Más mian leat a fháil amach cad iad na cineálacha déantáin fhóiréinseacha WhatsApp atá ann ar chórais oibriúcháin éagsúla agus cén áit go díreach ar féidir iad a fháil, tá tú anseo. Leis an Airteagal seo, speisialtóir ar an tSaotharlann Fóiréinsice Ríomhaireachta Group-IB Igor Mikhailov osclaíonn sé sraith post faoin imscrúdú fóiréinseach ar WhatsApp agus cén fhaisnéis is féidir a fháil ón anailís ar an ngléas.
Tabhair faoi deara go stórálann córais oibriúcháin éagsúla cineálacha éagsúla de dhéantúsáin WhatsApp, agus más féidir le taighdeoir cineálacha áirithe sonraí WhatsApp a bhaint as gléas amháin, ní chiallaíonn sé seo ar chor ar bith gur féidir sonraí den chineál céanna a bhaint as gléas eile. Mar shampla, má bhaintear aonad córais a ritheann Windows, is dócha nach bhfaighfear comhráite WhatsApp ar a thiomáineann (is é an eisceacht ná cúltacaí gléasanna iOS atá le fáil ar na tiomántáin chéanna). Nuair a bheidh ríomhairí glúine agus gléasanna soghluaiste á urghabháil, beidh roinnt tréithe ann. A ligean ar labhairt faoi seo níos mine.
Déantáin Whatsapp i nGléas Android
Chun déantáin WhatsApp a bhaint as gléas Android, ní mór go mbeadh pribhléidí fréimhe ag an taighdeoir ('fréamh'(b) ar an bhfeiste atá á imscrúdú, nó a bheith in ann dumpáil fhisiciúil a bhaint as cuimhne na feiste, nó a córas comhaid (mar shampla, leochaileachtaí bogearraí a úsáid i ngléas soghluaiste sonrach).
Tá comhaid feidhmchláir suite i gcuimhne an ghutháin sa chuid ina ndéantar sonraí úsáideora a shábháil. De ghnáth, ainmnítear an chuid seo 'sonraí úsáideora'. Tá fochomhadlanna agus comhaid an chláir suite feadh an chosáin: '/data/data/com.whatsapp/'.
Is bunachair shonraí iad na príomhchomhaid ina bhfuil déantáin fhóiréinseacha WhatsApp in Android OS 'wa.db' и 'msgstore.db'.
Sa bhunachar sonraí 'wa.db' tá liosta iomlán de theagmhálaithe WhatsApp an úsáideora, lena n-áirítear uimhir theileafóin, ainm taispeána, stampaí ama, agus aon fhaisnéis eile a chuirtear ar fáil agus tú ag clárú le WhatsApp. Comhad 'wa.db' suite feadh an chosáin: '/data/data/com.whatsapp/databases/' agus tá an struchtúr seo a leanas aige:
Na táblaí is suimiúla sa bhunachar sonraí 'wa.db' don taighdeoir tá:
- 'wa_teagmhálacha'
Tá faisnéis teagmhála sa tábla seo: aitheantas teagmhála whatsapp, faisnéis stádais, ainm taispeána úsáideora, stampaí ama, etc.Cuma tábla:
Struchtúr táblaAinm páirce Luach _id uimhir thaifid (i tábla SQL) jid Aitheantas teagmhála WhatsApp, scríofa san fhormáid <uimhir theileafóin>@s.whatsapp.net is_whatsapp_úsáideoir ina bhfuil '1' más úsáideoir WhatsApp iarbhír an teagmhálaí, '0' ar shlí eile stádas Tá an téacs ar taispeáint sa stádas teagmhála stádas_stampa ama ina bhfuil stampa ama i bhformáid Unix Epoch Time (ms). uimhir uimhir theileafóin a bhaineann leis an teagmhálaí amh_teagmhála_id uimhir theagmhála ainm taispeána ainm taispeána teagmhála guthán_cineál cineál fón guthán_lipéad an lipéad a bhaineann leis an uimhir theagmhála unseen_msg_count líon na dteachtaireachtaí a sheol an teagmhálaí ach nár léigh an faighteoir grianghraf_ts ina bhfuil stampa ama i bhformáid Unix Epoch Time ordóg_ts ina bhfuil stampa ama i bhformáid Unix Epoch Time grianghraf_id_stampa ama ina bhfuil stampa ama i bhformáid Unix Epoch Time (ms). ainm_tugtha meaitseálann luach réimse 'display_name' do gach teagmhálaí wa_ainm Ainm teagmhála Whatsapp (taispeánann an t-ainm i bpróifíl an teagmhálaí) sórt_ainm ainm teagmhála a úsáidtear in oibríochtaí sórtála leasainm leasainm WhatsApp an teagmhálaí (taispeánann sé an leasainm atá sonraithe i bpróifíl an teagmhálaí) cuideachta cuideachta (taispeánann an chuideachta atá liostaithe i bpróifíl an teagmhálaí) teideal teideal (Madam/Mr.; taispeántar an teideal atá cumraithe i bpróifíl an teagmhálaí) fhritháireamh claontacht - 'sqlite_seicheamh'
Tá faisnéis sa tábla seo faoi líon na dteagmhálaithe; - 'android_meiteashonraí'
Tá faisnéis sa tábla seo faoi logánú teanga WhatsApp.
Sa bhunachar sonraí 'msgstore.db' ina bhfuil faisnéis faoi theachtaireachtaí aistrithe, mar shampla uimhir theagmhála, téacs teachtaireachta, stádas teachtaireachta, stampaí ama, faisnéis faoi chomhaid aistrithe atá san áireamh i dteachtaireachtaí, etc. Comhad 'msgstore.db' suite feadh an chosáin: '/data/data/com.whatsapp/databases/' agus tá an struchtúr seo a leanas aige:
Na táblaí is suimiúla sa chomhad 'msgstore.db' don taighdeoir tá:
- 'sqlite_seicheamh'
Tá faisnéis ghinearálta sa tábla seo faoin mbunachar sonraí seo, amhail líon iomlán na dteachtaireachtaí atá stóráilte, líon iomlán na gcomhráite, agus mar sin de.Cuma tábla:
- 'teachtaireacht_fts_ábhar'
Tá téacs na dteachtaireachtaí seolta ann.Cuma tábla:
- 'teachtaireachtaí'
Tá faisnéis sa tábla seo mar uimhir theagmhála, téacs teachtaireachta, stádas teachtaireachta, stampaí ama, faisnéis faoi chomhaid aistrithe a chuimsítear i dteachtaireachtaí.Cuma tábla:
Struchtúr táblaAinm páirce Luach _id uimhir thaifid (i tábla SQL) eochair_iargúlta_jid ID Whatsapp an chomhpháirtí cumarsáide eochair_uaim treo na teachtaireachta: '0' – isteach, '1' – amach eochair_id aitheantóir teachtaireachta uathúil stádas stádas teachtaireachta: '0' - seachadta, '4' - ag fanacht ar an bhfreastalaí, '5' - faighte ag an gceann scríbe, '6' - teachtaireacht rialaithe, '13' - teachtaireacht arna oscailt ag faighteoir (léigh) gá_bhrú is ‘2’ más teachtaireacht chraolta é, ‘0’ ar shlí eile dáta téacs na teachtaireachta (nuair is '0' é 'media_wa_type') stampa ama ina bhfuil stampa ama i bhformáid Unix Epoch Time (ms), tógtar an luach ó chlog an ghléis meáin_url ina bhfuil URL an chomhaid atá á aistriú (nuair is é '1', '2', '3' an paraiméadar 'media_wa_type') meáin_mime_cineál Cineál MIME an chomhaid aistrithe (nuair atá an paraiméadar 'media_wa_type' cothrom le '1', '2', '3') meáin_wa_cineál cineál teachtaireachta: '0' - téacs, '1' - comhad grafach, '2' - comhad fuaime, '3' - comhad físe, '4' - cárta teagmhála, '5' - geodata meán_mhéid méid comhaid a aistriú (nuair is '1', '2', '3' é 'media_wa_type') meán_ainm ainm an chomhaid le haistriú (nuair is '1', '2', '3' é 'media_wa_type') caption_meáin Tá na focail ‘fuaime’, ‘físeán’ ann do na luachanna comhfhreagracha den pharaiméadar ‘media_wa_type’ (nuair atá an paraiméadar ‘media_wa_type’ cothrom le ‘1’, ‘3’) meáin_hash hash ionchódaithe base64 an chomhaid tarchurtha arna ríomh ag baint úsáide as an algartam HAS-256 (nuair atá an paraiméadar 'media_wa_type' cothrom le '1', '2', '3') meán_ré fad soicindí don chomhad meán (nuair is '1', '2', '3' é 'media_wa_type') tionscnaimh is ‘2’ más teachtaireacht chraolta é, ‘0’ ar shlí eile domhanleithead geodata: domhanleithead (nuair is '5' é 'media_wa_type') domhanfhad geodata: domhanfhad (nuair is '5' é 'media_wa_type') ordóg_íomhá faisnéis seirbhíse cianda_acmhainn Aitheantas an tseoltóra (comhrá grúpa amháin) faighte_stampa ama am faighte, ina bhfuil stampa ama i bhformáid Unix Epoch Time (ms), tógtar an luach ó chlog an ghléis (nuair is é an paraiméadar 'key_from_me' ná '0', '-1' nó luach eile) seol_stampa ama gan úsáid, socraithe go '-1' de ghnáth admháil_freastalaí_stampa ama am faighte ag an bhfreastalaí lárnach, tá stampa ama san fhormáid Unix Epoch Time (ms), tógtar an luach ó chlog an ghléis (nuair is é an paraiméadar 'key_from_me' ná '1', '-1' nó luach eile admháil_gléas_stampa ama an t-am a fhaigheann síntiúsóir eile an teachtaireacht, tá stampa ama san fhormáid Unix Epoch Time (ms), tógtar an luach ó chlog an ghléis (nuair a bhíonn '1', '-1' nó luach eile ag an bparaiméadar 'key_from_me' léite_gléas_stampa ama am oscailt na teachtaireachta (léamh), tá stampa ama san fhormáid Unix Epoch Time (ms), baintear an luach ó chlog an ghléis seinnte_gléas_stampa ama am athsheinm teachtaireachta, tá stampa ama san fhormáid Unix Epoch Time (ms), baintear an luach ó chlog an ghléis amhshonraí mionsamhail an chomhaid aistrithe (nuair atá an paraiméadar 'media_wa_type' cothrom le '1' nó '3') faighteoir_áireamh líon na bhfaighteoirí (do theachtaireachtaí craolta) rannpháirtí_hash a úsáidtear agus teachtaireachtaí á seoladh le geodata réalta nach n-úsáidtear luaite_row_id anaithnid, de ghnáth bíonn an luach '0' ann luaite_jids nach n-úsáidtear ilchraoladh_id nach n-úsáidtear fhritháireamh claontacht Níl an liosta réimsí seo uileghabhálach. I gcás leaganacha éagsúla de WhatsApp, d'fhéadfadh go mbeadh nó nach bhfuil roinnt de na réimsí i láthair. Féadfaidh réimsí breise a bheith i láthair 'media_enc_hash', 'eagar_leagan', 'íocaíocht_idirbheart_aitheantais' etc
- 'teachtaireachtaí_mionsamhlacha'
Tá faisnéis sa tábla seo faoi íomhánna aistrithe agus stampaí ama. Léiríonn an colún 'stampa ama' an t-am i bhformáid Unix Epoch Time (ms). - 'comhrá_liosta'
Tá faisnéis faoi chomhráite sa tábla seo.Cuma tábla:
Chomh maith leis sin, agus WhatsApp á scrúdú agat ar ghléas soghluaiste Android, ba cheart duit aird a thabhairt ar na comhaid seo a leanas:
- comhad 'msgstore.db.cryptXX' (i gcás ina bhfuil XX dhigit amháin nó dhá ó 0 go 12, mar shampla, msgstore.db.crypt12). Tá cúltaca criptithe de theachtaireachtaí WhatsApp (comhad cúltaca msg siopa.db). Comhad (nó comhaid) 'msgstore.db.cryptXX' suite feadh an chosáin: '/data/media/0/WhatsApp/Bunachair Sonraí/' (cárta SD fíorúil), '/ mnt/sdcard/WhatsApp/Bunachair Shonraí/ (cárta SD fisiciúil)'.
- comhad 'eochair'. Tá eochair chripteagrafach ann. Lonnaithe ar an mbealach: '/data/data/com.whatsapp/files/'. Úsáidtear é chun cúltacaí criptithe WhatsApp a dhíchriptiú.
- comhad 'com.whatsapp_preferences.xml'. Tá faisnéis ann faoi phróifíl chuntais WhatsApp. Tá an comhad suite feadh an chosáin: '/data/data/com.whatsapp/shared_prefs/'.
Fragment Ábhar Comhad
<?xml version="1.0" encoding="ISO-8859-1"?> … <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp) … <string name="version">2.17.395</string> (версия WhatsApp) … <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта) … <string name="push_name">Alex</string> (имя владельца аккаунта) … - comhad 'clárú.RegisterPhone.xml'. Tá faisnéis ann faoin uimhir theileafóin a bhaineann leis an gcuntas WhatsApp. Tá an comhad suite feadh an chosáin: '/data/data/com.whatsapp/shared_prefs/'.
Ábhar an chomhaid
<?xml version="1.0" encoding="ISO-8859-1"?> <map> <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string> <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/> <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/> <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string> <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/> <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string> <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string> </map> - comhad 'axolotl.db'. Tá eochracha cripteagrafacha agus sonraí eile ann atá riachtanach chun úinéir an chuntais a shainaithint. Lonnaithe ar an mbealach: '/data/data/com.whatsapp/databases/'.
- comhad 'chatsettings.db'. Tá faisnéis chumraíochta feidhmchláir ann.
- comhad 'wa.db'. Tá sonraí teagmhála ann. An-suimiúil (sa ghné fhóiréinseach) agus bunachar sonraí faisnéiseach. Is féidir faisnéis mhionsonraithe faoi theagmhálaithe scriosta a fháil ann.
Ní mór duit aird a thabhairt freisin ar na heolairí seo a leanas:
- Eolaire '/data/media/0/WhatsApp/Meáin/Íomhánna WhatsApp/'. Tá comhaid grafacha uaslódáilte ann.
- Eolaire '/data/media/0/WhatsApp/Meáin/WhatsApp Voice Notes/'. Tá teachtaireachtaí gutha i gcomhaid fhormáide .OPUS.
- Eolaire '/data/data/com.whatsapp/cache/Próifíl Pictiúir/'. Tá comhaid grafacha - íomhánna de theagmhálaithe.
- Eolaire '/data/data/com.whatsapp/files/Avatars/'. Tá comhaid grafacha - íomhánna mionsamhail de theagmhálaithe. Tá iarmhír '.j' ag na comhaid seo, ach is comhaid íomhá JPEG (JPG) iad fós.
- Eolaire '/data/data/com.whatsapp/files/Avatars/'. Comhaid ghrafacha atá ann - íomhá agus mionsamhail d’íomhá a shocraíonn úinéir an chuntais mar avatar.
- Eolaire '/data/data/com.whatsapp/files/Logs/'. Tá logáil oibríochta an chláir (an comhad 'whatsapp.log') agus cóipeanna cúltaca de logaí oibríochta an iarratais (comhaid le hainmneacha san fhormáid whatsapp-yyyy-mm-dd.1.log.gz).
Comhaid logála Whatsapp:
Blúire irise2017-01-10 09:37:09.757 LL_I D [524:Oibrí WhatsApp #1] fógra/comhaireamh tionscnaimh caillte: 0 stampa ama:0
2017-01-10 09:37:09.758 LL_I D [524:Oibrí WhatsApp #1] callcall fógra/nuashonrú cealaithe fíor
2017-01-10 09:37:09.768 LL_I D [1:príomh] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:príomh] comhad pasfhocail in easnamh nó neamhléite
2017-01-10 09:37:09.782 LL_I D [1:príomh] staitisticí Teachtaireachtaí Téacs: 59 seolta, 82 faighte / Teachtaireachtaí Meán: 1 seolta (0 beart), 0 faighte (9850158 beart) / Teachtaireachtaí As Líne: 81 faighte ( Meánmhoill 19522 msec) / Seirbhís Teachtaireachtaí: 116075 beart seolta, 211729 beart faighte / Glaonna Voip: 1 ghlao amach, 0 glaoch isteach, 2492 beart seolta, 1530 beart faighte / Google Drive: 0 beart seolta, 0 beart faighte / Fánaíocht: 1524 bearta seolta, 1826 beart faighte / Sonraí Iomlán: 118567 beart seolta, 10063417 beart faighte
2017-01-10 09:37:09.785 LL_I D [1:príomh] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:príomh] aip-tionscnaimh/tosaigh/uaineadóir/stad: 24
2017-01-10 09:37:09.811 LL_I D [1:príomh] msgstore/seicshláinte
2017-01-10 09:37:09.817 LL_I D [1:príomh] msgstore/checkhealth/journal/scrios bréagach
2017-01-10 09:37:09.818 LL_I D [1:príomh] msgstore/checkhealth/back/scrios bréagach
2017-01-10 09:37:09.818 LL_I D [1:príomh] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:príomh] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:príomh] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:príomh] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:príomh] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:príomh] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:príomh] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:príomh] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:príomh] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:príomh] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:príomh] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:príomh] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:príomh] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:príomh] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:príomh] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:príomh] msgstore/checkdb/leagan 1
2017-01-10 09:37:09.839 LL_I D [1:príomh] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:príomh] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:príomh] msgstore/canquery/timer/ stop: 8
2017-01-10 09:37:09.847 LL_I D [1:príomh] msgstore/canquery 517 | am caite:8
2017-01-10 09:37:09.848 LL_I D [529:Oibrí WhatsApp #3] bainisteoir meáin-stáit/athnuachan-meáin-stáit/stóráil inmheánach ar fáil:1,345,622,016 iomlán:5,687,922,688
- Eolaire '/data/media/0/WhatsApp/Meáin/WhatsApp Audio/'. Tá comhaid fuaime a fuarthas.
- Eolaire '/data/media/0/WhatsApp/Meáin/WhatsApp Audio/Seolta/'. Tá comhaid fuaime seolta ann.
- Eolaire '/data/media/0/WhatsApp/Meáin/Íomhánna WhatsApp/'. Tá comhaid grafacha a fuarthas.
- Eolaire '/data/media/0/WhatsApp/Meáin/Íomhánna Whatsapp/Seolta/'. Tá comhaid grafacha uaslódáilte ann.
- Eolaire '/data/media/0/WhatsApp/Meáin/Físeán WhatsApp/'. Tá comhaid físe a fuarthas.
- Eolaire '/data/media/0/WhatsApp/Meáin/Físeán WhatsApp/Seolta/'. Tá comhaid físe uaslódáilte ann.
- Eolaire '/data/media/0/WhatsApp/Meáin/Grianghraif Próifíl WhatsApp/'. Tá comhaid íomhá ann a bhaineann le húinéir an chuntais WhatsApp.
- Chun spás a shábháil ar do ghuthán cliste Android, is féidir roinnt sonraí WhatsApp a stóráil ar an gcárta SD. Ar an gcárta SD, sa fhréamh-eolaire, tá eolaire 'WhatsApp'áit ar féidir na déantáin seo a leanas den chlár seo a fháil:
- Eolaire '.Comhroinn' ('/mnt/sdcard/WhatsApp/.Share/'). Tá cóipeanna de chomhaid a roinntear le húsáideoirí WhatsApp eile ann.
- Eolaire '.bruscar' ('/mnt/sdcard/WhatsApp/.trash/'). Tá comhaid scriosta ann.
- Eolaire 'Bunachair Sonraí' ('/ mnt/sdcard/WhatsApp/Bunachair Sonraí/'). Tá cúltacaí criptithe ann. Is féidir iad a dhíchriptiú má tá comhad ann 'eochair', a bhaintear as cuimhne na feiste anailísithe.
Comhaid i bhfochomhadlann 'Bunachair Sonraí':
- Eolaire 'Leath' ('/ mnt/sdcard/WhatsApp/Meáin/'). Tá fochomhadlanna ann 'Páipéar Balla', ‘WhatsApp Audio’, 'Íomhánna WhatsApp', 'Grianghraif Próifíl WhatsApp', 'físeán whatsapp', 'Nótaí Gutha WhatsApp', ina bhfuil comhaid ilmheán a fuarthas agus a aistríodh (comhaid ghrafacha, comhaid físe, teachtaireachtaí gutha, grianghraif a bhaineann le próifíl úinéir an chuntais WhatsApp, páipéir balla).
- Eolaire 'Próifíl Pictiúir' ('/ mnt/sdcard/WhatsApp/Próifíl Pictiúir/'). Tá comhaid íomhá ann a bhaineann le próifíl úinéir an chuntais WhatsApp.
- Uaireanta d'fhéadfadh go mbeadh eolaire ar an gcárta SD 'comhaid' ('/ mnt/sdcard/WhatsApp/Comhaid/'). Tá comhaid san eolaire seo a stórálann socruithe clár agus sainroghanna úsáideora.
Gnéithe de stóráil sonraí i roinnt samhlacha gléasanna soghluaiste
Féadfaidh roinnt samhlacha gléas soghluaiste Android déantáin WhatsApp a stóráil in áit eile. Tá sé seo mar gheall ar an athrú ar an spás stórála sonraí feidhmchláir ag bogearraí córais an gléas soghluaiste. Mar sin, mar shampla, i ngléasanna soghluaiste Xiaomi tá feidhm ann chun an dara spás oibre a chruthú (“SecondSpace”). Nuair a chuirtear an fheidhm seo i ngníomh, athraítear suíomh na sonraí. Mar sin, más rud é i ngléas soghluaiste rialta a ritheann an Android OS, stóráiltear sonraí úsáideoirí san eolaire '/data/user/0/' (is tagairt í don ghnáth '/sonraí/sonraí/'), ansin sa dara spás oibre, stóráiltear sonraí feidhmchláir san eolaire '/data/user/10/'. Is é sin, mar shampla, suíomh an chomhaid 'wa.db':
- i bhfón cliste rialta a ritheann Android OS: /data/user/0/com.whatsapp/databases/wa.db' (atá comhionann le '/data/data/com.whatsapp/databases/wa.db');
- sa dara spás oibre den fhón cliste Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.
Déantáin Whatsapp ar ghléas iOS
Murab ionann agus Android OS, i iOS, aistrítear sonraí WhatsApp chuig cóip chúltaca (iTunes cúltaca). Mar sin, chun sonraí a bhaint as an bhfeidhmchlár seo ní gá an córas comhaid a bhaint as nó dumpáil chuimhne fhisiciúil a chruthú den fheiste atá á imscrúdú. Tá an chuid is mó den fhaisnéis ábhartha sa bhunachar sonraí 'ChatStorage.sqlite', atá suite feadh an chosáin: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (i roinnt clár taispeántar an cosán seo mar 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').
Struchtúr 'ChatStorage.sqlite':
Is iad na táblaí is mó faisnéiseach sa bhunachar sonraí 'ChatStorage.sqlite' 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.
Cuma tábla 'ZWAMESSAGE':
Struchtúr tábla 'ZWAMESSAGE'
| Ainm páirce | Luach |
|---|---|
| Z_PK | uimhir thaifid (i tábla SQL) |
| Z_ENT | aitheantóir tábla, luach '9' |
| Z_OPT | anaithnid, de ghnáth bíonn luachanna ó '1' go '6' ann |
| ZCHILDMESSAGESDELIVEREDCOUNT | anaithnid, de ghnáth bíonn an luach '0' ann |
| ZCHILDMESSAGESPLAYEDCOUNT | anaithnid, de ghnáth bíonn an luach '0' ann |
| ZCHILDMESSAGESREADCOUNT | anaithnid, de ghnáth bíonn an luach '0' ann |
| ZDATAITEMVERSION | anaithnid, de ghnáth '3', pointeoir teachtaireacht téacs is dócha |
| ZDOCID | anaithnid |
| ZENCRETRYCOUNT | anaithnid, de ghnáth bíonn an luach '0' ann |
| ZFILTEREDRECIPIENTCOUNT | anaithnid, de ghnáth bíonn na luachanna '0', '2', '256' ann |
| ZISFROMME | treo na teachtaireachta: '0' – isteach, '1' – amach |
| ZMESSAGEERRORSTATUS | stádas aistrithe teachtaireachta. Má sheoltar / má fhaightear an teachtaireacht, tá an luach '0' air |
| ZMESSAGETYPE | cineál teachtaireachta |
| ZSORT | anaithnid |
| ZSPOTLIGHSTATUS | anaithnid |
| ZSTARRED | anaithnid, gan úsáid |
| ZCHATSESSION | anaithnid |
| ZGROUPMEMBER | anaithnid, gan úsáid |
| ZLASSESSION | anaithnid |
| ZMEDIAITEM | anaithnid |
| ZMESSAGEINFO | anaithnid |
| ZPARENTMESSAGE | anaithnid, gan úsáid |
| ZMESSAGEDATE | stampa ama i bhformáid OS X Epoch Time |
| ZSENTDATE | an t-am ar seoladh an teachtaireacht i bhformáid OS X Epoch Time |
| ZFROMJID | ID an tseoltóra whatsapp |
| ZMEDIASECTIONID | ina bhfuil an bhliain agus an mhí ar seoladh an comhad meán |
| ZPHASH | anaithnid, gan úsáid |
| ZPUSHPAME | ainm an teagmhálaí a sheol an comhad meán i bhformáid UTF-8 |
| ZSTANZID | aitheantóir teachtaireachta uathúil |
| Ztext | Téacs teachtaireachta |
| ZTOJID | ID WhatsApp an fhaighteora |
| FRITHÁIREAMH | claontacht |
Cuma tábla 'ZWAMEDIAITEM':
Struchtúr tábla 'ZWAMEDIAITEM'
| Ainm páirce | Luach |
|---|---|
| Z_PK | uimhir thaifid (i tábla SQL) |
| Z_ENT | aitheantóir tábla, luach '8' |
| Z_OPT | anaithnid, de ghnáth bíonn luachanna ó '1' go '3' ann. |
| ZCLOUDSTATUS | tá an luach '4' má tá an comhad lódáilte. |
| ZFILESIZE | ina bhfuil an fad comhaid (i mbeart) do chomhaid uaslódáilte |
| ZMEDIAORIGIN | anaithnid, de ghnáth '0' |
| ZMOVIEDURATION | fad an chomhaid meán, do chomhaid pdf is féidir leis an líon leathanaigh den doiciméad |
| ZMESSAGE | tá seicheamh uimhir ann (difriúil an uimhir leis an gceann atá sonraithe sa cholún 'Z_PK') |
| ZASPECTRATIO | cóimheas gné, gan úsáid, socraithe go dtí '0' de ghnáth |
| ZHACCURACY | anaithnid, de ghnáth '0' |
| ZLATTITUDE | leithead i picteilíní |
| ZLONGTITUDE | airde i picteilíní |
| ZMEDIAURLDATE | stampa ama i bhformáid OS X Epoch Time |
| ZAUTHORNAME | údar (do dhoiciméid, féadfaidh ainm comhaid a bheith ann) |
| ZCOLLECTIONNAME | nach n-úsáidtear |
| ZMEDIALOCALPATH | ainm comhaid (le cosán) i gcóras comhaid an ghléis |
| ZMEDIAURL | An URL ina raibh an comhad meán suite. Má aistríodh an comhad ó shíntiúsóir amháin go síntiúsóir eile, criptíodh é, agus léireofar a fhadú mar shíneadh an chomhaid aistrithe - .enc |
| ZTHUMBNAILLOCALPATH | cosán chuig mionsamhail an chomhaid i gcóras comhaid an ghléis |
| ZTITLE | ceanntásc comhaid |
| ZVCARDNAME | hash an chomhaid meán, agus comhad á aistriú go grúpa, féadfaidh sé aitheantóir an tseoltóra a bheith ann |
| ZVCARDSTRING | ina bhfuil faisnéis faoin gcineál comhaid atá á aistriú (mar shampla, íomhá/jpeg); agus comhad á aistriú go grúpa, d'fhéadfadh aitheantóir an fhaighteora a bheith ann |
| ZXMPPTHUMPATH | cosán chuig mionsamhail an chomhaid i gcóras comhaid an ghléis |
| ZMEDIAKEY | anaithnid, is dócha go bhfuil an eochair ann chun an comhad criptithe a dhíchriptiú. |
| ZMETADATA | meiteashonraí teachtaireachta |
| Fritháireamh | claontacht |
Táblaí bunachar sonraí suimiúil eile 'ChatStorage.sqlite' Is iad sin:
- 'ZWAPROFILEPUSHNAME'. Comhfhreagraíonn ID WhatsApp le hainm an teagmhálaí;
- 'ZWAPROFILEPICTUREITEM'. Comhfhreagraíonn ID WhatsApp le avatar an teagmhálaí;
- 'Z_PRIMARYKEY'. Tá faisnéis ghinearálta sa tábla faoin mbunachar sonraí seo, amhail líon iomlán na dteachtaireachtaí stóráilte, líon iomlán na gcomhráite, agus mar sin de.
Chomh maith leis sin, agus WhatsApp á scrúdú agat ar ghléas soghluaiste a ritheann iOS, ba cheart duit aird a thabhairt ar na comhaid seo a leanas:
- comhad 'BackedUpKeyValue.sqlite'. Tá eochracha cripteagrafacha agus sonraí eile ann atá riachtanach chun úinéir an chuntais a shainaithint. Lonnaithe ar an mbealach: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- comhad 'TeagmhálaitheV2.sqlite'. Tá faisnéis ann faoi theagmhálacha an úsáideora, mar shampla ainm iomlán, uimhir theileafóin, stádas teagmhála (mar théacs), ID WhatsApp, etc. Lonnaithe ar an mbealach: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- comhad 'leagan_tomhaltóra'. Tá uimhir leagain an fheidhmchláir WhatsApp suiteáilte ann. Lonnaithe ar an mbealach: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- comhad 'current_wallpaper.jpg'. Tá páipéar balla cúlra reatha WhatsApp ann. Lonnaithe ar an mbealach: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Úsáideann seanleaganacha den fheidhmchlár an comhad 'ballapháipéir', atá suite feadh an chosáin: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
- comhad 'blockedcontacts.dat'. Tá faisnéis ann faoi theagmhálaithe blocáilte. Lonnaithe ar an mbealach: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
- comhad 'pw.dat'. Tá pasfhocal criptithe ann. Lonnaithe ar an mbealach: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
- comhad 'net.whatsapp.whatsapp.plist' (nó comhad 'group.net.whatsapp.whatsapp.shared.plist'). Tá faisnéis ann faoi phróifíl chuntais WhatsApp. Tá an comhad suite feadh an chosáin: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.
Ábhar an chomhaid 'group.net.whatsapp.WhatsApp.shared.plist'
Ní mór duit aird a thabhairt freisin ar na heolairí seo a leanas:
- Eolaire '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Tá mionsamhlacha teagmhálaithe, grúpaí (comhaid le síneadh .ordóg), déan teagmháil le avatars, avatar úinéir an chuntais WhatsApp (comhad 'Grianghraf.jpg').
- Eolaire '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Tá comhaid ilmheán agus a mionsamhlacha
- Eolaire '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Tá loga oibriúcháin an chláir (comhad 'glaonna.log') agus cóipeanna cúltaca de logaí oibríochta an chláir (comhad 'glaonna.backup.log').
- Eolaire '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Tá greamáin ann (comhaid in '.webp').
- Eolaire '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. Tá logaí clár ann.
Déantáin whatsapp ar windows
Is féidir Déantáin WhatsApp ar Windows a fháil in áiteanna éagsúla. Ar an gcéad dul síos, is iad seo na heolairí ina bhfuil comhaid inrite agus cúnta an chláir (do Windows 8/10):
- 'C:Comhaid Cláir (x86) Whatsapp'
- 'C:Úsáideoirí% Próifíl úsáideora% AppDataLocalWhatsApp'
- 'C:Users%Próifíl úsáideora% Comhaid Cláir AppDataLocalVirtualStore (x86)WhatsApp'
Sa chatalóg 'C:Úsáideoirí% Próifíl úsáideora% AppDataLocalWhatsApp' Tá an comhad loga suite 'SquirrelSetup.log', ina bhfuil faisnéis maidir le seiceáil le haghaidh nuashonruithe agus an clár a shuiteáil.
Sa chatalóg 'C:Úsáideoirí% Próifíl úsáideora% AppDataRoamingWhatsApp' tá roinnt fochomhadlann ann:
comhad 'príomhphróiseas.log' tá faisnéis ann faoi oibriú WhatsApp.
Fochomhadlann 'bunachair shonraí' ina bhfuil comhad 'bunachair shonraí.db', ach níl aon fhaisnéis sa chomhad seo maidir le comhráite nó teagmhálaithe.
Is iad na cinn is suimiúla ó thaobh fóiréinseach de ná na comhaid atá san eolaire 'Taisce'. Go bunúsach, is comhaid iad seo a bhfuil ainmneacha orthu 'f_******' (áit a bhfuil * uimhir ó 0 go 9) ina bhfuil comhaid meán criptithe agus doiciméid, ach tá comhaid neamhchriptithe ina measc freisin. Comhaid a bhfuil suim ar leith iontu 'sonraí_0', 'sonraí_1', 'sonraí_2', 'sonraí_3'lonnaithe sa bhfochomhadlann céanna. Comhaid 'sonraí_0', 'sonraí_1', 'sonraí_3' naisc sheachtracha a bheith ann chuig comhaid agus doiciméid ilmheán criptithe tarchurtha.
Sampla den fhaisnéis atá sa chomhad 'data_1'
Chomh maith leis sin comhad 'sonraí_3' féadfaidh comhaid grafacha a bheith ann.
comhad 'sonraí_2' ina bhfuil avatars teagmhála (is féidir iad a aisghabháil trí chuardach trí theidil comhaid).
Avatars atá sa chomhad 'sonraí_2':
Mar sin, ní féidir comhráite iad féin a fháil i gcuimhne an ríomhaire, ach is féidir leat a fháil:
- comhaid ilmheán;
- doiciméid a aistrítear trí WhatsApp;
- faisnéis teagmhála sealbhóir cuntais.
Déantáin Whatsapp ar MacOS
Ar MacOS, is féidir leat cineálacha déantáin WhatsApp cosúil leis na cinn a fhaightear ar Windows a fháil.
Tá comhaid an chláir suite sna heolairí seo a leanas:
- 'C: ApplicationsWhatsApp.app'
- 'C: Applications._WhatsApp.app'
- 'C:Users%Próifíl úsáideora%LibraryPreferences'
- 'C:Úsáideoirí% Próifíl úsáideora%LibraryLogsWhatsApp'
- 'C:Users%Próifíl úsáideora%Feidhmchlár Sábháilte Leabharlann StateWhatsApp.savedState'
- 'C:Úsáideoirí% Próifíl úsáideora%LibraryApplicationScripts'
- 'C:Users%Próifíl úsáideora%LibraryApplication SupportCloudDocs'
- 'C:Úsáideoirí%Próifíl úsáideora%LibraryApplication SupportWhatsApp.ShipIt'
- 'C:Úsáideoirí%Próifíl úsáideora%LibraryContainerscom.rockysandstudio.app-for-watsapp'
- 'C:Users%Próifíl úsáideora% Doiciméid Soghluaiste na Leabharlainne <athróg téacs> Cuntais WhatsApp'
Tá fochomhadlann san eolaire seo arb iad a n-ainmneacha na huimhreacha gutháin a bhaineann le húinéir an chuntais WhatsApp. - 'C:Úsáideoirí%Próifíl úsáideora%LibraryCachesWhatsApp.ShipIt'
Tá faisnéis san eolaire seo maidir leis an gclár a shuiteáil. - 'C:Users%Próifíl úsáideora%Pictiúir iPhoto Library.photolibraryMasters', 'C:Users%Próifíl úsáideora%Pictiúir iPhoto Library.photolibraryThumbnails'
Tá comhaid seirbhíse an chláir sna heolairí seo, lena n-áirítear grianghraif agus mionsamhlacha de theagmhálaithe WhatsApp. - 'C:Úsáideoirí%Próifíl úsáideora%LibraryCachesWhatsApp'
Tá roinnt bunachair shonraí SQLite san eolaire seo a úsáidtear le haghaidh taisceadh sonraí. - 'C:Users%Próifíl úsáideora%LibraryApplication SupportWhatsApp'
Tá roinnt fochomhadlann san eolaire seo:
Sa chatalóg 'C:Úsáideoirí%Próifíl úsáideora%Tacaíocht Iarratas LeabharlannaWhatsAppCache' tá comhaid ann 'sonraí_0', 'sonraí_1', 'sonraí_2', 'sonraí_3' agus comhaid ainmnithe 'f_******' (áit a bhfuil * ina uimhir idir 0 agus 9). Chun faisnéis a fháil faoin bhfaisnéis atá sna comhaid seo, féach Déantáin WhatsApp ar Windows.Sa chatalóg 'C:Úsáideoirí%Próifíl úsáideora%Tacaíocht Iarratas LeabharlannaWhatsAppIndexedDB' féadfaidh comhaid ilmheán a bheith iontu (níl síntí ar chomhaid).
comhad 'príomhphróiseas.log' tá faisnéis ann faoi oibriú WhatsApp.
Foinsí
- Anailís fhóiréinseach ar WhatsApp Messenger ar fhóin chliste Android, le Cosimo Anglano, 2014.
- Whatsapp Forensics: Córas Eksplorasi berkas and basis data iarratas a dhéanamh ar Android agus iOS ag Ahmad Pratama, 2014.
Sna hailt seo a leanas sa tsraith seo:
Bunachair sonraí criptithe WhatsApp a dhíchriptiúAlt a chuirfidh faisnéis ar fáil faoin gcaoi a ngintear eochair chriptithe WhatsApp, agus a thabharfaidh samplaí praiticiúla a thaispeánfaidh conas bunanna criptithe an fheidhmchláir seo a dhíchriptiú.
Sliocht sonraí WhatsApp ó stóráil scamallAlt ina míneoimid cad iad na sonraí WhatsApp atá stóráilte sna scamaill agus cur síos ar mhodhanna chun na sonraí seo a bhaint as stóráil scamall.
Eastóscadh Sonraí WhatsApp: Samplaí PraiticiúlaAlt a chuirfidh síos céim ar chéim cad iad na cláir agus conas sonraí WhatsApp a bhaint as gléasanna éagsúla.
Foinse: will.com