व्हाट्सएप आपके हाथ की हथेली में: आप फोरेंसिक कलाकृतियां कहां और कैसे पा सकते हैं?

यदि आप जानना चाहते हैं कि विभिन्न ऑपरेटिंग सिस्टम पर किस प्रकार की व्हाट्सएप फोरेंसिक कलाकृतियाँ मौजूद हैं और वे वास्तव में कहाँ पाई जा सकती हैं, तो यह जगह आपके लिए है। यह लेख ग्रुप-आईबी कंप्यूटर फोरेंसिक प्रयोगशाला के एक विशेषज्ञ का है इगोर मिखाइलोव व्हाट्सएप फोरेंसिक के बारे में पोस्ट की एक श्रृंखला शुरू होती है और डिवाइस का विश्लेषण करने से क्या जानकारी प्राप्त की जा सकती है।

आइए तुरंत ध्यान दें कि विभिन्न ऑपरेटिंग सिस्टम विभिन्न प्रकार के व्हाट्सएप कलाकृतियों को संग्रहीत करते हैं, और यदि कोई शोधकर्ता एक डिवाइस से कुछ प्रकार के व्हाट्सएप डेटा निकाल सकता है, तो इसका मतलब यह नहीं है कि समान प्रकार का डेटा किसी अन्य डिवाइस से निकाला जा सकता है। उदाहरण के लिए, यदि विंडोज़ ओएस चलाने वाली एक सिस्टम यूनिट को हटा दिया जाता है, तो व्हाट्सएप चैट संभवतः उसके डिस्क पर नहीं पाए जाएंगे (आईओएस उपकरणों की बैकअप प्रतियों के अपवाद के साथ, जो समान ड्राइव पर पाए जा सकते हैं)। लैपटॉप और मोबाइल उपकरणों की जब्ती की अपनी विशेषताएं होंगी। आइये इसके बारे में अधिक विस्तार से बात करते हैं।

एंड्रॉइड डिवाइस में व्हाट्सएप कलाकृतियाँ

एंड्रॉइड डिवाइस से व्हाट्सएप कलाकृतियों को निकालने के लिए, शोधकर्ता के पास सुपरयूजर अधिकार होना चाहिए ('') जांच के तहत डिवाइस पर या अन्यथा डिवाइस या उसके फ़ाइल सिस्टम की भौतिक मेमोरी डंप निकालने में सक्षम हो (उदाहरण के लिए, किसी विशिष्ट मोबाइल डिवाइस की सॉफ़्टवेयर कमजोरियों का उपयोग करके)।

एप्लिकेशन फ़ाइलें फ़ोन की मेमोरी में उस अनुभाग में स्थित होती हैं जिसमें उपयोगकर्ता डेटा सहेजा जाता है। एक नियम के रूप में, इस अनुभाग का नाम दिया गया है 'उपयोगकर्ता का डेटा'. उपनिर्देशिकाएँ और प्रोग्राम फ़ाइलें पथ पर स्थित हैं: '/data/data/com.whatsapp/'.

एंड्रॉइड ओएस में व्हाट्सएप फोरेंसिक कलाकृतियों वाली मुख्य फाइलें डेटाबेस हैं 'wa.db' и 'msgstore.db'.

डेटाबेस में 'wa.db' इसमें व्हाट्सएप उपयोगकर्ता की पूरी संपर्क सूची शामिल है, जिसमें फोन नंबर, डिस्प्ले नाम, टाइमस्टैम्प और व्हाट्सएप के लिए पंजीकरण करते समय प्रदान की गई कोई भी अन्य जानकारी शामिल है। फ़ाइल 'wa.db' पथ के किनारे स्थित: '/data/data/com.whatsapp/databases/' और इसकी निम्नलिखित संरचना है:

डेटाबेस में सबसे दिलचस्प तालिकाएँ 'wa.db' शोधकर्ता के लिए हैं:

• 'wa_संपर्क'
  इस तालिका में संपर्क जानकारी शामिल है: व्हाट्सएप संपर्क आईडी, स्थिति जानकारी, उपयोगकर्ता प्रदर्शन नाम, टाइमस्टैम्प इत्यादि।

  तालिका दिखावट:

  
  टेबल संरचना

  कार्यक्षेत्र नाम	मूल्य
  _ id	रिकॉर्ड अनुक्रम संख्या (एसक्यूएल तालिका में)
  JID	व्हाट्सएप संपर्क आईडी, <फोन नंबर>@s.whatsapp.net प्रारूप में लिखा गया है
  is_whatsapp_user	यदि संपर्क वास्तविक व्हाट्सएप उपयोगकर्ता से मेल खाता है तो इसमें '1' है, अन्यथा '0' है
  हैसियत	संपर्क स्थिति में प्रदर्शित पाठ शामिल है
  स्टेटस_टाइमस्टैम्प	इसमें यूनिक्स एपोच टाइम (एमएस) प्रारूप में एक टाइमस्टैम्प शामिल है
  संख्या	संपर्क से संबद्ध फ़ोन नंबर
  raw_contact_id	संपर्क क्रमांक
  display_name	संपर्क प्रदर्शन नाम
  फोन प्रकार	फोन प्रकार
  फ़ोन_लेबल	संपर्क नंबर से संबद्ध लेबल
  unseen_msg_count	संदेशों की संख्या जो किसी संपर्क द्वारा भेजे गए थे लेकिन प्राप्तकर्ता द्वारा नहीं पढ़े गए
  फोटो_ts	इसमें यूनिक्स एपोच टाइम प्रारूप में एक टाइमस्टैम्प शामिल है
  अंगूठा_ts	इसमें यूनिक्स एपोच टाइम प्रारूप में एक टाइमस्टैम्प शामिल है
  फोटो_आईडी_टाइमस्टैम्प	इसमें यूनिक्स एपोच टाइम (एमएस) प्रारूप में एक टाइमस्टैम्प शामिल है
  प्रदत्त नाम	फ़ील्ड मान प्रत्येक संपर्क के लिए 'display_name' से मेल खाता है
  wa_name	व्हाट्सएप संपर्क नाम (संपर्क की प्रोफ़ाइल में निर्दिष्ट नाम प्रदर्शित होता है)
  सॉर्ट_नाम	सॉर्ट संचालन में उपयोग किया जाने वाला संपर्क नाम
  उपनाम	व्हाट्सएप में संपर्क का उपनाम (संपर्क की प्रोफ़ाइल में निर्दिष्ट उपनाम प्रदर्शित होता है)
  कंपनी	कंपनी (संपर्क की प्रोफ़ाइल में निर्दिष्ट कंपनी प्रदर्शित होती है)
  शीर्षक	शीर्षक (सुश्री/श्रीमान; संपर्क प्रोफ़ाइल में कॉन्फ़िगर किया गया शीर्षक प्रदर्शित होता है)
  ओफ़्सेट	विस्थापन

• 'sqlite_sequence'
  इस तालिका में संपर्कों की संख्या के बारे में जानकारी है;
• 'एंड्रॉइड_मेटाडेटा'
  इस तालिका में व्हाट्सएप भाषा स्थानीयकरण के बारे में जानकारी है।

डेटाबेस में 'msgstore.db' इसमें भेजे गए संदेशों के बारे में जानकारी शामिल है, जैसे संपर्क नंबर, संदेश पाठ, संदेश स्थिति, टाइमस्टैम्प, संदेशों में शामिल स्थानांतरित फ़ाइलों का विवरण आदि। फ़ाइल 'msgstore.db' पथ के किनारे स्थित: '/data/data/com.whatsapp/databases/' और इसकी निम्नलिखित संरचना है:

फ़ाइल में सबसे दिलचस्प तालिकाएँ 'msgstore.db' शोधकर्ता के लिए हैं:

• 'sqlite_sequence'
  इस तालिका में इस डेटाबेस के बारे में सामान्य जानकारी शामिल है, जैसे संग्रहीत संदेशों की कुल संख्या, चैट की कुल संख्या, आदि।

  तालिका दिखावट:

  

• 'message_fts_content'
  भेजे गए संदेशों का पाठ शामिल है.

  तालिका दिखावट:

  

• 'संदेश'
  इस तालिका में संपर्क नंबर, संदेश पाठ, संदेश स्थिति, टाइमस्टैम्प, संदेशों में शामिल स्थानांतरित फ़ाइलों के बारे में जानकारी जैसी जानकारी शामिल है।

  तालिका दिखावट:

  
  टेबल संरचना

  कार्यक्षेत्र नाम	मूल्य
  _ id	रिकॉर्ड अनुक्रम संख्या (एसक्यूएल तालिका में)
  key_remote_jid	संचार भागीदार की व्हाट्सएप आईडी
  key_from_me	संदेश दिशा: '0' - इनकमिंग, '1' - आउटगोइंग
  key_id	अद्वितीय संदेश पहचानकर्ता
  हैसियत	संदेश की स्थिति: '0' - वितरित, '4' - सर्वर पर प्रतीक्षारत, '5' - गंतव्य पर प्राप्त, '6' - नियंत्रण संदेश, '13' - प्राप्तकर्ता द्वारा खोला गया संदेश (पढ़ें)
  जरूरत_पुश	यदि यह एक प्रसारण संदेश है तो इसका मान '2' है, अन्यथा इसमें '0' है
  तिथि	संदेश पाठ (जब 'मीडिया_वा_टाइप' पैरामीटर '0' है)
  टाइमस्टैम्प	इसमें यूनिक्स एपोच टाइम (एमएस) प्रारूप में एक टाइमस्टैम्प शामिल है, मान डिवाइस घड़ी से लिया गया है
  मीडिया_यूआरएल	स्थानांतरित फ़ाइल का यूआरएल शामिल है (जब 'मीडिया_वा_टाइप' पैरामीटर '1', '2', '3' है)
  मीडिया_माइम_प्रकार	स्थानांतरित फ़ाइल का MIME प्रकार (जब 'media_wa_type' पैरामीटर '1', '2', '3' के बराबर है)
  मीडिया_वा_प्रकार	संदेश प्रकार: '0' - पाठ, '1' - ग्राफिक फ़ाइल, '2' - ऑडियो फ़ाइल, '3' - वीडियो फ़ाइल, '4' - संपर्क कार्ड, '5' - जियोडेटा
  मीडिया_आकार	स्थानांतरित फ़ाइल का आकार (जब 'मीडिया_वा_टाइप' पैरामीटर '1', '2', '3' है)
  मीडिया_नाम	स्थानांतरित फ़ाइल का नाम (जब 'मीडिया_वा_टाइप' पैरामीटर '1', '2', '3' है)
  मीडिया_कैप्शन	'मीडिया_वा_टाइप' पैरामीटर के संबंधित मानों के लिए 'ऑडियो', 'वीडियो' शब्द शामिल हैं (जब 'मीडिया_वा_टाइप' पैरामीटर '1', '3' है)
  मीडिया_हैश	प्रेषित फ़ाइल का बेस64 एन्कोडेड हैश, एचएएस-256 एल्गोरिदम का उपयोग करके गणना की गई (जब 'मीडिया_वा_टाइप' पैरामीटर '1', '2', '3' के बराबर है)
  मीडिया_अवधि	मीडिया फ़ाइल के लिए सेकंड में अवधि (जब 'मीडिया_वा_टाइप' '1', '2', '3' है)
  मूल	यदि यह एक प्रसारण संदेश है तो इसका मान '2' है, अन्यथा इसमें '0' है
  अक्षांश	जियोडेटा: अक्षांश (जब 'मीडिया_वा_टाइप' पैरामीटर '5' है)
  देशान्तर	जियोडेटा: देशांतर (जब 'मीडिया_वा_टाइप' पैरामीटर '5' है)
  अंगूठे_छवि	सेवा कि जानकारी
  दूरस्थ_संसाधन	प्रेषक आईडी (केवल समूह चैट के लिए)
  प्राप्त_टाइमस्टैम्प	प्राप्ति का समय, यूनिक्स एपोक टाइम (एमएस) प्रारूप में एक टाइमस्टैम्प होता है, मान डिवाइस घड़ी से लिया जाता है (जब 'key_from_me' पैरामीटर में '0', '-1' या अन्य मान होता है)
  भेजें_टाइमस्टैम्प	उपयोग नहीं किया गया, आमतौर पर इसका मान '-1' होता है
  रसीद_सर्वर_टाइमस्टैम्प	केंद्रीय सर्वर द्वारा प्राप्त समय में यूनिक्स एपोच टाइम (एमएस) प्रारूप में एक टाइमस्टैम्प होता है, मान डिवाइस घड़ी से लिया जाता है (जब 'key_from_me' पैरामीटर में '1', '-1' या अन्य मान होता है
  रसीद_डिवाइस_टाइमस्टैम्प	जिस समय संदेश किसी अन्य ग्राहक द्वारा प्राप्त किया गया था, उसमें यूनिक्स एपोक टाइम (एमएस) प्रारूप में एक टाइमस्टैम्प शामिल है, मान डिवाइस घड़ी से लिया जाता है (जब 'key_from_me' पैरामीटर में '1', '-1' या कोई अन्य मान होता है
  read_device_timestamp	संदेश को खोलने (पढ़ने) के समय में यूनिक्स एपोच टाइम (एमएस) प्रारूप में एक टाइमस्टैम्प होता है, मान डिवाइस घड़ी से लिया जाता है
  प्ले_डिवाइस_टाइमस्टैम्प	संदेश प्लेबैक समय, यूनिक्स एपोक टाइम (एमएस) प्रारूप में एक टाइमस्टैम्प शामिल है, मान डिवाइस घड़ी से लिया गया है
  कच्चा डेटा	स्थानांतरित फ़ाइल का थंबनेल (जब 'मीडिया_वा_टाइप' पैरामीटर '1' या '3' है)
  प्राप्तकर्ता_गिनती	प्राप्तकर्ताओं की संख्या (प्रसारण संदेशों के लिए)
  प्रतिभागी_हैश	जियोडेटा के साथ संदेश प्रसारित करते समय उपयोग किया जाता है
  तारांकित	उपयोग नहीं किया
  उद्धृत_row_id	अज्ञात, आमतौर पर मान '0' होता है
  उल्लेखित_जिड्स	उपयोग नहीं किया
  मल्टीकास्ट_आईडी	उपयोग नहीं किया
  ओफ़्सेट	विस्थापन

  फ़ील्ड की यह सूची संपूर्ण नहीं है. व्हाट्सएप के विभिन्न संस्करणों के लिए, कुछ फ़ील्ड मौजूद या अनुपस्थित हो सकते हैं। इसके अतिरिक्त, फ़ील्ड मौजूद हो सकते हैं 'मीडिया_एनसी_हैश', 'संपादन_संस्करण', 'भुगतान_लेनदेन_आईडी' आदि

• 'संदेश_थंबनेल'
  इस तालिका में स्थानांतरित छवियों और टाइमस्टैम्प के बारे में जानकारी है। 'टाइमस्टैम्प' कॉलम में, समय को यूनिक्स एपोच टाइम (एमएस) प्रारूप में दर्शाया गया है।
• 'चैट_सूची'
  इस तालिका में चैट के बारे में जानकारी है.

  तालिका दिखावट:

  

इसके अलावा, एंड्रॉइड चलाने वाले मोबाइल डिवाइस पर व्हाट्सएप की जांच करते समय, आपको निम्नलिखित फाइलों पर ध्यान देना चाहिए:

• फ़ाइल 'msgstore.db.cryptXX' (जहां XX 0 से 12 तक एक या दो अंक है, उदाहरण के लिए, msgstore.db.crypt12)। इसमें व्हाट्सएप संदेशों का एन्क्रिप्टेड बैकअप (बैकअप फ़ाइल) शामिल है msgstore.db). फ़ाइलें 'msgstore.db.cryptXX' पथ के किनारे स्थित: '/डेटा/मीडिया/0/व्हाट्सएप/डेटाबेस/' (वर्चुअल एसडी कार्ड), '/mnt/sdcard/WhatsApp/डेटाबेस/ (भौतिक एसडी कार्ड)'.
• फ़ाइल 'चाबी'. एक क्रिप्टोग्राफ़िक कुंजी शामिल है. पथ के किनारे स्थित: '/data/data/com.whatsapp/files/'. एन्क्रिप्टेड व्हाट्सएप बैकअप को डिक्रिप्ट करने के लिए उपयोग किया जाता है।
• फ़ाइल 'com.whatsapp_preferences.xml'. इसमें आपके व्हाट्सएप अकाउंट प्रोफ़ाइल के बारे में जानकारी शामिल है। फ़ाइल पथ के साथ स्थित है: '/data/data/com.whatsapp/shared_prefs/'.

  फ़ाइल सामग्री खंड

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• फ़ाइल 'पंजीकरण.RegisterPhone.xml'. इसमें व्हाट्सएप अकाउंट से जुड़े फोन नंबर की जानकारी शामिल है। फ़ाइल पथ के साथ स्थित है: '/data/data/com.whatsapp/shared_prefs/'.

  फ़ाइल सामग्री

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• फ़ाइल 'axolotl.db'. इसमें क्रिप्टोग्राफ़िक कुंजियाँ और अन्य डेटा शामिल हैं जो खाता स्वामी की पहचान करने के लिए आवश्यक हैं। पथ के किनारे स्थित: '/data/data/com.whatsapp/databases/'.
• फ़ाइल 'चैटसेटिंग्स.डीबी'. एप्लिकेशन कॉन्फ़िगरेशन जानकारी शामिल है.
• फ़ाइल 'wa.db'. संपर्क विवरण शामिल हैं. एक बहुत ही दिलचस्प (फोरेंसिक पहलू से) और जानकारीपूर्ण डेटाबेस। इसमें हटाए गए संपर्कों के बारे में विस्तृत जानकारी हो सकती है।

आपको निम्नलिखित निर्देशिकाओं पर भी ध्यान देने की आवश्यकता है:

• निर्देशिका '/डेटा/मीडिया/0/व्हाट्सएप/मीडिया/व्हाट्सएप छवियां/'. स्थानांतरित ग्राफ़िक फ़ाइलें शामिल हैं.
• निर्देशिका '/डेटा/मीडिया/0/व्हाट्सएप/मीडिया/व्हाट्सएप वॉयस नोट्स/'. .OPUS प्रारूप फ़ाइलों में ध्वनि संदेश शामिल हैं।
• निर्देशिका '/data/data/com.whatsapp/cache/प्रोफाइल पिक्चर्स/'. इसमें ग्राफ़िक फ़ाइलें - संपर्कों की छवियां शामिल हैं।
• निर्देशिका '/data/data/com.whatsapp/files/Avatars/'. इसमें ग्राफ़िक फ़ाइलें - संपर्कों की थंबनेल छवियां शामिल हैं। इन फ़ाइलों में '.j' एक्सटेंशन है लेकिन फिर भी ये JPEG (JPG) छवि फ़ाइलें हैं।
• निर्देशिका '/data/data/com.whatsapp/files/Avatars/'. इसमें ग्राफ़िक फ़ाइलें शामिल हैं - एक छवि और छवि का एक थंबनेल जिसे खाता स्वामी द्वारा अवतार के रूप में सेट किया गया है।
• निर्देशिका '/data/data/com.whatsapp/files/Logs/'. इसमें प्रोग्राम ऑपरेशन लॉग (फ़ाइल 'व्हाट्सएप.लॉग') और प्रोग्राम ऑपरेशन लॉग की बैकअप प्रतियां (व्हाट्सएप-yyyy-mm-dd.1.log.gz प्रारूप में नाम वाली फ़ाइलें) शामिल हैं।

व्हाट्सएप लॉग फ़ाइलें:

जर्नल खंड2017-01-10 09:37:09.757 एलएल_आई डी [524:व्हाट्सएप वर्कर #1] मिस्डकॉलनोटिफिकेशन/इनिट काउंट:0 टाइमस्टैम्प:0
2017-01-10 09:37:09.758 एलएल_आई डी [524:व्हाट्सएप वर्कर #1] मिस्डकॉल अधिसूचना/अपडेट रद्द करें सत्य
2017-01-10 09:37:09.768 एलएल_आई डी [1:मुख्य] ​​ऐप-इनिट/लोड-मी
2017-01-10 09:37:09.772 LL_I D [1:मुख्य] ​​पासवर्ड फ़ाइल गुम या अपठनीय
2017-01-10 09:37:09.782 एलएल_आई डी [1:मुख्य] ​​आँकड़े पाठ संदेश: 59 भेजे गए, 82 प्राप्त / मीडिया संदेश: 1 भेजा गया (0 बाइट्स), 0 प्राप्त (9850158 बाइट्स) / ऑफ़लाइन संदेश: 81 प्राप्त ( 19522 मिसे औसत विलंब) / संदेश सेवा: 116075 बाइट्स भेजे गए, 211729 बाइट्स प्राप्त / वीओआईपी कॉल: 1 आउटगोइंग कॉल, 0 इनकमिंग कॉल, 2492 बाइट्स भेजे गए, 1530 बाइट्स प्राप्त / गूगल ड्राइव: 0 बाइट्स भेजे गए, 0 बाइट्स प्राप्त / रोमिंग: 1524 बाइट्स भेजे गए, 1826 बाइट्स प्राप्त हुए / कुल डेटा: 118567 बाइट्स भेजे गए, 10063417 बाइट्स प्राप्त हुए
2017-01-10 09:37:09.785 LL_I D [1:मुख्य] ​​मीडिया-स्टेट-मैनेजर/रिफ्रेश-मीडिया-स्टेट/राइटेबल-मीडिया
2017-01-10 09:37:09.806 एलएल_आई डी [1:मुख्य] ​​ऐप-इनिट/इनिशियलाइज़/टाइमर/स्टॉप: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:मुख्य] ​​संदेश स्टोर/चेकहेल्थ/जर्नल/झूठा हटाएं
2017-01-10 09:37:09.818 LL_I D [1:मुख्य] ​​संदेशस्टोर/चेकहेल्थ/वापस/झूठा हटाएं
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list Chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list Chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list Chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 एलएल_आई डी [1:मुख्य] ​​संदेश स्टोर/चेकडीबी/संस्करण 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 एलएल_आई डी [1:मुख्य] ​​संदेशस्टोर/कैनक्वेरी/गिनती 1
2017-01-10 09:37:09.847 LL_I D [1:मुख्य] ​​संदेशस्टोर/कैनक्वेरी/टाइमर/स्टॉप: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | बिताया गया समय:8
2017-01-10 09:37:09.848 एलएल_आई डी [529:व्हाट्सएप वर्कर #3] मीडिया-स्टेट-मैनेजर/रिफ्रेश-मीडिया-स्टेट/आंतरिक-स्टोरेज उपलब्ध:1,345,622,016 कुल:5,687,922,688

• निर्देशिका '/डेटा/मीडिया/0/व्हाट्सएप/मीडिया/व्हाट्सएप ऑडियो/'. प्राप्त ऑडियो फ़ाइलें शामिल हैं।
• निर्देशिका '/डेटा/मीडिया/0/व्हाट्सएप/मीडिया/व्हाट्सएप ऑडियो/भेजा गया/'. इसमें भेजी गई ऑडियो फ़ाइलें शामिल हैं.
• निर्देशिका '/डेटा/मीडिया/0/व्हाट्सएप/मीडिया/व्हाट्सएप छवियां/'. परिणामी ग्राफिक फ़ाइलें शामिल हैं।
• निर्देशिका '/डेटा/मीडिया/0/व्हाट्सएप/मीडिया/व्हाट्सएप छवियां/भेजे गए/'. भेजी गई ग्राफ़िक फ़ाइलें शामिल हैं.
• निर्देशिका '/डेटा/मीडिया/0/व्हाट्सएप/मीडिया/व्हाट्सएप वीडियो/'. प्राप्त वीडियो फ़ाइलें शामिल हैं.
• निर्देशिका '/डेटा/मीडिया/0/व्हाट्सएप/मीडिया/व्हाट्सएप वीडियो/भेजा गया/'. भेजी गई वीडियो फ़ाइलें शामिल हैं.
• निर्देशिका '/डेटा/मीडिया/0/व्हाट्सएप/मीडिया/व्हाट्सएप प्रोफ़ाइल फ़ोटो/'. इसमें व्हाट्सएप अकाउंट के मालिक से जुड़ी ग्राफिक फाइलें शामिल हैं।
• अपने एंड्रॉइड स्मार्टफोन पर मेमोरी स्पेस बचाने के लिए, कुछ व्हाट्सएप डेटा को एसडी कार्ड पर स्टोर किया जा सकता है। एसडी कार्ड पर, रूट डायरेक्टरी में, एक डायरेक्टरी होती है 'व्हाट्सएप', जहां इस कार्यक्रम की निम्नलिखित कलाकृतियां पाई जा सकती हैं:

  

• निर्देशिका '।शेयर करना' ('/mnt/sdcard/WhatsApp/.Share/'). इसमें उन फ़ाइलों की प्रतियां शामिल हैं जिन्हें अन्य व्हाट्सएप उपयोगकर्ताओं के साथ साझा किया गया है।
• निर्देशिका '।कचरा' ('/mnt/sdcard/WhatsApp/.trash/'). हटाई गई फ़ाइलें शामिल हैं.
• निर्देशिका 'डेटाबेस' ('/mnt/sdcard/WhatsApp/डेटाबेस/'). एन्क्रिप्टेड बैकअप शामिल हैं। यदि फ़ाइल मौजूद है तो उन्हें डिक्रिप्ट किया जा सकता है 'चाबी', विश्लेषित डिवाइस की मेमोरी से निकाला गया।

  फ़ाइलें एक उपनिर्देशिका में स्थित होती हैं 'डेटाबेस':

  

• निर्देशिका 'आधा' ('/mnt/sdcard/WhatsApp/मीडिया/'). उपनिर्देशिकाएँ शामिल हैं 'वॉलपेपर', 'व्हाट्सएप ऑडियो', 'व्हाट्सएप छवियां', 'व्हाट्सएप प्रोफ़ाइल फ़ोटो', 'व्हाट्सएप वीडियो', 'व्हाट्सएप वॉयस नोट्स', जिसमें प्राप्त और प्रसारित मल्टीमीडिया फ़ाइलें (ग्राफिक्स फ़ाइलें, वीडियो फ़ाइलें, ध्वनि संदेश, व्हाट्सएप खाता स्वामी की प्रोफ़ाइल से जुड़ी तस्वीरें, वॉलपेपर) शामिल हैं।
• निर्देशिका 'प्रोफ़ाइल चित्र' ('/mnt/sdcard/WhatsApp/प्रोफ़ाइल चित्र/'). इसमें व्हाट्सएप अकाउंट के मालिक की प्रोफाइल से जुड़ी ग्राफिक फाइलें शामिल हैं।
• कभी-कभी एसडी कार्ड पर एक निर्देशिका मौजूद हो सकती है 'फ़ाइलें' ('/mnt/sdcard/WhatsApp/फ़ाइलें/'). इस निर्देशिका में फ़ाइलें हैं जो प्रोग्राम सेटिंग्स और उपयोगकर्ता प्राथमिकताओं को संग्रहीत करती हैं।

मोबाइल उपकरणों के कुछ मॉडलों में डेटा भंडारण की विशेषताएं

एंड्रॉइड ओएस चलाने वाले मोबाइल उपकरणों के कुछ मॉडल व्हाट्सएप कलाकृतियों को एक अलग स्थान पर संग्रहीत कर सकते हैं। ऐसा मोबाइल डिवाइस के सिस्टम सॉफ़्टवेयर द्वारा एप्लिकेशन डेटा के संग्रहण स्थान में परिवर्तन के कारण होता है। उदाहरण के लिए, Xiaomi मोबाइल उपकरणों में दूसरा कार्यक्षेत्र ("सेकेंडस्पेस") बनाने का एक फ़ंक्शन होता है। जब यह फ़ंक्शन सक्रिय होता है, तो डेटा का स्थान बदल जाता है। इसलिए, यदि एंड्रॉइड ओएस चलाने वाले नियमित मोबाइल डिवाइस में उपयोगकर्ता डेटा निर्देशिका में संग्रहीत किया जाता है '/डेटा/उपयोगकर्ता/0/' (जो सामान्य का संदर्भ है '/डेटा/डेटा/'), फिर दूसरे कार्यक्षेत्र में एप्लिकेशन डेटा को निर्देशिका में संग्रहीत किया जाता है '/डेटा/उपयोगकर्ता/10/'. अर्थात्, फ़ाइल स्थान के उदाहरण का उपयोग करना 'wa.db':

• Android OS चलाने वाले एक नियमित स्मार्टफ़ोन में: /data/user/0/com.whatsapp/databases/wa.db' (जो समतुल्य है '/data/data/com.whatsapp/databases/wa.db');
• Xiaomi स्मार्टफोन के दूसरे कार्यक्षेत्र में: '/data/user/10/com.whatsapp/databases/wa.db'.

iOS डिवाइस में WhatsApp कलाकृतियाँ

एंड्रॉइड ओएस के विपरीत, iOS में व्हाट्सएप एप्लिकेशन डेटा को बैकअप कॉपी (आईट्यून्स बैकअप) में स्थानांतरित किया जाता है। इसलिए, इस एप्लिकेशन से डेटा निकालने के लिए फ़ाइल सिस्टम को निकालने या जांच के तहत डिवाइस की भौतिक मेमोरी डंप बनाने की आवश्यकता नहीं है। अधिकांश प्रासंगिक जानकारी डेटाबेस में निहित है 'चैटस्टोरेज.एसक्लाइट', जो पथ के किनारे स्थित है: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (कुछ प्रोग्रामों में यह पथ इस प्रकार दिखाई देता है 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').

संरचना 'चैटस्टोरेज.एसक्लाइट':

'ChatStorage.sqlite' डेटाबेस में सबसे अधिक जानकारीपूर्ण तालिकाएँ हैं 'ज़्वामेसेज' и 'ज़वामीडियाआइटम'.

टेबल उपस्थिति 'ज़्वामेसेज':

तालिका 'ZWAMESSAGE' की संरचना

कार्यक्षेत्र नाम	मूल्य
Z_PK	रिकॉर्ड अनुक्रम संख्या (एसक्यूएल तालिका में)
Z_ENT	तालिका पहचानकर्ता का मान '9' है
Z_OPT	अज्ञात, आमतौर पर '1' से '6' तक मान होते हैं
Zबाल संदेश डिलीवर किया गया	अज्ञात, आमतौर पर मान '0' होता है
Zबच्चों के संदेशखेले गएगिनती	अज्ञात, आमतौर पर मान '0' होता है
Zबच्चों के संदेशपढ़ने की गिनती	अज्ञात, आमतौर पर मान '0' होता है
ZDATAआइटमसंस्करण	अज्ञात, आमतौर पर मान '3' होता है, संभवतः एक टेक्स्ट संदेश संकेतक
ZDOCID	अज्ञात
ज़ेनक्रेट्रीकाउंट	अज्ञात, आमतौर पर मान '0' होता है
Zफ़िल्टरप्राप्तकर्तागणना	अज्ञात, आमतौर पर मान '0', '2', '256' होते हैं
ZISFROMME	संदेश दिशा: '0' - इनकमिंग, '1' - आउटगोइंग
Zmessageerrrorstatus	संदेश प्रेषण स्थिति. यदि संदेश भेजा/प्राप्त किया गया है, तो उसका मान '0' है
ज़मैसेजटाइप	प्रेषित किये जा रहे संदेश का प्रकार
ZSORT	अज्ञात
Zस्पॉटलाइटस्थिति	अज्ञात
ज़स्टारड	अज्ञात, उपयोग नहीं किया गया
ZChatSession	अज्ञात
ज़ग्रुपसदस्य	अज्ञात, उपयोग नहीं किया गया
ZLASTSESSION	अज्ञात
ZMEDIAITEM	अज्ञात
ZMESSAGEINFO	अज्ञात
ज़ेडपेरेंटमैसेज	अज्ञात, उपयोग नहीं किया गया
ZMESSAGEDATE	ओएस एक्स एपोच टाइम प्रारूप में टाइमस्टैम्प
ZSENTDATE	वह समय जब संदेश OS X Epoch Time प्रारूप में भेजा गया था
ZFROMJID	व्हाट्सएप प्रेषक आईडी
ZMEDIASECTIONID	इसमें मीडिया फ़ाइल भेजे जाने का वर्ष और महीना शामिल है
ZPHASH	अज्ञात, उपयोग नहीं किया गया
ZPUSHPAME	उस संपर्क का नाम जिसने मीडिया फ़ाइल को UTF-8 प्रारूप में भेजा है
ZSTANZID	अद्वितीय संदेश पहचानकर्ता
ज़ेडटेक्स्ट	संदेश शब्द
ZTOJID	प्राप्तकर्ता की व्हाट्सएप आईडी
ऑफसेट	विस्थापन

टेबल उपस्थिति 'ज़वामीडियाआइटम':

तालिका 'ZWAMEDIAITEM' की संरचना

कार्यक्षेत्र नाम	मूल्य
Z_PK	रिकॉर्ड अनुक्रम संख्या (एसक्यूएल तालिका में)
Z_ENT	तालिका पहचानकर्ता का मान '8' है
Z_OPT	अज्ञात, आमतौर पर '1' से '3' तक मान होते हैं।
ज़क्लाउडस्थिति	यदि फ़ाइल लोड की गई है तो इसमें '4' मान शामिल है।
Zफ़ाइलआकार	डाउनलोड की गई फ़ाइलों के लिए फ़ाइल की लंबाई (बाइट्स में) शामिल है
ज़मीडियाओरिजिन	अज्ञात, आमतौर पर इसका मान '0' होता है
ZMOVIEDURATION	पीडीएफ फाइलों के लिए मीडिया फ़ाइल की अवधि में दस्तावेज़ के पृष्ठों की संख्या शामिल हो सकती है
ज़मेसेज	इसमें एक क्रमांक संख्या है (संख्या 'Z_PK' कॉलम में दर्शाई गई संख्या से भिन्न है)
ज़ैस्पेक्ट्रैटियो	पक्षानुपात, उपयोग नहीं किया गया, आमतौर पर '0' पर सेट होता है
ज़ैकुरेसी	अज्ञात, आमतौर पर इसका मान '0' होता है
ज़्लाटिट्यूड	पिक्सेल में चौड़ाई
Zlongtitude	ऊंचाई पिक्सेल में
ZMEDIAURLDATE	ओएस एक्स एपोच टाइम प्रारूप में टाइमस्टैम्प
ज़ौथोर्नेम	लेखक (दस्तावेज़ों के लिए, फ़ाइल नाम शामिल हो सकता है)
Zसंग्रहनाम	उपयोग नहीं किया
ZMEDIALOCALPATH	डिवाइस फ़ाइल सिस्टम में फ़ाइल नाम (पथ सहित)।
ZMEDIAURL	वह URL जहां मीडिया फ़ाइल स्थित थी. यदि कोई फ़ाइल एक ग्राहक से दूसरे ग्राहक को स्थानांतरित की गई थी, तो इसे एन्क्रिप्ट किया गया था और इसके एक्सटेंशन को स्थानांतरित फ़ाइल के एक्सटेंशन के रूप में दर्शाया जाएगा - .enc
ZTHUMBNAILLOCALPATH	डिवाइस फ़ाइल सिस्टम में फ़ाइल थंबनेल का पथ
Zशीर्षक	फ़ाइल शीर्षलेख
ZVCARDNAME	मीडिया फ़ाइल का हैश; फ़ाइल को किसी समूह में स्थानांतरित करते समय, इसमें प्रेषक पहचानकर्ता शामिल हो सकता है
ZVCARDSTRING	स्थानांतरित की जा रही फ़ाइल के प्रकार के बारे में जानकारी शामिल है (उदाहरण के लिए, छवि/जेपीईजी); किसी फ़ाइल को किसी समूह में स्थानांतरित करते समय, इसमें प्राप्तकर्ता का पहचानकर्ता शामिल हो सकता है
ZXMPPTHUMBPATH	डिवाइस फ़ाइल सिस्टम में फ़ाइल थंबनेल का पथ
ZMEDIAKEY	अज्ञात, संभवतः एन्क्रिप्टेड फ़ाइल को डिक्रिप्ट करने की कुंजी शामिल है।
ज़ेमेटाडेटा	प्रेषित संदेश का मेटाडेटा
ओफ़्सेट	विस्थापन

अन्य दिलचस्प डेटाबेस तालिकाएँ 'चैटस्टोरेज.एसक्लाइट' हैं:

• 'ZWAPROFILEPUSHNAME'. संपर्क नाम के साथ व्हाट्सएप आईडी का मिलान;
• 'ZWAPROFILEPICTUREITEM'. संपर्क अवतार के साथ व्हाट्सएप आईडी का मिलान;
• 'Z_PRIMARYKEY'. तालिका में इस डेटाबेस के बारे में सामान्य जानकारी शामिल है, जैसे संग्रहीत संदेशों की कुल संख्या, चैट की कुल संख्या, आदि।

इसके अलावा, आईओएस चलाने वाले मोबाइल डिवाइस पर व्हाट्सएप की जांच करते समय, आपको निम्नलिखित फाइलों पर ध्यान देना चाहिए:

• फ़ाइल 'BackedUpKeyValue.sqlite'. इसमें क्रिप्टोग्राफ़िक कुंजियाँ और अन्य डेटा शामिल हैं जो खाता स्वामी की पहचान करने के लिए आवश्यक हैं। पथ के किनारे स्थित: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• फ़ाइल 'संपर्कV2.sqlite'. इसमें उपयोगकर्ता के संपर्कों के बारे में जानकारी शामिल है, जैसे पूरा नाम, फ़ोन नंबर, संपर्क स्थिति (पाठ रूप में), व्हाट्सएप आईडी, आदि। पथ के किनारे स्थित: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• फ़ाइल 'उपभोक्ता_संस्करण'. इसमें इंस्टॉल किए गए व्हाट्सएप एप्लिकेशन का वर्जन नंबर शामिल है। पथ के किनारे स्थित: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• फ़ाइल 'current_wallpaper.jpg'. वर्तमान व्हाट्सएप पृष्ठभूमि वॉलपेपर शामिल है। पथ के किनारे स्थित: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. एप्लिकेशन के पुराने संस्करण फ़ाइल का उपयोग करते हैं 'वॉलपेपर', जो पथ के किनारे स्थित है: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
• फ़ाइल 'blockedcontacts.dat'. अवरुद्ध संपर्कों के बारे में जानकारी शामिल है. पथ के किनारे स्थित: /निजी/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• फ़ाइल 'pw.dat'. एक एन्क्रिप्टेड पासवर्ड शामिल है. पथ के किनारे स्थित: '/निजी/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
• फ़ाइल 'net.whatsapp.WhatsApp.plist' (या फ़ाइल 'group.net.whatsapp.WhatsApp.shared.plist'). इसमें आपके व्हाट्सएप अकाउंट प्रोफ़ाइल के बारे में जानकारी शामिल है। फ़ाइल पथ के साथ स्थित है: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

फ़ाइल की सामग्री 'group.net.whatsapp.WhatsApp.shared.plist'
आपको निम्नलिखित निर्देशिकाओं पर भी ध्यान देने की आवश्यकता है:

• निर्देशिका '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. इसमें संपर्कों, समूहों (एक्सटेंशन वाली फ़ाइलें) के थंबनेल शामिल हैं अंगूठा), संपर्क अवतार, व्हाट्सएप खाता स्वामी अवतार (फ़ाइल 'फोटो.जेपीजी').
• निर्देशिका '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. इसमें मल्टीमीडिया फ़ाइलें और उनके थंबनेल शामिल हैं
• निर्देशिका '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. इसमें प्रोग्राम ऑपरेशन लॉग (फ़ाइल) शामिल है 'कॉल.लॉग') और प्रोग्राम ऑपरेशन लॉग की बैकअप प्रतियां (फ़ाइल 'कॉल.बैकअप.लॉग').
• निर्देशिका '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. इसमें स्टिकर (प्रारूप में फ़ाइलें) शामिल हैं '.वेबपी').
• निर्देशिका '/निजी/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. प्रोग्राम ऑपरेशन लॉग शामिल हैं।

विंडोज़ पर व्हाट्सएप कलाकृतियाँ

विंडोज़ पर व्हाट्सएप कलाकृतियाँ कई स्थानों पर पाई जा सकती हैं। सबसे पहले, ये निष्पादन योग्य और सहायक प्रोग्राम फ़ाइलों वाली निर्देशिकाएं हैं (विंडोज 8/10 के लिए):

• 'सी:प्रोग्राम फ़ाइलें (x86)व्हाट्सएप'
• 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल% AppDataLocalWhatsApp'
• 'सी: उपयोगकर्ता% उपयोगकर्ता प्रोफ़ाइल% AppDataLocalVirtualStore प्रोग्राम फ़ाइलें (x86)व्हाट्सएप'

सूची में 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल% AppDataLocalWhatsApp' लॉग फ़ाइल स्थित है 'SquirrelSetup.log', जिसमें अपडेट की जांच करने और प्रोग्राम इंस्टॉल करने के बारे में जानकारी शामिल है।

सूची में 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल% AppDataRoamingWhatsApp' कई उपनिर्देशिकाएँ हैं:

फ़ाइल 'मुख्य-प्रक्रिया.लॉग' इसमें व्हाट्सएप प्रोग्राम के संचालन के बारे में जानकारी शामिल है।

उपनिर्देशिका 'डेटाबेस' एक फ़ाइल शामिल है 'डेटाबेस.डीबी', लेकिन इस फ़ाइल में चैट या संपर्कों के बारे में कोई जानकारी नहीं है।

फोरेंसिक दृष्टिकोण से सबसे दिलचस्प निर्देशिका में स्थित फ़ाइलें हैं 'कैश'. ये मूल रूप से नामित फ़ाइलें हैं 'एफ_*******' (जहाँ * 0 से 9 तक की एक संख्या है) जिसमें एन्क्रिप्टेड मल्टीमीडिया फ़ाइलें और दस्तावेज़ हैं, लेकिन उनमें अनएन्क्रिप्टेड फ़ाइलें भी हैं। विशेष रुचि वाली फ़ाइलें हैं 'डेटा_0', 'डेटा_1', 'डेटा_2', 'डेटा_3', उसी उपनिर्देशिका में स्थित है। फ़ाइलें 'डेटा_0', 'डेटा_1', 'डेटा_3' प्रेषित एन्क्रिप्टेड मल्टीमीडिया फ़ाइलों और दस्तावेज़ों के बाहरी लिंक शामिल हैं।

फ़ाइल 'data_1' में निहित जानकारी का उदाहरण
फ़ाइल भी करें 'डेटा_3' इसमें ग्राफ़िक फ़ाइलें हो सकती हैं.

फ़ाइल 'डेटा_2' इसमें संपर्क अवतार शामिल हैं (फ़ाइल हेडर द्वारा खोजकर पुनर्स्थापित किया जा सकता है)।

फ़ाइल में अवतार शामिल हैं 'डेटा_2':

इस प्रकार, चैट स्वयं कंप्यूटर की मेमोरी में नहीं पाई जा सकती हैं, लेकिन आप पा सकते हैं:

• मल्टीमीडिया फ़ाइलें;
• व्हाट्सएप के माध्यम से प्रेषित दस्तावेज़;
• खाता स्वामी के संपर्कों के बारे में जानकारी.

MacOS पर WhatsApp कलाकृतियाँ

MacOS में आप Windows OS के समान व्हाट्सएप कलाकृतियों के प्रकार पा सकते हैं।

प्रोग्राम फ़ाइलें निम्नलिखित निर्देशिकाओं में स्थित हैं:

• 'सी:एप्लिकेशन्सव्हाट्सएप.एप'
• 'सी:एप्लिकेशन._व्हाट्सएप.एप'
• 'सी: उपयोगकर्ता% उपयोगकर्ता प्रोफ़ाइल% लाइब्रेरी प्राथमिकताएँ'
• 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%लाइब्रेरीलॉग्सव्हाट्सएप'
• 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%लाइब्रेरीसेव्ड एप्लिकेशन स्टेटव्हाट्सएप.सेव्डस्टेट'
• 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%लाइब्रेरीएप्लिकेशन स्क्रिप्ट'
• 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%लाइब्रेरीएप्लिकेशन सपोर्टक्लाउडडॉक्स'
• 'C:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%LibraryApplication SupportWhatsApp.ShipIt'
• 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
• 'सी: उपयोगकर्ता% उपयोगकर्ता प्रोफ़ाइल% लाइब्रेरी मोबाइल दस्तावेज़ <टेक्स्ट वेरिएबल> व्हाट्सएप अकाउंट'
  इस निर्देशिका में उपनिर्देशिकाएँ हैं जिनके नाम व्हाट्सएप खाते के मालिक से जुड़े फ़ोन नंबर हैं।
• 'C:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%LibraryCachesWhatsApp.ShipIt'
  इस निर्देशिका में प्रोग्राम को स्थापित करने के बारे में जानकारी है।
• 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%पिक्चर्सिफोटो लाइब्रेरी.फोटोलाइब्रेरीमास्टर्स', 'C:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%PicturesiPhoto लाइब्रेरी.फोटोलाइब्रेरीथंबनेल'
  इन निर्देशिकाओं में प्रोग्राम की सेवा फ़ाइलें हैं, जिनमें व्हाट्सएप संपर्कों की तस्वीरें और थंबनेल शामिल हैं।
• 'सी: उपयोगकर्ता% उपयोगकर्ता प्रोफ़ाइल% लाइब्रेरी कैश व्हाट्सएप'
  इस निर्देशिका में कई SQLite डेटाबेस शामिल हैं जिनका उपयोग डेटा कैशिंग के लिए किया जाता है।
• 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%लाइब्रेरीएप्लिकेशन समर्थनव्हाट्सएप'
  इस निर्देशिका में कई उपनिर्देशिकाएँ हैं:

  
  सूची में 'सी:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%लाइब्रेरीएप्लिकेशन समर्थनव्हाट्सएप कैश' फ़ाइलें हैं 'डेटा_0', 'डेटा_1', 'डेटा_2', 'डेटा_3' और नाम वाली फ़ाइलें 'एफ_*******' (जहाँ * 0 से 9 तक की संख्या है)। इन फ़ाइलों में क्या जानकारी है, इसकी जानकारी के लिए विंडोज़ पर व्हाट्सएप कलाकृतियाँ देखें।

  सूची में 'C:उपयोगकर्ता%उपयोगकर्ता प्रोफ़ाइल%LibraryApplication SupportWhatsAppIndexedDB' इसमें मल्टीमीडिया फ़ाइलें हो सकती हैं (फ़ाइलों में कोई एक्सटेंशन नहीं है)।

  फ़ाइल 'मुख्य-प्रक्रिया.लॉग' इसमें व्हाट्सएप प्रोग्राम के संचालन के बारे में जानकारी शामिल है।

सूत्रों का कहना है

1. कोसिमो एंग्लानो द्वारा, 2014 में एंड्रॉइड स्मार्टफ़ोन पर व्हाट्सएप मैसेंजर का फोरेंसिक विश्लेषण।
2. व्हाट्सएप फोरेंसिक: अहमद प्रतामा द्वारा एंड्रॉइड और आईओएस एप्लिकेशन के आधार पर डेटा उपलब्ध कराने के लिए एक विस्तृत प्रणाली, 2014।

इस शृंखला के निम्नलिखित लेखों में:

एन्क्रिप्टेड व्हाट्सएप डेटाबेस का डिक्रिप्शनएक लेख जो इस बारे में जानकारी प्रदान करेगा कि व्हाट्सएप एन्क्रिप्शन कुंजी कैसे उत्पन्न होती है और व्यावहारिक उदाहरण दिखाते हैं कि इस एप्लिकेशन के एन्क्रिप्टेड डेटाबेस को कैसे डिक्रिप्ट किया जाए।
क्लाउड स्टोरेज से व्हाट्सएप डेटा निकालनाएक लेख जिसमें हम आपको बताएंगे कि व्हाट्सएप डेटा क्लाउड में कौन सा संग्रहीत है और क्लाउड स्टोरेज से इस डेटा को पुनर्प्राप्त करने के तरीकों का वर्णन करेगा।
व्हाट्सएप डेटा निष्कर्षण: व्यावहारिक उदाहरणएक लेख जो चरण दर चरण वर्णन करेगा कि कौन से प्रोग्राम और विभिन्न उपकरणों से व्हाट्सएप डेटा कैसे निकाला जाए।

स्रोत: www.habr.com