Ma tha thu airson faighinn a-mach dè na seòrsaichean de stuthan forensic WhatsApp a tha ann air diofar shiostaman obrachaidh agus càite dìreach am faighear iad, is e seo an t-àite dhutsa. Tha an artaigil seo bho eòlaiche aig Saotharlann Foireansach Coimpiutaireachd Group-IB Igor Mikhailov a’ tòiseachadh sreath de phuist mu dheidhinn forensics WhatsApp agus dè am fiosrachadh a gheibhear bho bhith a’ dèanamh anailis air an inneal.
Bheir sinn fa-near sa bhad gu bheil diofar shiostaman obrachaidh a’ stòradh diofar sheòrsaichean de stuthan WhatsApp, agus mas urrainn do neach-rannsachaidh seòrsaichean sònraichte de dhàta WhatsApp a thoirt a-mach à aon inneal, chan eil seo a’ ciallachadh gum faodar an aon sheòrsa dàta a thoirt a-mach à inneal eile. Mar eisimpleir, ma thèid aonad siostam a tha a’ ruith Windows OS a thoirt air falbh, is dòcha nach lorgar cabadaich WhatsApp air na diosgan aige (ach a-mhàin lethbhric cùl-taic de dh’ innealan iOS, a lorgar air na h-aon dhràibhearan). Bidh na feartan aige fhèin aig glacadh coimpiutairean-uchd agus innealan gluasadach. Bruidhnidh sinn mu dheidhinn seo nas mionaidiche.
Artifacts WhatsApp ann an inneal Android
Gus artifacts WhatsApp a thoirt a-mach à inneal Android, feumaidh còraichean superuser a bhith aig an neach-rannsachaidh ('freumh') air an inneal a tha fo sgrùdadh no a bhith comasach air cnap cuimhne corporra a thoirt a-mach às an inneal, no an siostam faidhle aige (mar eisimpleir, a’ cleachdadh so-leòntachd bathar-bog inneal gluasadach sònraichte).
Tha faidhlichean tagraidh suidhichte ann an cuimhne an fhòn anns an roinn anns a bheil dàta cleachdaiche air a shàbhaladh. Mar riaghailt, tha an roinn seo air ainmeachadh 'data-cleachdaidh'. Tha fo-eòlairean agus faidhlichean prògram suidhichte air an t-slighe: '/data/data/com.whatsapp/'.
Is e stòran-dàta na prìomh fhaidhlichean anns a bheil stuthan forensic WhatsApp anns an Android OS 'wa.db' и 'msgstore.db'.
Anns an stòr-dàta 'wa.db' anns a bheil liosta conaltraidh iomlan neach-cleachdaidh WhatsApp, a’ toirt a-steach àireamh fòn, ainm taisbeanaidh, clàran-ama agus fiosrachadh sam bith eile a chaidh a thoirt seachad fhad ‘s a tha thu a’ clàradh airson WhatsApp. Faidhle 'wa.db' suidhichte air an t-slighe : '/data/data/com.whatsapp/database/' agus tha an structar a leanas aige:
Na clàran as inntinniche san stòr-dàta 'wa.db' airson an neach-rannsachaidh tha:
- 'wa_contacts'
Anns a’ chlàr seo tha fiosrachadh conaltraidh: id conaltraidh WhatsApp, fiosrachadh inbhe, ainm taisbeanaidh neach-cleachdaidh, clàran-ama, msaa.Cumadh clàr:
Structar clàrAinm an achaidh luach _id clàr àireamh sreath (ann an clàr SQL) jid ID conaltraidh WhatsApp, sgrìobhte ann an cruth <àireamh fòn>@s.whatsapp.net is_whatsapp_user tha '1' ann ma tha an neach-fios a' freagairt ri fìor neach-cleachdaidh WhatsApp, '0' air dhòigh eile inbhe anns a bheil an teacsa a tha air a thaisbeanadh san inbhe conaltraidh inbhe_timestamp tha stampa-ama ann an cruth Unix Epoch Time (ms). àireamh àireamh fòn co-cheangailte ris an neach-conaltraidh amh_contact_id cuir fios gu àireamh sreathach display_name ainm taisbeanaidh conaltraidh seòrsa_fòn seòrsa fòn fòn_label leubail co-cheangailte ris an àireamh-conaltraidh gun fhaicinn_msg_count an àireamh de theachdaireachdan a chaidh a chuir le neach-fios ach nach deach an leughadh leis an neach a fhuair e dealbh_ts tha stampa-ama ann an cruth Unix Epoch Time òrd_ts tha stampa-ama ann an cruth Unix Epoch Time dealbh_id_stampa ùine tha stampa-ama ann an cruth Unix Epoch Time (ms). Ainm ainmichte tha luach an raoin a' maidseadh 'display_name' airson gach fios ainm Ainm conaltraidh WhatsApp (tha an t-ainm a tha air a shònrachadh ann am pròifil an neach-conaltraidh air a thaisbeanadh) seòrsa_ainm ainm conaltraidh air a chleachdadh ann an gnìomhachd seòrsachaidh far-ainm far-ainm an neach-fios ann an WhatsApp (tha am far-ainm a tha air a shònrachadh ann am pròifil an neach-conaltraidh air a thaisbeanadh) companaidh companaidh (tha a’ chompanaidh a tha air a shònrachadh ann am pròifil an neach-conaltraidh air a thaisbeanadh) tiotal a 'Chlàir tiotal (Ms./Mr.; tha an tiotal air a rèiteachadh sa phròifil conaltraidh air a thaisbeanadh) co-rèiteachadh bias - 'sqlite_seicheamh'
Anns a' chlàr seo tha fiosrachadh mun àireamh de luchd-fios; - 'android_metadata'
Anns a’ chlàr seo tha fiosrachadh mu sgìreachadh cànain WhatsApp.
Anns an stòr-dàta 'msgstore.db' tha fiosrachadh ann mu theachdaireachdan a chaidh a chuir, leithid àireamh conaltraidh, teacsa teachdaireachd, inbhe teachdaireachd, clàran-ama, mion-fhiosrachadh mu fhaidhlichean a chaidh a ghluasad a-steach do theachdaireachdan, msaa. Faidhle 'msgstore.db' suidhichte air an t-slighe : '/data/data/com.whatsapp/database/' agus tha an structar a leanas aige:
Na clàran as inntinniche san fhaidhle 'msgstore.db' airson an neach-rannsachaidh tha:
- 'sqlite_seicheamh'
Anns a’ chlàr seo tha fiosrachadh coitcheann mun stòr-dàta seo, leithid an àireamh iomlan de theachdaireachdan a chaidh a stòradh, an àireamh iomlan de chòmhraidhean, msaa.Cumadh clàr:
- 'message_fts_content'
Tha teacsa nam brathan a chaidh a chuir ann.Cumadh clàr:
- 'teachdaireachdan'
Anns a’ chlàr seo tha fiosrachadh leithid àireamh conaltraidh, teacsa teachdaireachd, inbhe teachdaireachd, clàran-ama, fiosrachadh mu fhaidhlichean a chaidh a ghluasad a-steach do theachdaireachdan.Cumadh clàr:
Structar clàrAinm an achaidh luach _id clàr àireamh sreath (ann an clàr SQL) iuchair_iomallach_jid ID WhatsApp de chom-pàirtiche conaltraidh iuchair_bho_dhomh stiùireadh teachdaireachd: '0' - a 'tighinn a-steach,' 1 '- a-mach iuchair_id aithnichear teachdaireachd sònraichte inbhe inbhe teachdaireachd: '0' - air a lìbhrigeadh, '4' - a' feitheamh air an fhrithealaiche, '5' - air fhaighinn aig ceann-uidhe, '6' - teachdaireachd smachd, '13' - teachdaireachd air fhosgladh leis an neach a gheibh e (leugh) feum_putadh aig a bheil an luach '2' mas e teachdaireachd craolaidh a th' ann, no ma tha '0' ann dàta teacsa teachdaireachd (nuair a tha am paramadair 'media_wa_type' '0') timestamp tha stampa-ama ann an cruth Unix Epoch Time (ms), tha an luach air a thoirt bho ghleoc an inneil meadhanan_url anns a bheil URL an fhaidhle a chaidh a ghluasad (nuair a tha am paramadair 'media_wa_type' '1', '2', '3') media_mime_seòrsa Seòrsa MIME den fhaidhle a chaidh a ghluasad (nuair a tha am paramadair 'media_wa_type' co-ionann ri '1', '2', '3') meadhanan_wa_seòrsa seòrsa teachdaireachd: '0' - teacsa, '1' - faidhle grafaigeach, '2' - faidhle claistinn, '3' - faidhle bhidio, '4' - cairt conaltraidh, '5' - geodata meud_meadhanach meud an fhaidhle a chaidh a ghluasad (nuair a tha am paramadair 'media_wa_type' '1', '2', '3') meadhan_ainm ainm an fhaidhle a chaidh a ghluasad (nuair a tha am paramadair 'media_wa_type' '1', '2', '3') meadhan_caption A’ gabhail a-steach na faclan ‘audio’, ‘video’ airson na luachan co-fhreagarrach den pharameter ‘media_wa_type’ (nuair a tha am paramadair ‘media_wa_type’ mar ‘1’, ‘3’) meadhanan_hash hash còdaichte base64 den fhaidhle tar-chuir, air a thomhas a’ cleachdadh an algairim HAS-256 (nuair a tha am paramadair ‘media_wa_type’ co-ionann ri ‘1’, ‘2’, ‘3’) meadhanan_fad fad ann an diogan airson am faidhle mheadhanan (nuair a tha 'media_wa_type' mar '1', '2', '3') tùs aig a bheil an luach '2' mas e teachdaireachd craolaidh a th' ann, no ma tha '0' ann domhan-leud geodata: domhan-leud (nuair a tha 'media_wa_type' paramadair '5') domhan-leud geodata: domhan-leud (nuair a tha 'media_wa_type' paramadair '5') òrd_dealbh fiosrachadh seirbheis goireas_iomallach ID an t-seoltadair (airson còmhraidhean buidhne a-mhàin) fhuaireadh_stampa-ama àm faighinn a-steach, tha clàr-ama ann an cruth Unix Epoch Time (ms), tha an luach air a thoirt bho ghleoc an inneil (nuair a tha '0', '-1' no luach eile aig a' pharameter 'key_from_me') send_timestamp nach eil air a chleachdadh, mar as trice tha an luach '-1' cuidhteas_server_stampa ùine a gheibh am prìomh fhrithealaiche, tha clàr-ama ann an cruth Unix Epoch Time (ms), tha an luach air a thoirt bho ghleoc an inneil (nuair a tha '1', '-1' no luach eile aig a' pharameter 'key_from_me' cuidhteas_inneal_stampa ùine an uair a fhuair neach-aontachaidh eile am brath, tha stampa-ama ann an cruth Unix Epoch Time (ms), thèid an luach a thoirt bho ghleoc an inneil (nuair a tha '1', '-1' no luach eile aig a' pharameter 'key_from_me' leugh_inneal_stampa ùine àm fosglaidh (leughadh) an teachdaireachd, tha stampa-ama ann an cruth Unix Epoch Time (ms), tha an luach air a thoirt bho ghleoc an inneil cluich_device_stampa ùine ùine ath-chluich teachdaireachd, tha stampa-ama ann an cruth Unix Epoch Time (ms), tha an luach air a thoirt bho ghleoc an inneil dàta_amh mion-dhealbh den fhaidhle a chaidh a ghluasad (nuair a tha am paramadair 'media_wa_type' '1' no '3') neach-faighinn_cunnt àireamh luchd-faighinn (airson teachdaireachdan craolaidh) com-pàirtiche_hash air a chleachdadh nuair a thathar a’ sgaoileadh teachdaireachdan le geodata rionnag nach deach a chleachdadh ainmichte_row_id neo-aithnichte, mar as trice tha an luach '0' ann air ainmeachadh_jids nach deach a chleachdadh ioma-chraoladh_id nach deach a chleachdadh co-rèiteachadh bias Chan eil an liosta raointean seo iomlan. Airson dreachan eadar-dhealaichte de WhatsApp, faodaidh cuid de raointean a bhith an làthair no neo-làthaireach. A bharrachd air an sin, faodaidh raointean a bhith ann 'media_enc_hash', 'edit_version', 'payment_transaction_id' agus mar sin air adhart.
- 'messages_thumbnails'
Anns a’ chlàr seo tha fiosrachadh mu dhealbhan a chaidh a ghluasad agus clàran-ama. Anns a’ cholbh ‘timestamp’, tha an ùine air a chomharrachadh ann an cruth Unix Epoch Time (ms). - 'chat_list'
Anns a’ chlàr seo tha fiosrachadh mu chòmhraidhean.Cumadh clàr:
Cuideachd, nuair a bhios tu a ’sgrùdadh WhatsApp air inneal gluasadach a’ ruith Android, bu chòir dhut aire a thoirt do na faidhlichean a leanas:
- faidhl 'msgstore.db.cryptXX' (far a bheil XX aon no dhà figear bho 0 gu 12, mar eisimpleir, msgstore.db.crypt12). A’ toirt a-steach cùl-taic crioptaichte de theachdaireachdan WhatsApp (faidhle cùl-taic msgstore.db). Faidhle(ean) 'msgstore.db.cryptXX' suidhichte air an t-slighe : '/data/media/0/WhatsApp/Stòran-dàta/' (cairt SD mas-fhìor), '/ mnt/sdcard/WhatsApp/Stòr-dàta/ (cairt SD corporra)'.
- faidhl 'iuchrach'. Tha iuchair criptografach ann. Suidhichte air an t-slighe: '/data/data/com.whatsapp/files/'. Air a chleachdadh gus cùl-taic WhatsApp crioptaichte a dhì-chrioptachadh.
- faidhl 'com.whatsapp_preferences.xml'. Tha fiosrachadh ann mun phròifil cunntais WhatsApp agad. Tha am faidhle suidhichte air an t-slighe: '/data/data/com.whatsapp/shared_prefs/'.
Criomag de shusbaint an fhaidhle
<?xml version="1.0" encoding="ISO-8859-1"?> … <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp) … <string name="version">2.17.395</string> (версия WhatsApp) … <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта) … <string name="push_name">Alex</string> (имя владельца аккаунта) … - faidhl 'clàradh.RegisterPhone.xml'. Tha fiosrachadh ann mun àireamh fòn co-cheangailte ris a’ chunntas WhatsApp. Tha am faidhle suidhichte air an t-slighe: '/data/data/com.whatsapp/shared_prefs/'.
Susbaint an fhaidhle
<?xml version="1.0" encoding="ISO-8859-1"?> <map> <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string> <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/> <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/> <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string> <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/> <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string> <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string> </map> - faidhl 'axolotl.db'. Tha iuchraichean criptografach agus dàta eile ann a tha riatanach gus sealbhadair a’ chunntais aithneachadh. Suidhichte air an t-slighe: '/data/data/com.whatsapp/database/'.
- faidhl 'chatsettings.db'. Tha fiosrachadh rèiteachaidh tagraidh ann.
- faidhl 'wa.db'. Tha fiosrachadh conaltraidh ann. Stòr-dàta gu math inntinneach (bho thaobh forensic) agus fiosrachail. Faodaidh fiosrachadh mionaideach a bhith ann mu luchd-aithne a chaidh a dhubhadh às.
Feumaidh tu cuideachd aire a thoirt do na clàran a leanas:
- eòlaire '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Tha faidhlichean grafaigeach air an gluasad ann.
- eòlaire '/data/media/0/WhatsApp/Media/Notaichean gutha WhatsApp/'. Tha teachdaireachdan gutha ann am faidhlichean fòrmat .OPUS.
- eòlaire '/data/data/com.whatsapp/cache/Profile Pictures/'. Tha faidhlichean grafaigeach ann - ìomhaighean de luchd-aithne.
- eòlaire '/data/data/com.whatsapp/files/Avatars/'. Tha faidhlichean grafaigeach ann - dealbhan mion-dhealbh de luchd-fios. Tha leudachadh '.j' aig na faidhlichean seo ach a dh'aindeoin sin 's e faidhlichean ìomhaigh JPEG (JPG) a th' annta.
- eòlaire '/data/data/com.whatsapp/files/Avatars/'. Tha faidhlichean grafaigeach ann - ìomhaigh agus mion-dhealbh den ìomhaigh air a shuidheachadh mar avatar le sealbhadair a’ chunntais.
- eòlaire '/data/data/com.whatsapp/files/Logs/'. A ’toirt a-steach log gnìomhachd a’ phrògraim (faidhle ‘whatsapp.log’) agus lethbhric cùl-taic de logaichean gnìomhachd prògram (faidhlichean le ainmean anns an cruth whatsapp-yyyy-mm-dd.1.log.gz).
Faidhlichean Log WhatsApp:
Criomag iris2017-01-10 09: 37: 09.757 LL_I D [524: Neach-obrach WhatsApp #1] fios gairm / cunntas tòiseachaidh a chall: 0 clàr-ama: 0
2017-01-10 09: 37: 09.758 LL_I D [524: Neach-obrach WhatsApp #1] fios call fios / ùrachadh air a chall cuir dheth fìor
2017-01-10 09: 37: 09.768 LL_I D [1: prìomh] app-init / load-me
2017-01-10 09: 37: 09.772 LL_I D [1: prìomh] faidhle facal-faire a dhìth no nach gabh leughadh
2017-01-10 09:37:09.782 LL_I D [1:prìomh] staitistig Teachdaireachdan teacsa: 59 air an cur, 82 air fhaighinn / Teachdaireachdan Meadhanan: 1 air a chuir (0 bytes), 0 air fhaighinn (9850158 bytes) / Teachdaireachdan far-loidhne: 81 air fhaighinn ( Dàil cuibheasach msec 19522) / Seirbheis Teachdaireachd: 116075 bytes air an cur, 211729 bytes air am faighinn / Gairmean Voip: 1 fios a’ dol a-mach, 0 fios a’ tighinn a-steach, 2492 bytes air an cur, 1530 bytes air am faighinn / Google Drive: 0 bytes air an cur, 0 bytes air am faighinn / Roaming: 1524 bytes air an cur, 1826 byte air fhaighinn / Dàta Iomlan: 118567 bytes air an cur, 10063417 bytes air fhaighinn
2017-01-10 09: 37: 09.785 LL_I D [1: prìomh] manaidsear meadhanan-stàite / ùrachadh-meadhan-stàite / meadhanan-sgrìobhaidh
2017-01-10 09: 37: 09.806 LL_I D [1: prìomh] app-init / cuir air adhart / timer / stad: 24
2017-01-10 09:37:09.811 LL_I D [1:prìomh] msgstore/checkhealth
2017-01-10 09: 37: 09.817 LL_I D [1: prìomh] msgstore / checkhealth / iris / sguab às meallta
2017-01-10 09: 37: 09.818 LL_I D [1: prìomh] msgstore / checkhealth / back / sguab às meallta
2017-01-10 09: 37: 09.818 LL_I D [1: prìomh] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09: 37: 09.819 LL_I D [1: prìomh] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09: 37: 09.820 LL_I D [1: prìomh] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:prìomh] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09: 37: 09.821 LL_I D [1: prìomh] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09: 37: 09.821 LL_I D [1: prìomh] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09: 37: 09.822 LL_I D [1: prìomh] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09: 37: 09.823 LL_I D [1: prìomh] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09: 37: 09.823 LL_I D [1: prìomh] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:prìomh] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:prìomh] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:prìomh] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:prìomh] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:prìomh] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09: 37: 09.838 LL_I D [1: prìomh] msgstore/checkdb/dreach 1
2017-01-10 09:37:09.839 LL_I D [1:prìomh] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:prìomh] msgstore/canquery/count 1
2017-01-10 09: 37: 09.847 LL_I D [1: prìomh] msgstore / canquery / timer / stad: 8
2017-01-10 09:37:09.847 LL_I D [1:prìomh] msgstore/canquery 517 | ùine air a chaitheamh: 8
2017-01-10 09: 37: 09.848 LL_I D [529: Neach-obrach WhatsApp #3] manaidsear meadhanan-stàite / ùrachadh-meadhan-stàite / stòradh a-staigh ri fhaighinn: 1,345,622,016 iomlan: 5,687,922,688
- eòlaire '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Tha na faidhlichean claisneachd a fhuaireadh ann.
- eòlaire '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. Tha faidhlichean claisneachd ann.
- eòlaire '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Tha na faidhlichean grafaigeach a thig às.
- eòlaire '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. Tha faidhlichean grafaigeach ann.
- eòlaire '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Tha faidhlichean bhidio a fhuaireadh ann.
- eòlaire '/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/'. Tha faidhlichean bhidio ann.
- eòlaire '/data/media/0/WhatsApp/Media/Dealbhan pròifil WhatsApp/'. Tha faidhlichean grafaigeach ann co-cheangailte ri sealbhadair a’ chunntais WhatsApp.
- Gus àite cuimhne a shàbhaladh air an fhòn-smart Android agad, faodar cuid de dhàta WhatsApp a stòradh air cairt SD. Air a 'chairt SD, anns an eòlaire root, tha eòlaire ann 'WhatsApp', far am faighear na stuthan a leanas den phrògram seo:
- eòlaire '.Share' ('/mnt/sdcard/WhatsApp/.Share/'). Tha lethbhric de fhaidhlichean ann a chaidh a cho-roinn le luchd-cleachdaidh WhatsApp eile.
- eòlaire '.sgudal' ('/mnt/sdcard/WhatsApp/.trash/'). Tha faidhlichean air an sguabadh às.
- eòlaire 'stòr-dàta' ('/ mnt/sdcard/WhatsApp/Stòran-dàta/'). Tha cùl-taic crioptaichte ann. Faodar an dì-chrioptachadh ma tha am faidhle an làthair 'iuchrach', air a thoirt a-mach à cuimhne an inneal sgrùdaichte.
Faidhlichean suidhichte ann am fo-eòlaire 'stòr-dàta':
- eòlaire 'Leth' ('/ mnt/sdcard/WhatsApp/Media/'). Tha fo-eòlaire ann 'Pàipear-balla', 'WhatsApp Audio', 'Dealbhan WhatsApp', 'Dealbhan pròifil WhatsApp', 'Bhidio WhatsApp', 'Notaichean gutha WhatsApp', anns a bheil faidhlichean ioma-mheadhain a fhuaireadh agus a thar-chuir (faidhlichean grafaiceachd, faidhlichean bhidio, teachdaireachdan guth, dealbhan co-cheangailte ri ìomhaigh sealbhadair cunntas WhatsApp, pàipearan-balla).
- eòlaire 'Dealbhan Pròifil' ('/ mnt/sdcard/WhatsApp/Dealbhan Pròifil/'). Tha faidhlichean grafaigeach ann co-cheangailte ri ìomhaigh neach-seilbh cunntas WhatsApp.
- Aig amannan is dòcha gu bheil eòlaire an làthair air a’ chairt SD 'faidhlichean' ('/ mnt/sdcard/WhatsApp/Faidhlichean/'). Anns an eòlaire seo tha faidhlichean a bhios a’ stòradh roghainnean a’ phrògraim agus roghainnean a’ chleachdaiche.
Feartan stòradh dàta ann an cuid de mhodalan innealan gluasadach
Faodaidh cuid de mhodalan de dh’ innealan gluasadach a tha a’ ruith Android OS stuthan WhatsApp a stòradh ann an àite eile. Tha seo mar thoradh air atharrachaidhean ann an àite stòraidh dàta tagraidh le bathar-bog siostam an inneal gluasadach. Mar eisimpleir, tha gnìomh aig innealan gluasadach Xiaomi airson dàrna àite-obrach a chruthachadh (“SecondSpace”). Nuair a thèid an gnìomh seo a chuir an gnìomh, bidh suidheachadh an dàta ag atharrachadh. Mar sin, ma tha dàta cleachdaiche Android OS ann an inneal gluasadach cunbhalach air a stòradh san eòlaire '/data/user/0/' (a tha a’ toirt iomradh air an àbhaist '/data/data/'), an uairsin anns an dàrna àite-obrach tha dàta tagraidh air a stòradh san eòlaire '/data/user/10/'. 'S e sin, a' cleachdadh an eisimpleir de location an fhaidhle 'wa.db':
- ann am fòn cliste àbhaisteach a’ ruith Android OS: /data/user/0/com.whatsapp/databases/wa.db' (a tha co-ionann '/data/data/com.whatsapp/databases/wa.db');
- anns an dàrna àite-obrach den fhòn-smart Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.
Artifacts WhatsApp ann an inneal iOS
Eu-coltach ri Android OS, ann an iOS WhatsApp dàta iarrtas a ghluasad gu lethbhreac glèidhidh (iTunes lethbhreac glèidhidh). Mar sin, chan fheum dàta a thoirt a-mach às an tagradh seo an siostam faidhle a thoirt a-mach no cnap cuimhne corporra a chruthachadh den inneal a tha fo sgrùdadh. Tha a’ mhòr-chuid den fhiosrachadh iomchaidh anns an stòr-dàta 'ChatStorage.sqlite', a tha suidhichte air an t-slighe : '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (ann an cuid de phrògraman tha an t-slighe seo a’ nochdadh mar 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').
structar 'ChatStorage.sqlite':
Is e na clàran as fiosrachail anns an stòr-dàta 'ChatStorage.sqlite' 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.
Cumadh clàr 'ZWAMESSAGE':
Structar a’ bhùird ‘ZWAMESSAGE’
| Ainm an achaidh | luach |
|---|---|
| Z_PK | clàr àireamh sreath (ann an clàr SQL) |
| Z_ENT | aithnichear clàr, le luach '9' |
| Z_OPT | neo-aithnichte, mar as trice tha luachan ann bho '1' gu '6' |
| ZCHILDMESSAGESDELIVEREDCOUNT | neo-aithnichte, mar as trice tha an luach '0' ann |
| ZCHILDMESSAGESPLAYEDCOUNT | neo-aithnichte, mar as trice tha an luach '0' ann |
| ZCHILDMESSAGESREADCOUNT | neo-aithnichte, mar as trice tha an luach '0' ann |
| ZDATAITEMVERSION | neo-aithnichte, mar as trice tha an luach '3' ann, 's dòcha comharra teachdaireachd teacsa |
| ZDOCID | neo-aithnichte |
| ZENCRETRYCOUNT | neo-aithnichte, mar as trice tha an luach '0' ann |
| ZFILTEREDRECIPIENT COUNT | neo-aithnichte, mar as trice tha na luachan '0', '2', '256' ann |
| ZISFROMME | stiùireadh teachdaireachd: '0' - a 'tighinn a-steach,' 1 '- a-mach |
| ZMESSAGEERRORSTATUS | inbhe tar-chuir teachdaireachd. Ma thèid an teachdaireachd a chuir / fhaighinn, tha an luach '0' air |
| ZMESSAGETYPE | seòrsa de theachdaireachd ga sgaoileadh |
| ZSORT | neo-aithnichte |
| ZSPOTLIGHSTATUS | neo-aithnichte |
| ZSTARRED | neo-aithnichte, gun chleachdadh |
| ZCHATSESSION | neo-aithnichte |
| ZGROUPMEMBER | neo-aithnichte, gun chleachdadh |
| ZLASTSESSION | neo-aithnichte |
| ZMEDIAITEM | neo-aithnichte |
| ZMESSAGEINFO | neo-aithnichte |
| ZPARENTMESSAGE | neo-aithnichte, gun chleachdadh |
| ZMESSAGEDATE | stampa-ama ann an cruth OS X Epoch Time |
| ZSENTDATE | an uair a chaidh am brath a chuir ann an cruth OS X Epoch Time |
| ZFROMJID | ID neach-cuiridh WhatsApp |
| ZMEDIASCTIONID | a’ toirt a-steach a’ bhliadhna agus a’ mhìos a chaidh am faidhle meadhanan a chuir |
| ZPHASH | neo-aithnichte, gun chleachdadh |
| ZPUSHPAME | ainm an neach-conaltraidh a chuir am faidhle meadhanan ann an cruth UTF-8 |
| ZSTANZID | aithnichear teachdaireachd sònraichte |
| ZTEXT | Teacs teachdaireachd |
| ZTOJID | ID WhatsApp an neach-faighinn |
| OFFSET | bias |
Cumadh clàr 'ZWAMEDIAITEM':
Structar a' bhùird 'ZWAMEDIAITEM'
| Ainm an achaidh | luach |
|---|---|
| Z_PK | clàr àireamh sreath (ann an clàr SQL) |
| Z_ENT | aithnichear clàr, le luach '8' |
| Z_OPT | neo-aithnichte, mar as trice tha luachan bho '1' gu '3'. |
| ZCLOUDSTATUS | tha an luach '4' ann ma tha am faidhle air a luchdachadh. |
| ZFILESIZE | anns a bheil fad an fhaidhle (ann am bytes) airson faidhlichean a chaidh a luchdachadh sìos |
| ZMEDIAORIGIN | neo-aithnichte, mar as trice tha an luach '0' aige |
| ZMOVIEDURATION | fad an fhaidhle mheadhanan, airson faidhlichean pdf faodaidh an àireamh de dhuilleagan na sgrìobhainn a bhith ann |
| ZMESSAGE | tha àireamh sreathach ann (tha an àireamh eadar-dhealaichte bhon fhear a tha air a chomharrachadh sa cholbh 'Z_PK') |
| ZASPECTRATIO | co-mheas taobh, gun chleachdadh, mar as trice air a shuidheachadh gu '0' |
| ZHACURACHADH | neo-aithnichte, mar as trice tha an luach '0' aige |
| ZLATTITUDE | leud ann am piogsail |
| ZLONGTITUDE | àirde ann am piogsail |
| ZMEDIAURLDATE | stampa-ama ann an cruth OS X Epoch Time |
| ZAUTHORNAME | ùghdar (airson sgrìobhainnean, faodaidh ainm an fhaidhle a bhith ann) |
| ZCOLLECTIONNAME | nach deach a chleachdadh |
| ZMEDALOCALPATH | ainm faidhle (a’ gabhail a-steach slighe) ann an siostam faidhle an uidheim |
| ZMEDIAURL | An URL far an robh am faidhle mheadhanan suidhichte. Ma chaidh faidhle a ghluasad bho aon neach-clàraidh gu neach eile, chaidh a chrioptachadh agus thèid an leudachadh aige a chomharrachadh mar leudachadh air an fhaidhle a chaidh a ghluasad - .enc |
| ZTHUMBNAILLOCALPATH | slighe gu mion-dhealbh an fhaidhle ann an siostam faidhle an uidheim |
| ZTITLE | bann-cinn an fhaidhle |
| ZVCARDNAME | hash den fhaidhle mheadhanan; nuair a ghluaiseas tu am faidhle gu buidheann, faodaidh gum bi aithnichear an t-seoladair ann |
| ZVCARDSTRING | tha fiosrachadh ann mun t-seòrsa faidhle a thathas a’ gluasad (mar eisimpleir, image/jpeg); nuair a ghluaiseas tu faidhle gu buidheann, dh’ fhaodadh gum bi aithnichear an neach a gheibh e ann |
| ZXMPPTHUMBPATH | slighe gu mion-dhealbh an fhaidhle ann an siostam faidhle an uidheim |
| ZMEDIAKEY | neo-aithnichte, is dòcha gu bheil an iuchair ann gus am faidhle crioptaichte a dhì-chrioptachadh. |
| ZMETADATA | meata-dàta na teachdaireachd a chaidh a chraoladh |
| Taic mu Ruigsinneachd | bias |
Clàran stòr-dàta inntinneach eile 'ChatStorage.sqlite' tha:
- 'ZWAPROFILEPUSHNAME'. A ’maidseadh ID WhatsApp le ainm conaltraidh;
- 'ZWAPROFILEPICTUREITEM'. A ’maidseadh ID WhatsApp le avatar conaltraidh;
- 'Z_PRIMARYKEY'. Anns a’ chlàr tha fiosrachadh coitcheann mun stòr-dàta seo, leithid an àireamh iomlan de theachdaireachdan a chaidh a stòradh, an àireamh iomlan de chòmhraidhean, msaa.
Cuideachd, nuair a bhios tu a’ sgrùdadh WhatsApp air inneal gluasadach a tha a’ ruith iOS, bu chòir dhut aire a thoirt do na faidhlichean a leanas:
- faidhl 'BackUpKeyValue.sqlite'. Tha iuchraichean criptografach agus dàta eile ann a tha riatanach gus sealbhadair a’ chunntais aithneachadh. Suidhichte air an t-slighe: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- faidhl 'ContactsV2.sqlite'. Tha fiosrachadh ann mu luchd-aithne an neach-cleachdaidh, leithid làn ainm, àireamh fòn, inbhe conaltraidh (ann an cruth teacsa), ID WhatsApp, msaa. Suidhichte air an t-slighe: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- faidhl 'dreach_luchd-cleachdaidh'. A’ toirt a-steach àireamh tionndaidh an aplacaid WhatsApp a chaidh a chuir a-steach. Suidhichte air an t-slighe: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- faidhl 'current_wallpaper.jpg'. Tha am pàipear-balla cùl-fhiosrachaidh WhatsApp gnàthach ann. Suidhichte air an t-slighe: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Bidh dreachan nas sine den aplacaid a’ cleachdadh am faidhle 'pàipear-balla', a tha suidhichte air an t-slighe : '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
- faidhl 'blockedcontacts.dat'. Tha fiosrachadh ann mu luchd-ceangail dùinte. Suidhichte air an t-slighe: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
- faidhl 'pw.dat'. Tha facal-faire crioptaichte ann. Suidhichte air an t-slighe: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
- faidhl 'net.whatsapp.WhatsApp.plist' (no faidhle 'group.net.whatsapp.WhatsApp.shared.plist'). Tha fiosrachadh ann mun phròifil cunntais WhatsApp agad. Tha am faidhle suidhichte air an t-slighe: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.
Susbaint an fhaidhle 'group.net.whatsapp.WhatsApp.shared.plist'
Feumaidh tu cuideachd aire a thoirt do na clàran a leanas:
- eòlaire '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Tha mion-dhealbhan de luchd-aithne ann, buidhnean (faidhlichean leis an leudachadh .òrdag), cuir fios gu avatars, avatar sealbhadair cunntas WhatsApp (faidhle 'Photo.jpg').
- eòlaire '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Tha faidhlichean ioma-mheadhain ann agus na h-òrdagan aca
- eòlaire '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Tha log gnìomhachd a’ phrògraim (faidhle 'calls.log') agus lethbhric cùl-taic de logaichean gnìomhachd prògram (faidhle 'calls.backup.log').
- eòlaire '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Tha stiogairean ann (faidhlichean san cruth '.webp').
- eòlaire '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. A’ toirt a-steach logaichean obrachaidh prògram.
Artifacts WhatsApp air Windows
Gheibhear artifacts WhatsApp air Windows ann an grunn àiteachan. An toiseach, is iad sin clàran anns a bheil faidhlichean prògram so-ghnìomhaichte agus cuideachail (airson Windows 8/10):
- 'C: Faidhlichean Prògraim (x86) Whatsapp'
- 'C: Luchd-cleachdaidh% Pròifil cleachdaiche% AppDataLocalWhatsApp'
- 'C: Luchd-cleachdaidh% Pròifil a' chleachdaiche% Faidhlichean Prògram AppDataLocalVirtualStore (x86)WhatsApp'
Ann an catalog 'C: Luchd-cleachdaidh% Pròifil cleachdaiche% AppDataLocalWhatsApp' tha am faidhle log suidhichte 'SquirrelSetup.log', anns a bheil fiosrachadh mu bhith a’ sgrùdadh airson ùrachaidhean agus a’ stàladh a’ phrògraim.
Ann an catalog 'C: Luchd-cleachdaidh% Pròifil cleachdaiche% AppDataRoamingWhatsApp' Tha grunn fo-sgrìobhaidhean ann:
faidhl 'prìomh-phròiseas.log' tha fiosrachadh ann mu obrachadh a’ phrògram WhatsApp.
Fo-leabhar 'stòr-dàta' tha faidhle ann 'Stòr-dàta.db', ach chan eil fiosrachadh sam bith anns an fhaidhle seo mu chòmhraidhean no caraidean.
Is e an fheadhainn as inntinniche bho shealladh forensic na faidhlichean a tha suidhichte san eòlaire 'Cache'. Is e seo gu bunaiteach faidhlichean ainmichte 'f ********' (far a bheil * àireamh bho 0 gu 9) anns a bheil faidhlichean ioma-mheadhain crioptaichte agus sgrìobhainnean, ach tha faidhlichean gun chrioptachadh nam measg cuideachd. Gu sònraichte inntinneach tha na faidhlichean 'data_0', 'data_1', 'data_2', 'data_3', suidhichte anns an aon fho-eòlaire. Faidhlichean 'data_0', 'data_1', 'data_3' bidh ceanglaichean taobh a-muigh ann gu faidhlichean agus sgrìobhainnean ioma-mheadhain crioptaichte.
Eisimpleir den fhiosrachadh a tha san fhaidhle 'data_1'
File cuideachd 'data_3' faodaidh faidhlichean grafaigeach a bhith ann.
faidhl 'data_2' tha avatars conaltraidh ann (faodar ath-nuadhachadh le bhith a’ sgrùdadh le bann-cinn faidhle).
Avatars a tha anns an fhaidhle 'data_2':
Mar sin, chan fhaighear na cabadaich fhèin ann an cuimhne a’ choimpiutair, ach gheibh thu:
- faidhlichean ioma-mheadhain;
- sgrìobhainnean air an gluasad tro WhatsApp;
- fiosrachadh mu luchd-aithne sealbhadair a’ chunntais.
Artifacts WhatsApp air MacOS
Ann am MacOS gheibh thu seòrsaichean de stuthan WhatsApp coltach ris an fheadhainn a lorgar ann an Windows OS.
Tha faidhlichean a’ phrògraim suidhichte anns na clàran a leanas:
- 'C:ApplicationsWhatsApp.app'
- 'C:Applications._WhatsApp.app'
- 'C: Users% User profile%LibraryPreferences'
- 'C: Luchd-cleachdaidh% Pròifil cleachdaiche%LibraryLogsWhatsApp'
- 'C: Luchd-cleachdaidh% Pròifil cleachdaiche%Iarrtas Sàbhalaidh Leabharlann StateWhatsApp.savedState'
- 'C: Luchd-cleachdaidh% Pròifil a' chleachdaiche% Sgrìobhainnean Iarrtas Leabharlann'
- 'C: Luchd-cleachdaidh% Pròifil cleachdaiche%LibraryApplication SupportCloudDocs'
- 'C: Luchd-cleachdaidh% Pròifil cleachdaiche%LibraryApplication SupportWhatsApp.ShipIt'
- 'C: Cleachdaichean%Pròifil cleachdaiche%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
- 'C: Luchd-cleachdaidh% Pròifil cleachdaiche % Sgrìobhainnean Mobile Leabharlann <caochlaideach teacsa> Cunntasan WhatsApp'
Anns an eòlaire seo tha fo-eòlairean aig a bheil ainmean nan àireamhan fòn co-cheangailte ri sealbhadair a’ chunntais WhatsApp. - 'C: Luchd-cleachdaidh% Pròifil cleachdaiche%LibraryCachesWhatsApp.ShipIt'
Tha fiosrachadh anns an eòlaire seo mu bhith a' stàladh a' phrògraim. - 'C:Users%Pròifil cleachdaiche%PicturesiPhoto Library.photolibraryMasters', 'C:Users%Pròifil cleachdaiche%PicturesiPhoto Library.photolibraryThumbnails'
Anns na clàran sin tha faidhlichean seirbheis den phrògram, a’ toirt a-steach dealbhan agus òrdagan de luchd-fios WhatsApp. - 'C: Luchd-cleachdaidh% Pròifil cleachdaiche%LibraryCachesWhatsApp'
Anns an eòlaire seo tha grunn stòran-dàta SQLite a thathas a’ cleachdadh airson tasgadh dàta. - 'C: Luchd-cleachdaidh% Pròifil neach-cleachdaidh%LibraryApplication SupportWhatsApp'
Tha grunn fo-eòlairean san eòlaire seo:
Ann an catalog 'C: Luchd-cleachdaidh% Pròifil neach-cleachdaidh%LibraryApplication SupportWhatsAppCache' tha faidhlichean ann 'data_0', 'data_1', 'data_2', 'data_3' agus faidhlichean le ainmean 'f ********' (far a bheil * àireamh bho 0 gu 9). Airson fiosrachadh mun fhiosrachadh a tha anns na faidhlichean sin, faic WhatsApp Artifacts air Windows.Ann an catalog 'C: Luchd-cleachdaidh% Pròifil neach-cleachdaidh% Taic Iarrtas LeabharlannWhatsAppIndexedDB' faodaidh faidhlichean ioma-mheadhain a bhith ann (chan eil leudachadh aig na faidhlichean).
faidhl 'prìomh-phròiseas.log' tha fiosrachadh ann mu obrachadh a’ phrògram WhatsApp.
Stòran
- Mion-sgrùdadh forensic air WhatsApp Messenger air fònaichean sgairteil Android, le Cosimo Anglano, 2014.
- Whatsapp Forensics: Eksplorasi system agus base data airson Android agus iOS le Ahmad Pratama, 2014.
Anns na h-artaigilean a leanas san t-sreath seo:
A’ dì-chrioptachadh stòran-dàta crioptaichte WhatsAppArtaigil a bheir seachad fiosrachadh air mar a thèid an iuchair crioptachaidh WhatsApp a chruthachadh agus eisimpleirean practaigeach a sheallas mar as urrainn dhut stòran-dàta crioptaichte an tagraidh seo a dhì-chrioptachadh.
A’ toirt a-mach dàta WhatsApp bho stòradh neòilArtaigil anns an innis sinn dhut dè an dàta WhatsApp a tha air a stòradh anns na sgòthan agus a bheir cunntas air dòighean airson an dàta seo fhaighinn air ais bho stòran neòil.
Tarraing dàta WhatsApp: Eisimpleirean practaigeachArtaigil a bheir cunntas ceum air cheum dè na prògraman agus mar a tharraing thu dàta WhatsApp bho dhiofar innealan.
Source: www.habr.com