/databases/' και έχει την εξής δομή:
Οι πιο ενδιαφέροντες πίνακες στο αρχείο 'msgstore.db' για τον ερευνητή είναι:
- 'sqlite_sequence'
Αυτός ο πίνακας περιέχει γενικές πληροφορίες σχετικά με αυτήν τη βάση δεδομένων, όπως ο συνολικός αριθμός των αποθηκευμένων μηνυμάτων, ο συνολικός αριθμός συνομιλιών κ.λπ.Εμφάνιση τραπεζιού:
- 'message_fts_content'
Περιέχει το κείμενο των μεταδιδόμενων μηνυμάτων.Εμφάνιση τραπεζιού:
- "μηνύματα"
Αυτός ο πίνακας περιέχει πληροφορίες όπως αριθμός επικοινωνίας, κείμενο μηνύματος, κατάσταση μηνύματος, χρονικές σημάνσεις, λεπτομέρειες των μεταφερόμενων αρχείων που περιλαμβάνονται στα μηνύματα.Εμφάνιση τραπεζιού:
Δομή πίνακαΌνομα πεδίου Αξία _ταυτότητα εγγραφή του τακτικού αριθμού (στον πίνακα SQL) key_remote_jid WhatsApp ID συνεργάτη επικοινωνίας κλειδί_από_εμένα κατεύθυνση μηνύματος: '0' - εισερχόμενα, '1' - εξερχόμενα κλειδί_αναγνωριστικό μοναδικό αναγνωριστικό μηνύματος κατάσταση κατάσταση μηνύματος: '0' – παραδόθηκε, '4' – αναμονή υπηρέτης, '5' – παραλήφθηκε στον προορισμό, '6' – μήνυμα ελέγχου, '13' – μήνυμα που άνοιξε ο παραλήπτης (διαβάστηκε) ανάγκη_ώθησης έχει την τιμή "2" εάν αυτό είναι μήνυμα εκπομπής, διαφορετικά περιέχει "0" ημερομηνία κείμενο μηνύματος (όταν η παράμετρος "media_wa_type" είναι "0") timestamp περιέχει μια χρονική σήμανση σε μορφή Unix Epoch Time (ms), η τιμή λαμβάνεται από το ρολόι της συσκευής media_url περιέχει τη διεύθυνση URL του αρχείου που μεταφέρεται (όταν η παράμετρος 'media_wa_type' είναι '1', '2', '3') media_mime_type Τύπος MIME του μεταφερόμενου αρχείου (όταν η παράμετρος 'media_wa_type' είναι '1', '2', '3') media_wa_type τύπος μηνύματος: "0" - κείμενο, "1" - αρχείο γραφικών, "2" - αρχείο ήχου, "3" - αρχείο βίντεο, "4" - κάρτα επαφής, "5" - γεωδεδομένα μέσο_μέγεθος μέγεθος του μεταφερόμενου αρχείου (όταν η παράμετρος 'media_wa_type' είναι '1', '2', '3') όνομα_μέσου όνομα του αρχείου που μεταφέρεται (όταν η παράμετρος 'media_wa_type' είναι '1', '2', '3') media_caption Περιέχει τις λέξεις "audio", "video" για τις αντίστοιχες τιμές της παραμέτρου "media_wa_type" (όταν η παράμετρος "media_wa_type" είναι "1", "3") media_hash Base64 κωδικοποιημένος κατακερματισμός του μεταφερόμενου αρχείου, που υπολογίζεται χρησιμοποιώντας τον αλγόριθμο HAS-256 (όταν η παράμετρος 'media_wa_type' είναι '1', '2', '3') media_duration διάρκεια σε δευτερόλεπτα για το αρχείο πολυμέσων (όταν η παράμετρος 'media_wa_type' είναι '1', '2', '3') καταγωγή έχει την τιμή "2" εάν αυτό είναι μήνυμα εκπομπής, διαφορετικά περιέχει "0" γεωγραφικό πλάτος geodata: γεωγραφικό πλάτος (όταν η παράμετρος "media_wa_type" είναι "5") γεωγραφικό μήκος geodata: γεωγραφικό μήκος (όταν η παράμετρος "media_wa_type" είναι "5") thumb_image πληροφορίες υπηρεσίας remote_resource Αναγνωριστικό αποστολέα (μόνο για ομαδικές συνομιλίες) λήφθηκε_χρονοσήμανση ώρα παραλαβής, περιέχει χρονική σήμανση σε μορφή Unix Epoch Time (ms), η τιμή λαμβάνεται από το ρολόι της συσκευής (όταν η παράμετρος 'key_from_me' έχει '0', '-1' ή άλλη τιμή) send_timestamp δεν χρησιμοποιείται, συνήθως έχει τιμή '-1' receipt_server_timestamp χρόνος παραλαβής από την κεντρική υπηρέτης, περιέχει μια χρονική σήμανση σε μορφή Unix Epoch Time (ms), η τιμή λαμβάνεται από το ρολόι της συσκευής (όταν η παράμετρος 'key_from_me' έχει '1', '-1' ή άλλη τιμή receipt_device_timestamp ο χρόνος λήψης του μηνύματος από τον άλλο συνδρομητή, περιέχει μια χρονική σήμανση σε μορφή Unix Epoch Time (ms), η τιμή λαμβάνεται από το ρολόι της συσκευής (όταν η παράμετρος 'key_from_me' έχει '1', '-1' ή άλλη τιμή read_device_timestamp χρόνος ανοίγματος (ανάγνωσης) του μηνύματος, περιέχει χρονική σήμανση σε μορφή Unix Epoch Time (ms), η τιμή λαμβάνεται από το ρολόι της συσκευής play_device_timestamp χρόνος αναπαραγωγής μηνύματος, περιέχει χρονική σήμανση σε μορφή Unix Epoch Time (ms), τιμή που λαμβάνεται από το ρολόι της συσκευής ακατέργαστα_δεδομένα μικρογραφία του μεταφερθέντος αρχείου (όταν η παράμετρος "media_wa_type" είναι "1" ή "3") αριθμός_παραλήπτη αριθμός παραληπτών (για μηνύματα μετάδοσης) συμμετέχων_κατακερματισμός χρησιμοποιείται κατά τη μετάδοση μηνυμάτων με γεωδεδομένα πρωταγωνίστησε δεν χρησιμοποιείται quoted_row_id άγνωστο, συνήθως περιέχει την τιμή "0" αναφέρθηκε_jids δεν χρησιμοποιείται multicast_id δεν χρησιμοποιείται όφσετ προκατάληψη Αυτή η λίστα πεδίων δεν είναι εξαντλητική. Για διαφορετικές εκδόσεις του WhatsApp, ορισμένα πεδία ενδέχεται να υπάρχουν ή να λείπουν. Μπορεί να υπάρχουν επιπλέον πεδία 'media_enc_hash', 'edit_version', "payment_transaction_id" κλπ.
- 'messages_thumbnails'
Αυτός ο πίνακας περιέχει πληροφορίες σχετικά με τις μεταφερόμενες εικόνες και τις χρονικές σημάνσεις. Στη στήλη 'χρονοσήμανση' η ώρα προσδιορίζεται σε μορφή Unix Epoch Time (ms). - 'chat_list'
Αυτός ο πίνακας περιέχει πληροφορίες σχετικά με τις συνομιλίες.Εμφάνιση τραπεζιού:
Επίσης, κατά την έρευνα για το WhatsApp σε μια κινητή συσκευή που εκτελεί Android Θα πρέπει να δώσετε προσοχή στα ακόλουθα αρχεία:
- αρχείο 'msgstore.db.cryptXX' (όπου XX είναι ένα ή δύο ψηφία από το 0 έως το 12, για παράδειγμα, msgstore.db.crypt12). Περιέχει κρυπτογραφημένο αντίγραφο ασφαλείας των μηνυμάτων WhatsApp (αρχείο αντιγράφου ασφαλείας msgstore.db). Αρχείο (ή αρχεία) 'msgstore.db.cryptXX' που βρίσκεται κατά μήκος του μονοπατιού: '/data/media/0/WhatsApp/Databases/' (εικονική κάρτα SD), '/mnt/sdcard/WhatsApp/Βάσεις δεδομένων/ (φυσική κάρτα SD)».
- αρχείο 'κλειδί'. Περιέχει ένα κρυπτογραφικό κλειδί. Βρίσκεται κατά μήκος του μονοπατιού: '/data/data/com.whatsapp/files/'. Χρησιμοποιείται για την αποκρυπτογράφηση κρυπτογραφημένων αντιγράφων ασφαλείας WhatsApp.
- αρχείο 'com.whatsapp_preferences.xml'. Περιέχει πληροφορίες σχετικά με το προφίλ λογαριασμού WhatsApp. Το αρχείο βρίσκεται στην ακόλουθη διαδρομή: '/data/data/com.whatsapp/shared_prefs/'.
Θραύσμα περιεχομένου αρχείου
<?xml version="1.0" encoding="ISO-8859-1"?> … <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp) … <string name="version">2.17.395</string> (версия WhatsApp) … <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта) … <string name="push_name">Alex</string> (имя владельца аккаунта) … - αρχείο 'registration.RegisterPhone.xml'. Περιέχει πληροφορίες σχετικά με τον αριθμό τηλεφώνου που σχετίζεται με τον λογαριασμό WhatsApp. Το αρχείο βρίσκεται στην ακόλουθη διαδρομή: '/data/data/com.whatsapp/shared_prefs/'.
Περιεχόμενα αρχείου
<?xml version="1.0" encoding="ISO-8859-1"?> <map> <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string> <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/> <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/> <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string> <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/> <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string> <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string> </map> - αρχείο 'axolotl.db'. Περιέχει κρυπτογραφικά κλειδιά και άλλα δεδομένα που είναι απαραίτητα για την αναγνώριση του κατόχου του λογαριασμού. Βρίσκεται κατά μήκος του μονοπατιού: '/data/data/com.whatsapp/databases/'.
- αρχείο 'chatsettings.db'. Περιέχει πληροφορίες σχετικά με τη διαμόρφωση της εφαρμογής.
- αρχείο 'wa.db'. Περιέχει στοιχεία επικοινωνίας. Μια πολύ ενδιαφέρουσα (από εγκληματολογική άποψη) και ενημερωτική βάση δεδομένων. Λεπτομερείς πληροφορίες σχετικά με τις διαγραμμένες επαφές μπορείτε να βρείτε εκεί.
Θα πρέπει επίσης να δώσετε προσοχή στους ακόλουθους καταλόγους:
- Κατάλογος '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Περιέχει τα μεταφερθέντα αρχεία γραφικών.
- Κατάλογος '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. Περιέχει φωνητικά μηνύματα σε αρχεία μορφής .OPUS.
- Κατάλογος '/data/data/com.whatsapp/cache/Profile Pictures/'. Περιέχει αρχεία γραφικών – εικόνες επαφών.
- Κατάλογος '/data/data/com.whatsapp/files/Avatars/'. Περιέχει αρχεία γραφικών – μικρογραφίες εικόνων επαφών. Αυτά τα αρχεία έχουν την επέκταση '.j', αλλά είναι αρχεία γραφικών JPEG (JPG).
- Κατάλογος '/data/data/com.whatsapp/files/Avatars/'. Περιέχει αρχεία γραφικών - μια εικόνα και μια μικρογραφία της εικόνας που έχει οριστεί ως avatar από τον κάτοχο του λογαριασμού.
- Κατάλογος '/data/data/com.whatsapp/files/Logs/'. Περιέχει το αρχείο καταγραφής λειτουργίας του προγράμματος (αρχείο 'whatsapp.log') και αντίγραφα ασφαλείας των αρχείων καταγραφής λειτουργίας του προγράμματος (αρχεία με ονόματα στη μορφή whatsapp-yyyy-mm-dd.1.log.gz).
Αρχεία καταγραφής WhatsApp:
Απόσπασμα του περιοδικού2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] ειδοποίηση αναπάντητης κλήσης/πλήθος έναρξης:0 χρονική σήμανση:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] αναπάντητη ειδοποίηση κλήσης/ενημέρωση ακύρωση αληθής
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] αρχείο κωδικού πρόσβασης λείπει ή δεν είναι αναγνώσιμο
2017-01-10 09:37:09.782 LL_I D [1:main] στατιστικά Μηνύματα κειμένου: 59 σταλμένα, 82 ληφθέντα / Μηνύματα πολυμέσων: 1 σταλμένα (0 bytes), 0 ληφθέντα (9850158 bytes) / Μηνύματα εκτός σύνδεσης: 81 ελήφθησαν κατά μέσο όρο 19522 ms Λήφθηκαν 116075 byte / Κλήσεις Voip: 211729 εξερχόμενες κλήσεις, 1 εισερχόμενες κλήσεις, 0 byte αποστέλλονται, 2492 byte ελήφθησαν / Google Drive: 1530 byte σταλμένα, 0 bytes ελήφθησαν / Περιαγωγή: 0 bytes, 1524 byte ελήφθησαν / Σύνολο δεδομένων: 1826 bytes ελήφθησαν
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/έκδοση 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | χρόνος που δαπανήθηκε: 8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage διαθέσιμο:1,345,622,016 σύνολο:5,687,922,688
- Κατάλογος '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Περιέχει τα ληφθέντα αρχεία ήχου.
- Κατάλογος '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. Περιέχει απεσταλμένα αρχεία ήχου.
- Κατάλογος '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Περιέχει τα ληφθέντα αρχεία γραφικών.
- Κατάλογος '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. Περιέχει υποβληθέντα αρχεία γραφικών.
- Κατάλογος '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Περιέχει τα ληφθέντα αρχεία βίντεο.
- Κατάλογος '/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/'. Περιέχει απεσταλμένα αρχεία βίντεο.
- Κατάλογος '/data/media/0/WhatsApp/Media/WhatsApp Φωτογραφίες προφίλ/'. Περιέχει αρχεία γραφικών που σχετίζονται με τον κάτοχο του λογαριασμού WhatsApp.
- Για εξοικονόμηση χώρου στη μνήμη Android- Ορισμένα δεδομένα WhatsApp ενδέχεται να είναι αποθηκευμένα στην κάρτα SD του smartphone σας. Ο ριζικός κατάλογος της κάρτας SD περιέχει έναν κατάλογο που ονομάζεται 'WhatsApp', όπου μπορούν να βρεθούν τα ακόλουθα αντικείμενα αυτού του προγράμματος:
- Κατάλογος '.Μερίδιο' ('/mnt/sdcard/WhatsApp/.Share/'). Περιέχει αντίγραφα αρχείων που έχουν κοινοποιηθεί με άλλους χρήστες του WhatsApp.
- Κατάλογος '.σκουπίδια' ('/mnt/sdcard/WhatsApp/.trash/'). Περιέχει διαγραμμένα αρχεία.
- Κατάλογος 'Βάσεις δεδομένων' ('/mnt/sdcard/WhatsApp/Βάσεις δεδομένων/'). Περιέχει κρυπτογραφημένα αντίγραφα ασφαλείας. Μπορούν να αποκρυπτογραφηθούν εάν υπάρχει το αρχείο. 'κλειδί', εξάγεται από τη μνήμη της αναλυόμενης συσκευής.
Αρχεία που βρίσκονται στον υποκατάλογο 'Βάσεις δεδομένων':
- Κατάλογος 'Ήμισυ' ('/mnt/sdcard/WhatsApp/Media/'). Περιέχει υποκαταλόγους 'Ταπετσαρία', 'WhatsApp Audio', 'Εικόνες WhatsApp', "Φωτογραφίες προφίλ WhatsApp", 'Βίντεο WhatsApp', "Σημειώσεις WhatsApp Voice", τα οποία περιέχουν ληφθέντα και μεταδιδόμενα αρχεία πολυμέσων (αρχεία γραφικών, αρχεία βίντεο, φωνητικά μηνύματα, φωτογραφίες που σχετίζονται με το προφίλ του κατόχου του λογαριασμού WhatsApp, ταπετσαρίες).
- Κατάλογος 'Εικόνες προφίλ' ('/mnt/sdcard/WhatsApp/Προφίλ Εικόνες/'). Περιέχει αρχεία γραφικών που σχετίζονται με το προφίλ του κατόχου του λογαριασμού WhatsApp.
- Μερικές φορές μπορεί να υπάρχει ένας κατάλογος στην κάρτα SD 'αρχεία' ('/mnt/sdcard/WhatsApp/Files/'). Αυτός ο κατάλογος περιέχει αρχεία που αποθηκεύουν ρυθμίσεις προγράμματος και προτιμήσεις χρήστη.
Δυνατότητες αποθήκευσης δεδομένων σε ορισμένα μοντέλα κινητών συσκευών
Σε ορισμένα μοντέλα κινητών συσκευών με λειτουργικό σύστημα Android Είναι πιθανό τα αντικείμενα του WhatsApp να αποθηκεύονται σε διαφορετική τοποθεσία. Αυτό οφείλεται σε αλλαγές στον χώρο αποθήκευσης δεδομένων της εφαρμογής από το λογισμικό συστήματος της κινητής συσκευής. Για παράδειγμα, οι κινητές συσκευές Xiaomi διαθέτουν μια λειτουργία που ονομάζεται "SecondSpace". Όταν ενεργοποιηθεί αυτή η λειτουργία, η τοποθεσία των δεδομένων αλλάζει. Για παράδειγμα, εάν μια τυπική κινητή συσκευή που εκτελεί το λειτουργικό σύστημα Android Τα δεδομένα χρήστη αποθηκεύονται στον κατάλογο '/data/user/0/' (που είναι μια αναφορά στα συνηθισμένα '/data/data/'), στη συνέχεια στον δεύτερο χώρο εργασίας τα δεδομένα της εφαρμογής αποθηκεύονται σε έναν κατάλογο '/data/user/10/'. Δηλαδή, χρησιμοποιώντας το παράδειγμα της θέσης του αρχείου 'wa.db':
- σε ένα κανονικό smartphone με λειτουργικό σύστημα Android: /data/user/0/com.whatsapp/databases/wa.db' (που ισοδυναμεί με '/data/data/com.whatsapp/databases/wa.db');
- στον δεύτερο χώρο εργασίας του smartphone Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.
WhatsApp Artifacts σε συσκευή iOS
Σε αντίθεση με Android Στο iOS, τα δεδομένα της εφαρμογής WhatsApp μεταφέρονται σε ένα αντίγραφο ασφαλείας του iTunes. Επομένως, η εξαγωγή των δεδομένων αυτής της εφαρμογής δεν απαιτεί την εξαγωγή του συστήματος αρχείων ή τη δημιουργία ενός αρχείου dump στη φυσική μνήμη της συσκευής που εξετάζεται. Οι περισσότερες από τις σχετικές πληροφορίες περιέχονται στη βάση δεδομένων. 'ChatStorage.sqlite', που βρίσκεται κατά μήκος του μονοπατιού: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (σε ορισμένα προγράμματα αυτή η διαδρομή εμφανίζεται ως 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').
Δομή 'ChatStorage.sqlite':
Οι πιο ενημερωτικοί πίνακες στη βάση δεδομένων «ChatStorage.sqlite» είναι 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.
Εμφάνιση τραπεζιού 'ZWAMESSAGE':
Δομή του πίνακα 'ZWAMESSAGE'
| Όνομα πεδίου | Αξία |
|---|---|
| Z_PK | εγγραφή του τακτικού αριθμού (στον πίνακα SQL) |
| Z_ENT | αναγνωριστικό πίνακα, έχει τιμή '9' |
| Z_OPT | άγνωστο, συνήθως περιέχει τιμές από '1' έως '6' |
| ZCHILDMESSAGESDELIVEREDCOUNT | άγνωστο, συνήθως περιέχει την τιμή "0" |
| ZCHILDMESSAGESPLAYEDCOUNT | άγνωστο, συνήθως περιέχει την τιμή "0" |
| ZCHILDMESSAGESREADCOUNT | άγνωστο, συνήθως περιέχει την τιμή "0" |
| ZDATAITEMVERSION | άγνωστο, συνήθως περιέχει την τιμή «3», πιθανώς μια ένδειξη μηνύματος κειμένου |
| ZDOCID | άγνωστο |
| ZENCRETRYCOUNT | άγνωστο, συνήθως περιέχει την τιμή "0" |
| ZFILTEREDRECIPIENTCOUNT | άγνωστο, συνήθως περιέχει τιμές '0', '2', '256' |
| ΖΙΣΦΡΟΜΜΕ | κατεύθυνση μηνύματος: '0' - εισερχόμενα, '1' - εξερχόμενα |
| ZMESSAGEERRORSTATUS | κατάσταση μεταφοράς μηνύματος. Εάν το μήνυμα αποσταλεί/ληφθεί, έχει τιμή '0' |
| ZMESSAGETYPE | είδος μηνύματος που μεταδίδεται |
| ZSORT | άγνωστο |
| ZSPOTLIHSTATUS | άγνωστο |
| Ζ ΑΣΤΕΡΙ | άγνωστο, μη χρησιμοποιημένο |
| ZCHATSESSION | άγνωστο |
| ZGROUPMEBER | άγνωστο, μη χρησιμοποιημένο |
| ZLASTSESSION | άγνωστο |
| ZMEDIAITEM | άγνωστο |
| ZMESSAGEINFO | άγνωστο |
| ZPARENTΜΗΝΥΜΑ | άγνωστο, μη χρησιμοποιημένο |
| ZMESSAGEDATE | χρονική σήμανση σε μορφή OS X Epoch Time |
| ZSENTDATE | ώρα αποστολής μηνύματος σε μορφή OS X Epoch Time |
| ZFROMJID | Αναγνωριστικό αποστολέα WhatsApp |
| ZMEDIASECTIONID | περιέχει το έτος και το μήνα αποστολής του αρχείου πολυμέσων |
| ZPHASH | άγνωστο, μη χρησιμοποιημένο |
| ZPUSHPAME | όνομα της επαφής που έστειλε το αρχείο πολυμέσων σε μορφή UTF-8 |
| ΣΤΑΝΖΙΔ | μοναδικό αναγνωριστικό μηνύματος |
| ZTEXT | Κείμενο μηνύματος |
| ZTOJID | Αναγνωριστικό WhatsApp παραλήπτη |
| OFFSET | προκατάληψη |
Εμφάνιση τραπεζιού 'ZWAMEDIAITEM':
Δομή πίνακα 'ZWAMEDIAITEM'
| Όνομα πεδίου | Αξία |
|---|---|
| Z_PK | εγγραφή του τακτικού αριθμού (στον πίνακα SQL) |
| Z_ENT | αναγνωριστικό πίνακα, έχει τιμή '8' |
| Z_OPT | άγνωστο, συνήθως περιέχει τιμές από «1» έως «3». |
| ZCLOUDSTATUS | περιέχει την τιμή '4' εάν γίνει λήψη του αρχείου. |
| ZFILESIZE | περιέχει το μήκος του αρχείου (σε byte) για τα μεταφορτωμένα αρχεία |
| ZMEDIAORIGIN | άγνωστο, συνήθως έχει τιμή '0' |
| ΔΙΑΡΚΕΙΑ ΤΑΙΝΙΑΣ | διάρκεια του αρχείου πολυμέσων, για αρχεία pdf μπορεί να περιέχει τον αριθμό των σελίδων του εγγράφου |
| ZΜΗΝΥΜΑ | περιέχει έναν σειριακό αριθμό (ο αριθμός διαφέρει από αυτόν που καθορίζεται στη στήλη "Z_PK") |
| ZASPECTRATIO | λόγος διαστάσεων, δεν χρησιμοποιείται, συνήθως ορίζεται σε '0' |
| ΑΚΡΙΒΕΙΑ | άγνωστο, συνήθως έχει τιμή '0' |
| ZLATTITUDE | πλάτος σε pixel |
| ΜΗΚΟΣ ΜΗΧΟΣ | ύψος σε pixel |
| ZMEDIAURLDATE | χρονική σήμανση σε μορφή OS X Epoch Time |
| ZAUTHORNAME | συγγραφέας (για έγγραφα, μπορεί να περιέχει το όνομα αρχείου) |
| ZCOLLECTIONNAME | δεν χρησιμοποιείται |
| ZMEDIALOCALPATH | όνομα αρχείου (με διαδρομή) στο σύστημα αρχείων της συσκευής |
| ZMEDIAURL | Η διεύθυνση URL όπου βρισκόταν το αρχείο πολυμέσων. Εάν το αρχείο μεταφέρθηκε από έναν συνδρομητή σε άλλο, κρυπτογραφήθηκε και η επέκτασή του θα αναφέρεται ως η επέκταση του μεταφερόμενου αρχείου - .enc |
| ZTHUMBNAILLOCALPATH | διαδρομή προς τη μικρογραφία του αρχείου στο σύστημα αρχείων της συσκευής |
| ZTITLE | κεφαλίδα αρχείου |
| ZVCARDNAME | κατακερματισμός αρχείου πολυμέσων, κατά τη μεταφορά ενός αρχείου σε μια ομάδα, μπορεί να περιέχει το αναγνωριστικό του αποστολέα |
| ZVCARDSTRING | περιέχει πληροφορίες σχετικά με τον τύπο του αρχείου που μεταφέρεται (για παράδειγμα, εικόνα/jpeg), κατά τη μεταφορά ενός αρχείου σε μια ομάδα, μπορεί να περιέχει το αναγνωριστικό του παραλήπτη |
| ZXMPPTHUMBPATH | διαδρομή προς τη μικρογραφία του αρχείου στο σύστημα αρχείων της συσκευής |
| ZMEDIAKEY | άγνωστο, πιθανότατα περιέχει το κλειδί για την αποκρυπτογράφηση του κρυπτογραφημένου αρχείου. |
| ZMETADATA | μεταδεδομένα του μηνύματος που μεταδίδεται |
| Όφσετ | προκατάληψη |
Άλλοι ενδιαφέροντες πίνακες βάσεων δεδομένων 'ChatStorage.sqlite' είναι οι εξής:
- 'ZWAPROFILEPUSHNAME'. Αντιστοιχίζει το αναγνωριστικό WhatsApp με το όνομα επαφής.
- 'ZWAPROFILEPICTUREITEM'. Ταιριάζει το WhatsApp ID με το avatar επαφής.
- 'Z_PRIMARYKEY'. Ο πίνακας περιέχει γενικές πληροφορίες σχετικά με αυτήν τη βάση δεδομένων, όπως ο συνολικός αριθμός των αποθηκευμένων μηνυμάτων, ο συνολικός αριθμός συνομιλιών κ.λπ.
Επίσης, όταν εξετάζετε το WhatsApp σε μια κινητή συσκευή με iOS, θα πρέπει να δώσετε προσοχή στα ακόλουθα αρχεία:
- αρχείο 'BackedUpKeyValue.sqlite'. Περιέχει κρυπτογραφικά κλειδιά και άλλα δεδομένα που είναι απαραίτητα για την αναγνώριση του κατόχου του λογαριασμού. Βρίσκεται κατά μήκος του μονοπατιού: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- αρχείο 'ContactsV2.sqlite'. Περιέχει πληροφορίες σχετικά με τις επαφές του χρήστη, όπως πλήρες όνομα, αριθμό τηλεφώνου, κατάσταση επαφής (σε μορφή κειμένου), αναγνωριστικό WhatsApp κ.λπ. Βρίσκεται κατά μήκος της διαδρομής: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- αρχείο 'consumer_version'. Περιέχει τον αριθμό έκδοσης της εγκατεστημένης εφαρμογής WhatsApp. Βρίσκεται κατά μήκος του μονοπατιού: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- αρχείο 'current_wallpaper.jpg'. Περιέχει την τρέχουσα ταπετσαρία φόντου WhatsApp. Βρίσκεται κατά μήκος του μονοπατιού: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Παλαιότερες εκδόσεις της εφαρμογής χρησιμοποιούν το αρχείο 'ταπετσαρία', που βρίσκεται κατά μήκος του μονοπατιού: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
- αρχείο 'blockedcontacts.dat'. Περιέχει πληροφορίες για αποκλεισμένες επαφές. Βρίσκεται κατά μήκος του μονοπατιού: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
- αρχείο 'pw.dat'. Περιέχει έναν κρυπτογραφημένο κωδικό πρόσβασης. Βρίσκεται κατά μήκος του μονοπατιού: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
- αρχείο "net.whatsapp.WhatsApp.plist" (ή αρχείο "group.net.whatsapp.WhatsApp.shared.plist"). Περιέχει πληροφορίες σχετικά με το προφίλ λογαριασμού WhatsApp. Το αρχείο βρίσκεται στην ακόλουθη διαδρομή: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.
Περιεχόμενα του αρχείου "group.net.whatsapp.WhatsApp.shared.plist" 
Θα πρέπει επίσης να δώσετε προσοχή στους ακόλουθους καταλόγους:
- Κατάλογος '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Περιέχει μικρογραφίες επαφών, ομάδων (αρχεία με την επέκταση .αντίχειρας), avatar επαφών, avatar κατόχου λογαριασμού WhatsApp (αρχείο 'Photo.jpg').
- Κατάλογος '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Περιέχει αρχεία πολυμέσων και τις μικρογραφίες τους
- Κατάλογος '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Περιέχει το αρχείο καταγραφής λειτουργίας του προγράμματος (αρχείο 'calls.log') και αντίγραφα ασφαλείας των αρχείων καταγραφής λειτουργίας του προγράμματος (αρχείο 'calls.backup.log').
- Κατάλογος '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Περιέχει αυτοκόλλητα (αρχεία σε μορφή ".webp").
- Κατάλογος '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. Περιέχει αρχεία καταγραφής λειτουργίας προγράμματος.
Τεχνουργήματα WhatsApp στο Windows
Τεχνουργήματα WhatsApp στο Windows μπορεί να βρεθεί σε πολλά σημεία. Πρώτα απ 'όλα, αυτοί είναι κατάλογοι που περιέχουν τα εκτελέσιμα και τα βοηθητικά αρχεία του προγράμματος (για Windows 8/10):
- 'C:Program Files (x86)WhatsApp'
- 'C:Users%User profile% AppDataLocalWhatsApp'
- 'C:Users%User Profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp'
Στον κατάλογο 'C:Users%User profile% AppDataLocalWhatsApp' βρίσκεται το αρχείο καταγραφής 'SquirrelSetup.log', το οποίο περιέχει πληροφορίες σχετικά με τον έλεγχο για ενημερώσεις και την εγκατάσταση του προγράμματος.
Στον κατάλογο 'C:Users%User profile% AppDataRoamingWhatsApp' Υπάρχουν αρκετοί υποκατάλογοι:
αρχείο 'main-process.log' περιέχει πληροφορίες σχετικά με τη λειτουργία του προγράμματος WhatsApp.
Υποκατάλογος "βάσεις δεδομένων" περιέχει αρχείο 'Databases.db', αλλά αυτό το αρχείο δεν περιέχει πληροφορίες σχετικά με συνομιλίες ή επαφές.
Τα πιο ενδιαφέροντα αρχεία από ιατροδικαστική άποψη είναι αυτά που βρίσκονται στον κατάλογο 'Κρύπτη'. Αυτά είναι κυρίως αρχεία με ονόματα 'φά_*******' (όπου * είναι ένας αριθμός από το 0 έως το 9), που περιέχει κρυπτογραφημένα αρχεία πολυμέσων και έγγραφα, αλλά μεταξύ αυτών υπάρχουν και μη κρυπτογραφημένα αρχεία. Ιδιαίτερο ενδιαφέρον παρουσιάζουν τα αρχεία "δεδομένα_0", "δεδομένα_1", "δεδομένα_2", "δεδομένα_3", που βρίσκεται στον ίδιο υποκατάλογο. Αρχεία "δεδομένα_0", "δεδομένα_1", "δεδομένα_3" περιέχει εξωτερικούς συνδέσμους προς μεταδιδόμενα κρυπτογραφημένα αρχεία πολυμέσων και έγγραφα.
Παράδειγμα πληροφοριών που περιέχονται στο αρχείο 'data_1'
Επίσης αρχείο "δεδομένα_3" μπορεί να περιέχει αρχεία γραφικών.
αρχείο "δεδομένα_2" περιέχει avatar επαφών (μπορεί να αποκατασταθεί με αναζήτηση τίτλων αρχείων).
Avatar που περιέχονται στο αρχείο "δεδομένα_2":
Έτσι, δεν μπορείτε να βρείτε τις ίδιες τις συνομιλίες στη μνήμη του υπολογιστή σας, αλλά μπορείτε να βρείτε:
- αρχεία πολυμέσων?
- έγγραφα που μεταφέρονται μέσω WhatsApp.
- πληροφορίες σχετικά με τις επαφές του κατόχου του λογαριασμού.
WhatsApp Artifacts σε MacOS
Στο MacOS, μπορείτε να βρείτε τύπους αντικειμένων WhatsApp παρόμοια με αυτά που βρίσκονται στο λειτουργικό σύστημα. Windows.
Τα αρχεία του προγράμματος βρίσκονται στους καταλόγους:
- 'C:ApplicationsWhatsApp.app'
- 'C:Applications._WhatsApp.app'
- 'C:Users%User profile%LibraryPreferences'
- 'C:Users%User profile%LibraryLogsWhatsApp'
- 'C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState'
- 'C:Users%User profile%LibraryApplication Scripts'
- 'C:Users%User profile%LibraryApplication SupportCloudDocs'
- 'C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt'
- 'C:Users%Προφίλ χρήστη%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
- 'C:Users%User profile% Library Documents Mobile <μεταβλητή κειμένου> Λογαριασμοί WhatsApp'
Αυτός ο κατάλογος περιέχει υποκαταλόγους των οποίων τα ονόματα αντιπροσωπεύουν αριθμούς τηλεφώνου που σχετίζονται με τον κάτοχο του λογαριασμού WhatsApp. - 'C:Users%User προφίλ%LibraryCachesWhatsApp.ShipIt'
Αυτός ο κατάλογος περιέχει πληροφορίες σχετικά με την εγκατάσταση του προγράμματος. - 'C:Users%User profile%PicturesiPhoto Library.photolibraryMasters', 'C:Users%User profile%PicturesiPhoto Library.photolibraryThumbnails'
Αυτοί οι κατάλογοι περιέχουν αρχεία υπηρεσίας προγράμματος, συμπεριλαμβανομένων φωτογραφιών και μικρογραφιών των επαφών του WhatsApp. - 'C:Users%User profile%LibraryCachesWhatsApp'
Αυτός ο κατάλογος περιέχει πολλές βάσεις δεδομένων SQLite που χρησιμοποιούνται για την προσωρινή αποθήκευση δεδομένων. - 'C:Users%User profile%LibraryApplication SupportWhatsApp'
Αυτός ο κατάλογος περιέχει αρκετούς υποκαταλόγους:
Στον κατάλογο 'C:Users%User profile%LibraryApplication SupportWhatsAppCache' βρίσκονται τα αρχεία "δεδομένα_0", "δεδομένα_1", "δεδομένα_2", "δεδομένα_3" και αρχεία με ονόματα 'φά_*******' (όπου * είναι ένας αριθμός από το 0 έως το 9). Πληροφορίες σχετικά με τις πληροφορίες που περιέχουν αυτά τα αρχεία περιγράφονται στην ενότητα "Τεχνουργήματα WhatsApp στο Windows».Στον κατάλογο 'C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB' μπορεί να περιέχει αρχεία πολυμέσων (τα αρχεία δεν έχουν επεκτάσεις).
αρχείο 'main-process.log' περιέχει πληροφορίες σχετικά με τη λειτουργία του προγράμματος WhatsApp.
πηγές
- Εγκληματολογική ανάλυση του WhatsApp Messenger στο Android smartphones, από τον Cosimo Anglano, 2014.
- Whatsapp Forensics: Εκτύπωση συστήματος και βάση δεδομένων για την εφαρμογή Android dan iOS από τον Ahmad Pratama, 2014.
Στα ακόλουθα άρθρα αυτής της σειράς:
Αποκρυπτογράφηση κρυπτογραφημένων βάσεων δεδομένων WhatsAppΈνα άρθρο που θα παρέχει πληροφορίες σχετικά με τον τρόπο δημιουργίας του κλειδιού κρυπτογράφησης WhatsApp και πρακτικά παραδείγματα που δείχνουν πώς να αποκρυπτογραφήσετε τις κρυπτογραφημένες βάσεις δεδομένων αυτής της εφαρμογής.
Εξαγωγή δεδομένων WhatsApp από την αποθήκευση cloudΈνα άρθρο στο οποίο θα σας πούμε ποια δεδομένα αποθηκεύει το WhatsApp στα σύννεφα και θα περιγράψουμε μεθόδους εξαγωγής αυτών των δεδομένων από την αποθήκευση cloud.
Εξαγωγή δεδομένων WhatsApp: Πρακτικά παραδείγματαΈνα άρθρο που θα περιγράφει βήμα προς βήμα ποια προγράμματα και πώς να εξαγάγετε δεδομένα WhatsApp από διάφορες συσκευές.
Πηγή: www.habr.com
