WhatsApp nan pla men ou: ki kote ak ki jan ou ka jwenn zafè legal?

Si ou vle konnen ki kalite zafè legal WhatsApp ki egziste sou diferan sistèm opere ak ki kote egzakteman yo ka jwenn, Lè sa a, sa a se plas la pou ou. Atik sa a soti nan yon espesyalis nan laboratwa a forensics konpitè Group-IB Igor Mikhailov kòmanse yon seri posts sou WhatsApp forensics ak ki enfòmasyon yo ka jwenn nan analize aparèy la.

Annou imedyatman sonje ke diferan sistèm operasyon magazen diferan kalite zafè WhatsApp, epi si yon chèchè ka ekstrè sèten kalite done WhatsApp soti nan yon aparèy, sa pa vle di ke kalite menm jan an nan done yo ka ekstrè soti nan yon lòt aparèy. Pou egzanp, si yo retire yon inite sistèm ki kouri Windows OS, chat WhatsApp yo pral pwobableman pa jwenn sou disk li yo (ak eksepsyon de kopi backup nan aparèy iOS, ki ka jwenn sou menm kondui yo). Sezi a nan laptops ak aparèy mobil pral gen karakteristik pwòp li yo. Ann pale sou sa a an plis detay.

WhatsApp zafè nan aparèy android

Yo nan lòd yo ekstrè zafè WhatsApp soti nan yon aparèy Android, chèchè a dwe gen dwa super-itilize ('rasin') sou aparèy ki anba etid la oswa ou kapab retire yon pil fatra fizik nan memwa aparèy la, oswa sistèm dosye li (pa egzanp, lè l sèvi avèk frajilite lojisyèl nan yon aparèy mobil espesifik).

Dosye aplikasyon yo sitiye nan memwa telefòn nan nan seksyon kote done itilizatè yo sove. Kòm yon règ, yo rele seksyon sa a 'data itilizatè'. Sou-répertoires ak dosye pwogram yo sitiye sou chemen an: '/data/data/com.whatsapp/'.

Fichye prensipal yo ki gen zafè legal WhatsApp nan eksplwatasyon android a se baz done 'wa.db' и 'msgstore.db'.

Nan baz done a 'wa.db' gen lis kontak konplè yon itilizatè WhatsApp, ki gen ladan nimewo telefòn, non ekspozisyon, timestamps ak nenpòt lòt enfòmasyon yo bay pandan y ap anrejistre pou WhatsApp. File 'wa.db' ki sitiye sou chemen an: '/data/data/com.whatsapp/databases/' epi li gen estrikti sa a:

Tablo ki pi enteresan nan baz done a 'wa.db' pou chèchè yo se:

• 'wa_contacts'
  Tablo sa a gen enfòmasyon kontak: WhatsApp id kontak, enfòmasyon sou sitiyasyon, non itilizatè a montre, timestamps, elatriye.

  Aparans tab la:

  
  Estrikti tab la

  Non jaden	Valè
  _id	nimewo sekans dosye (nan tab SQL)
  jid	WhatsApp kontak ID, ekri nan fòma <phone number>@s.whatsapp.net
  se_itilizatè_whatsapp	gen '1' si kontak la koresponn ak yon itilizatè WhatsApp aktyèl, '0' otreman
  sitiyasyon	gen tèks ki parèt nan estati kontak la
  status_timestamp	gen yon timestamp nan fòma Unix Epoch Time (ms).
  nimewo	nimewo telefòn ki asosye ak kontak la
  raw_contact_id	kontakte nimewo seri
  display_name	kontak ekspozisyon non
  phone_type	kalite telefòn
  phone_label	etikèt ki asosye ak nimewo kontak la
  unseen_msg_count	kantite mesaj yon kontak te voye men moun k ap resevwa a pa t li
  foto_ts	gen yon timestamp nan fòma Unix Epoch Time
  thumb_ts	gen yon timestamp nan fòma Unix Epoch Time
  foto_id_timestamp	gen yon timestamp nan fòma Unix Epoch Time (ms).
  bay_non	valè jaden matche ak 'display_name' pou chak kontak
  wa_name	Non kontak WhatsApp (non an espesifye nan pwofil kontak la parèt)
  sort_name	non kontak yo itilize nan operasyon sòt
  tinon	tinon kontak la nan WhatsApp (tinon ki espesifye nan pwofil kontak la parèt)
  konpayi	konpayi (konpayi ki espesifye nan pwofil kontak la parèt)
  tit	tit (Madanm/Mesye; tit ki konfigire nan pwofil kontak la parèt)
  konpanse	patipri

• 'sqlite_sequence'
  Tablo sa a gen enfòmasyon sou kantite kontak;
• 'android_metadata'
  Tablo sa a gen enfòmasyon sou lokalizasyon lang WhatsApp.

Nan baz done a 'msgstore.db' gen enfòmasyon sou mesaj voye yo, tankou nimewo kontak, tèks mesaj, estati mesaj, timestamps, detay sou dosye transfere ki enkli nan mesaj, elatriye. File 'msgstore.db' ki sitiye sou chemen an: '/data/data/com.whatsapp/databases/' epi li gen estrikti sa a:

Tablo ki pi enteresan nan dosye a 'msgstore.db' pou chèchè yo se:

• 'sqlite_sequence'
  Tablo sa a gen enfòmasyon jeneral sou baz done sa a, tankou kantite total mesaj ki estoke, kantite total chat, elatriye.

  Aparans tab la:

  

• 'message_fts_content'
  Gen tèks mesaj yo voye yo.

  Aparans tab la:

  

• 'mesaj'
  Tablo sa a gen enfòmasyon tankou nimewo kontak, tèks mesaj, estati mesaj, timestamps, enfòmasyon sou dosye transfere ki enkli nan mesaj yo.

  Aparans tab la:

  
  Estrikti tab la

  Non jaden	Valè
  _id	nimewo sekans dosye (nan tab SQL)
  key_remote_jid	WhatsApp ID patnè kominikasyon
  kle_nan_mwen	direksyon mesaj: '0' - fèk ap rantre, '1' - sortan
  key_id	idantifyan mesaj inik
  sitiyasyon	estati mesaj: '0' - delivre, '4' - tann sou sèvè a, '5' - resevwa nan destinasyon, '6' - mesaj kontwòl, '13' - mesaj ouvè pa moun k ap resevwa a (li)
  bezwen_pouse	gen valè '2' si se yon mesaj emisyon, otreman gen '0'
  done	tèks mesaj (lè paramèt 'media_wa_type' se '0')
  timestamp	содержит временную метку в формате Unix Epoch Time (ms), значение берется из часов устройства
  medya_url	gen URL dosye transfere a (lè paramèt 'media_wa_type' se '1', '2', '3')
  media_mime_type	Kalite MIME fichye transfere a (lè paramèt 'media_wa_type' egal a '1', '2', '3')
  media_wa_type	kalite mesaj: '0' - tèks, '1' - fichye grafik, '2' - fichye odyo, '3' - fichye videyo, '4' - kat kontak, '5' - geodata
  media_size	gwosè fichye transfere a (lè paramèt 'media_wa_type' se '1', '2', '3')
  media_name	non fichye transfere a (lè paramèt 'media_wa_type' se '1', '2', '3')
  media_caption	Gen mo 'odyo', 'videyo' pou valè korespondan paramèt 'media_wa_type' (lè paramèt 'media_wa_type' se '1', '3')
  media_hash	Base64 kode hash nan fichye transmèt la, kalkile lè l sèvi avèk algorithm HAS-256 (lè paramèt 'media_wa_type' egal a '1', '2', '3')
  media_duration	dire an segonn pou fichye medya a (lè 'media_wa_type' se '1', '2', '3')
  orijin	gen valè '2' si se yon mesaj emisyon, otreman gen '0'
  latitid	geodata: latitid (lè paramèt 'media_wa_type' se '5')
  lonjitid	geodata: lonjitid (lè paramèt 'media_wa_type' se '5')
  thumb_image	enfòmasyon sèvis yo
  resous_remote	ID moun k ap voye (pou gwoup chat sèlman)
  resevwa_timestamp	tan nan resevwa, gen yon timestamp nan fòma Unix Epoch Time (ms), valè a pran nan revèy aparèy la (lè paramèt 'key_from_me' gen '0', '-1' oswa lòt valè)
  send_timestamp	pa itilize, anjeneral gen valè '-1'
  receipt_server_timestamp	tan sèvè santral la resevwa, gen yon timestamp nan fòma Unix Epoch Time (ms), valè a pran nan revèy aparèy la (lè paramèt 'key_from_me' gen '1', '-1' oswa lòt valè.
  receipt_device_timestamp	lè mesaj la te resevwa pa yon lòt abònen, gen yon timestamp nan fòma Unix Epoch Time (ms), valè a pran nan revèy aparèy la (lè paramèt 'key_from_me' gen '1', '-1' oswa yon lòt valè.
  li_device_timestamp	время открытия (чтения) сообщения, содержит временную метку в формате Unix Epoch Time (ms), значение берется из часов устройства
  played_device_timestamp	lè lèktur mesaj, gen yon timestamp nan fòma Unix Epoch Time (ms), valè a pran nan revèy aparèy la.
  raw_data	miniature fichye transfere a (lè paramèt 'media_wa_type' se '1' oswa '3')
  recipient_count	kantite moun ki resevwa (pou mesaj emisyon)
  patisipan_hash	itilize lè transmèt mesaj ak geodata
  joue	pa itilize
  quoted_row_id	enkoni, anjeneral gen valè '0'
  mansyone_jids	pa itilize
  multicast_id	pa itilize
  konpanse	patipri

  Lis jaden sa yo pa konplè. Pou diferan vèsyon WhatsApp, kèk jaden ka prezan oswa absan. Anplis de sa, jaden yo ka prezan 'media_enc_hash', 'edit_version', 'payment_transaction_id' elatriye

• 'messages_thumbnails'
  Tablo sa a gen enfòmasyon sou imaj transfere ak timestamps. Nan kolòn 'timestamp', lè a endike nan fòma Unix Epoch Time (ms).
• 'chat_list'
  Tablo sa a gen enfòmasyon sou chat.

  Aparans tab la:

  

Epitou, lè w ap egzamine WhatsApp sou yon aparèy mobil ki kouri Android, ou ta dwe peye atansyon sou dosye sa yo:

• dosye 'msgstore.db.cryptXX' (kote XX se youn oubyen de chif ant 0 a 12, pou egzanp, msgstore.db.crypt12). Gen yon sovgad chiffres nan mesaj WhatsApp (fichye sovgad msgstore.db). Fichye (yo) 'msgstore.db.cryptXX' ki sitiye sou chemen an: '/data/media/0/WhatsApp/Databases/' (vityèl kat SD), '/mnt/sdcard/WhatsApp/Baz done/ (Fizik SD kat)'.
• dosye 'kle'. Gen yon kle kriptografik. Sitiye sou chemen an: '/data/data/com.whatsapp/files/'. Yo itilize pou dechifre sovgad WhatsApp chiffres.
• dosye 'com.whatsapp_preferences.xml'. Gen enfòmasyon sou pwofil kont WhatsApp ou a. Fichye a sitiye sou chemen an: '/data/data/com.whatsapp/shared_prefs/'.

  Fragman kontni dosye

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• dosye 'registration.RegisterPhone.xml'. Gen enfòmasyon sou nimewo telefòn ki asosye ak kont WhatsApp la. Fichye a sitiye sou chemen an: '/data/data/com.whatsapp/shared_prefs/'.

  Fichye kontni

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• dosye 'axolotl.db'. Gen kle kriptografik ak lòt done ki nesesè pou idantifye pwopriyetè kont la. Sitiye sou chemen an: '/data/data/com.whatsapp/databases/'.
• dosye 'chatsettings.db'. Gen enfòmasyon konfigirasyon aplikasyon an.
• dosye 'wa.db'. Gen detay kontak. Yon trè enteresan (ki soti nan yon aspè legal) ak baz done enfòmatif. Li ka genyen enfòmasyon detaye sou kontak efase.

Ou bezwen tou peye atansyon sou anyè sa yo:

• Anyè '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Gen dosye grafik transfere.
• Anyè '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. Gen mesaj vwa nan dosye fòma .OPUS.
• Anyè '/data/data/com.whatsapp/cache/Profile Pictures/'. Gen dosye grafik - imaj nan kontak.
• Anyè '/data/data/com.whatsapp/files/Avatars/'. Gen fichye grafik - imaj miniature kontak yo. Fichye sa yo gen yon ekstansyon '.j' men yo se fichye imaj JPEG (JPG).
• Anyè '/data/data/com.whatsapp/files/Avatars/'. Gen dosye grafik - yon imaj ak yon ti miniature nan imaj la mete kòm yon avatar pa mèt kay la kont.
• Anyè '/data/data/com.whatsapp/files/Logs/'. Li genyen ladan li jounal operasyon pwogram lan (fichye 'whatsapp.log') ak kopi sovgad nan mòso bwa operasyon pwogram nan (fichye ki gen non nan fòma whatsapp-yyyy-mm-dd.1.log.gz).

Dosye dosye WhatsApp:

Fragman jounal2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] misedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] misedcallnotification/update annuler vre
2017-01-10 09:37:09.768 LL_I D [1:principal] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:principal] dosye modpas ki manke oswa li pa ka li
( 2017 msec reta mwayèn) / Sèvis Mesaj: 01 octets voye, 10 bytes resevwa / Voip Apèl: 09 apèl sortan, 37 apèl fèk ap rantre, 09.782 bytes voye, 1 bytes resevwa / Google Drive: 59 bytes voye, 82 byte resevwa / Itinérance: . byte voye, 1 byte resevwa / Total done: 0 byte voye, 0 byte resevwa
2017-01-10 09:37:09.785 LL_I D [1:prensipal] medya-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:principal] app-init/initialize/time/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | tan pase:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] medya-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688

• Anyè '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Gen dosye odyo resevwa yo.
• Anyè '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. Gen fichye odyo ki voye yo.
• Anyè '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Gen dosye grafik ki kapab lakòz yo.
• Anyè '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. Gen fichye grafik voye yo.
• Anyè '/data/media/0/WhatsApp/Media/WhatsApp Videyo/'. Gen dosye videyo resevwa yo.
• Anyè '/data/media/0/WhatsApp/Media/WhatsApp Videyo/Sent/'. Gen dosye videyo voye.
• Anyè '/data/media/0/WhatsApp/Media/WhatsApp Profile Photo/'. Gen dosye grafik ki asosye ak pwopriyetè kont WhatsApp la.
• Pou sove espas memwa sou smartphone Android ou a, kèk done WhatsApp ka estoke sou yon kat SD. Sou kat SD la, nan anyè rasin lan, gen yon anyè 'WhatsApp', kote yo ka jwenn atik sa yo nan pwogram sa a:

  

• Anyè '.Pataje' ('/mnt/sdcard/WhatsApp/.Share/'). Gen kopi dosye yo te pataje ak lòt itilizatè WhatsApp yo.
• Anyè '.fatra' ('/mnt/sdcard/WhatsApp/.trash/'). Gen dosye efase.
• Anyè 'Baz done' ('/mnt/sdcard/WhatsApp/Baz done/'). Gen sovgad chiffres. Yo ka dechifre si dosye a prezan 'kle', ekstrè nan memwa nan aparèy la analize.

  Dosye ki sitiye nan yon sous-anyè 'Baz done':

  

• Anyè 'Mwatye' ('/mnt/sdcard/WhatsApp/Media/'). Gen sous-répertoires 'Wallpaper', 'WhatsApp Audio', 'WhatsApp Imaj', 'WhatsApp Profile Foto', 'Videyo WhatsApp', 'WhatsApp Voice Nòt', ki genyen fichye miltimedya resevwa ak transmèt (fichye grafik, dosye videyo, mesaj vwa, foto ki asosye ak pwofil pwopriyetè kont WhatsApp, wallpapers).
• Anyè 'Foto Profil' ('/mnt/sdcard/WhatsApp/Foto Profil/'). Gen dosye grafik ki asosye ak pwofil pwopriyetè kont WhatsApp la.
• Pafwa ka gen yon anyè prezan sou kat SD la 'fichye' ('/mnt/sdcard/WhatsApp/Files/'). Anyè sa a gen dosye ki estoke anviwònman pwogram yo ak preferans itilizatè yo.

Karakteristik depo done nan kèk modèl aparèy mobil

Gen kèk modèl aparèy mobil ki kouri Android OS ka estoke zafè WhatsApp nan yon lòt kote. Sa a se akòz chanjman nan espas depo nan done aplikasyon pa lojisyèl sistèm nan aparèy mobil lan. Pou egzanp, aparèy mobil Xiaomi gen yon fonksyon pou kreye yon dezyèm espas travay ("SecondSpace"). Lè fonksyon sa a aktive, kote done yo chanje. Se konsa, si nan yon aparèy mobil regilye kouri done itilizatè Android OS ki estoke nan anyè a '/done/itilizatè/0/' (ki se yon referans a nòmal '/done/done/'), Lè sa a, nan dezyèm espas travay done aplikasyon an ki estoke nan anyè a '/done/itilizatè/10/'. Sa vle di, lè l sèvi avèk egzanp kote dosye a 'wa.db':

• nan yon smartphone regilye ki kouri Android OS: /data/user/0/com.whatsapp/databases/wa.db' (ki ekivalan '/data/data/com.whatsapp/databases/wa.db');
• nan dezyèm espas travay smartphone Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.

WhatsApp zafè nan aparèy iOS

Kontrèman ak Android OS, nan iOS WhatsApp done aplikasyon yo transfere nan yon kopi backup (iTunes backup). Se poutèt sa, èkstraksyon done ki soti nan aplikasyon sa a pa mande pou ekstrè sistèm nan dosye oswa kreye yon pil fatra memwa fizik nan aparèy la anba envestigasyon. Pifò nan enfòmasyon ki enpòtan yo genyen nan baz done a 'ChatStorage.sqlite', ki sitiye sou chemen an: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (nan kèk pwogram chemen sa a parèt tankou 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').

Estrikti 'ChatStorage.sqlite':

Tablo ki pi enfòmatif nan baz done 'ChatStorage.sqlite' yo se 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.

Aparans tab la 'ZWAMESSAGE':

Estrikti tab 'ZWAMESSAGE'

Non jaden	Valè
Z_PK	nimewo sekans dosye (nan tab SQL)
Z_ENT	idantifyan tab la, gen valè '9'
Z_OPT	enkoni, anjeneral gen valè soti nan '1' a '6'
ZCHILDMESSAGESDIVEREDCOUNT	enkoni, anjeneral gen valè '0'
ZCHILDMESSAGESLAYEDCOUNT	enkoni, anjeneral gen valè '0'
ZCHILDMESSAGESREADCOUNT	enkoni, anjeneral gen valè '0'
ZDATAITEMVERSION	enkoni, anjeneral gen valè '3', pwobableman yon endikatè mesaj tèks
ZDOCID	se enkoni
ZENCRETRYCOUNT	enkoni, anjeneral gen valè '0'
ZFILTEREDRECIPIENTCOUNT	enkoni, anjeneral gen valè '0', '2', '256'
ZISFROMME	direksyon mesaj: '0' - fèk ap rantre, '1' - sortan
ZMESSAGEERRORSTATUS	estati transmisyon mesaj. Si mesaj la voye/resevwa, lè sa a li gen valè '0'
ZMESSAGETYPE	kalite mesaj yo transmèt
ZSORT	se enkoni
ZSPOTLIGHSTATUS	se enkoni
ZSTARRED	enkoni, pa itilize
ZCHATSSESSION	se enkoni
ZGROUPMANMEM	enkoni, pa itilize
ZLASTSESSION	se enkoni
ZMEDIAITEM	se enkoni
ZMESSAGEINFO	se enkoni
ZPARENTMESSAGE	enkoni, pa itilize
ZMESSAGEDATE	timestamp nan fòma OS X Epoch Time
ZSENTDATE	lè yo te voye mesaj la nan fòma OS X Epoch Time
ZFROMJID	ID WhatsApp Sender
ZMEDIASECTIONID	gen ane ak mwa yo te voye dosye medya a
ZPHASH	enkoni, pa itilize
ZPUSHPAME	non kontak ki voye fichye medya a nan fòma UTF-8
ZSTANZID	idantifyan mesaj inik
ZTEXT	Tèks mesaj la
ZTOJID	ID WhatsApp moun k ap resevwa a
DESANTRE	patipri

Aparans tab la 'ZWAMEDIAITEM':

Estrikti tab 'ZWAMEDIAITEM'

Non jaden	Valè
Z_PK	nimewo sekans dosye (nan tab SQL)
Z_ENT	idantifyan tab la, gen valè '8'
Z_OPT	enkoni, anjeneral gen valè soti nan '1' a '3'.
ZCLOUDSTATUS	gen valè '4' si dosye a chaje.
ZFILESIZE	gen longè fichye a (an byte) pou fichye telechaje yo
ZMEDIAORIGIN	enkoni, anjeneral gen valè '0'
ZMOVIEDURATION	dire fichye medya a, pou fichye pdf yo ka genyen kantite paj dokiman an
ZMESAJ	gen yon nimewo seri (nimewo a diferan de sa ki endike nan kolòn 'Z_PK')
ZASPECTRATIO	rapò aspè, pa itilize, anjeneral mete nan '0'
ZAKAKIZASYON	enkoni, anjeneral gen valè '0'
ZLATTITUDE	lajè an piksèl
ZLONGTITUDE	wotè nan piksèl
ZMEDIAURLDATE	timestamp nan fòma OS X Epoch Time
ZAUTHORNAME	otè (pou dokiman, ka genyen non dosye a)
ZCOLLECTIONNAME	pa itilize
ZMEDIALOCALPATH	non fichye (ki gen ladan chemen) nan sistèm dosye aparèy la
ZMEDIAURL	URL kote fichye medya a te ye. Si yo te transfere yon dosye soti nan yon abònen nan yon lòt, li te chiffres epi ekstansyon li yo pral endike kòm ekstansyon nan dosye a transfere - .enc
ZTHUMBNAILLOCALPATH	chemen an miniature fichye a nan sistèm dosye aparèy la
ZTITLE	Tèt fichye a
ZVCARDNAME	hash fichye medya; lè w transfere yon fichye nan yon gwoup, li ka genyen idantifikasyon moun k ap voye a
ZVCARDSTRING	gen enfòmasyon sou kalite fichye yo transfere (pa egzanp, imaj/jpeg); lè w transfere yon fichye nan yon gwoup, li ka genyen idantifikasyon moun k ap resevwa a.
ZXMPPTHUMBPATH	chemen an miniature fichye a nan sistèm dosye aparèy la
ZMEDIAKEY	enkoni, pwobableman gen kle nan dechifre fichye a chiffres.
ZMETADATA	metadata nan mesaj transmèt la
Offset	patipri

Lòt tablo baz done enteresan 'ChatStorage.sqlite' yo se:

• 'ZWAPROFILEPUSHNAME'. Matche WhatsApp ID ak non kontak;
• 'ZWAPROFILEPICTUREITEM'. Matche WhatsApp ID ak kontak avatar;
• 'Z_PRIMARYKEY'. Tablo a gen enfòmasyon jeneral sou baz done sa a, tankou kantite total mesaj ki estoke, kantite total chat, elatriye.

Также при исследовании WhatsApp в мобильном устройстве под управлением iOS надо обращать внимание на следующие файлы:

• dosye 'BackedUpKeyValue.sqlite'. Gen kle kriptografik ak lòt done ki nesesè pou idantifye pwopriyetè kont la. Sitiye sou chemen an: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• dosye 'ContactsV2.sqlite'. Gen enfòmasyon sou kontak itilizatè a, tankou non konplè, nimewo telefòn, estati kontak (nan fòm tèks), WhatsApp ID, elatriye. Sitiye sou chemen an: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• dosye 'consumer_version'. Gen nimewo vèsyon aplikasyon WhatsApp enstale a. Sitiye sou chemen an: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• dosye 'current_wallpaper.jpg'. Gen wallpaper aktyèl WhatsApp background nan. Sitiye sou chemen an: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Ansyen vèsyon aplikasyon an sèvi ak dosye a 'papye', ki sitiye sou chemen an: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
• dosye 'blockedcontacts.dat'. Gen enfòmasyon sou kontak bloke. Sitiye sou chemen an: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• dosye 'pw.dat'. Gen yon modpas chiffres. Sitiye sou chemen an: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
• dosye 'net.whatsapp.WhatsApp.plist' (oswa dosye 'group.net.whatsapp.WhatsApp.shared.plist'). Gen enfòmasyon sou pwofil kont WhatsApp ou a. Fichye a sitiye sou chemen an: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

Sa ki nan dosye a 'group.net.whatsapp.WhatsApp.shared.plist'
Ou bezwen tou peye atansyon sou anyè sa yo:

• Anyè '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Gen ti miniature kontak, gwoup (fichye ki gen ekstansyon an .pous), kontakte avatar, pwopriyetè kont WhatsApp avatar (dosye 'Photo.jpg').
• Anyè '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Gen fichye miltimedya ak ti miniature yo
• Anyè '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Gen jounal operasyon pwogram lan (fichye 'calls.log') ak kopi sovgad nan mòso bwa operasyon pwogram yo (dosye 'calls.backup.log').
• Anyè '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Gen avek stickers son (fichye nan fòma a '.webp').
• Anyè '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. Gen mòso bwa operasyon pwogram yo.

WhatsApp zafè sou Windows

WhatsApp zafè sou Windows ka jwenn nan plizyè kote. Premye a tout, sa yo se anyè ki gen dosye ègzèkutabl ak pwogram oksilyè (pou Windows 8/10):

• 'C:Fichye Pwogram (x86)WhatsApp'
• 'C:Users%User profile% AppDataLocalWhatsApp'
• 'C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp'

Nan katalòg 'C:Users%User profile% AppDataLocalWhatsApp' dosye log la sitiye 'SquirrelSetup.log', ki gen enfòmasyon sou tcheke pou mizajou ak enstale pwogram nan.

Nan katalòg 'C:Users%User profile% AppDataRoamingWhatsApp' Gen plizyè sous-répertoires:

dosye 'main-process.log' gen enfòmasyon sou operasyon pwogram WhatsApp la.

Sou-anyè 'baz done' gen yon fichye 'Databases.db', men dosye sa a pa genyen okenn enfòmasyon sou chat oswa kontak.

Ki pi enteresan nan yon pwen de vi legal yo se dosye yo ki sitiye nan anyè a 'Kachèt'. Sa yo se fondamantalman dosye yo te rele 'f_********' (kote * se yon nimewo ki soti nan 0 a 9) ki genyen fichye miltimedya ak dokiman ki ankripte, men gen tou fichye ki pa chiffres nan mitan yo. Nan enterè patikilye yo se dosye yo 'done_0', 'done_1', 'done_2', 'done_3', ki chita nan menm sous-anyè. Dosye 'done_0', 'done_1', 'done_3' genyen lyen ekstèn ki mennen nan dosye ak dokiman miltimedya ki transmèt yo.

Egzanp enfòmasyon ki nan dosye 'data_1'
File tou 'done_3' ka genyen fichye grafik.

dosye 'done_2' gen avatar kontak (ka retabli lè w chèche pa en-tête fichye yo).

Avatar ki genyen nan dosye a 'done_2':

Kidonk, chat yo tèt yo pa ka jwenn nan memwa òdinatè a, men ou ka jwenn:

• fichye miltimedya;
• dokiman transmèt via WhatsApp;
• enfòmasyon sou kontak pwopriyetè kont la.

WhatsApp zafè sou MacOS

Nan MacOS ou ka jwenn kalite zafè WhatsApp ki sanble ak sa yo jwenn nan Windows OS.

Fichye pwogram yo sitiye nan anyè sa yo:

• 'C:ApplicationsWhatsApp.app'
• 'C:Applications._WhatsApp.app'
• 'C:Users%User profile%LibraryPreferences'
• 'C:Users%User profile%LibraryLogsWhatsApp'
• 'C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState'
• 'C:Users%User profile%LibraryApplication Scripts'
• 'C:Users%User profile%LibraryApplication SupportCloudDocs'
• 'C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt'
• 'C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
• 'C:Itilizatè% Pwofil itilizatè% Bibliyotèk Dokiman mobil <text varyab> Kont WhatsApp'
  В этом каталоге находятся подкаталоги, имена которых представляют собой номера телефонов, ассоциированных с владельцем аккаунта WhatsApp.
• 'C:Users%User profile%LibraryCachesWhatsApp.ShipIt'
  Anyè sa a gen enfòmasyon sou enstale pwogram nan.
• 'C:Users%User profile%PicturesiPhoto Library.photolibraryMasters', 'C:Users%User profile%PicturesiPhoto Library.photolibraryThumbnails'
  Anyè sa yo gen dosye sèvis nan pwogram nan, ki gen ladan foto ak ti miniature nan kontak WhatsApp.
• 'C:Users%User profile%LibraryCachesWhatsApp'
  Anyè sa a gen plizyè baz done SQLite ke yo itilize pou kachèt done.
• 'C:Users%User profile%LibraryApplication SupportWhatsApp'
  Anyè sa a gen plizyè sous-répertoires:

  
  Nan katalòg 'C:Users%User profile%LibraryApplication SupportWhatsAppCache' gen dosye 'done_0', 'done_1', 'done_2', 'done_3' ak dosye ki gen non 'f_********' (kote * se yon nimewo ki soti nan 0 a 9). Pou enfòmasyon sou ki enfòmasyon dosye sa yo genyen, gade WhatsApp Artifacts sou Windows.

  Nan katalòg 'C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB' ka genyen fichye miltimedya (fichye yo pa gen ekstansyon).

  dosye 'main-process.log' gen enfòmasyon sou operasyon pwogram WhatsApp la.

Sous

1. Analiz legal sou WhatsApp Messenger sou smartphone Android, pa Cosimo Anglano, 2014.
2. Whatsapp Forensics: Eksplorasi sistenm ak baz done pada aplikasyon Android ak iOS pa Ahmad Pratama, 2014.

Nan atik sa yo nan seri sa a:

Dekripte baz done WhatsApp chiffresYon atik ki pral bay enfòmasyon sou kijan WhatsApp chifreman kle a se pwodwi ak egzanp pratik ki montre ki jan yo dechifre baz done yo chifre nan aplikasyon sa a.
Ekstrè done WhatsApp nan depo nwajYon atik nan ki nou pral di w ki done WhatsApp ki estoke nan nwaj yo epi dekri metòd pou rekipere done sa yo nan depo nwaj yo.
Ekstraksyon Done WhatsApp: Egzanp PratikYon atik ki pral dekri etap pa etap ki pwogram ak ki jan yo ekstrè done WhatsApp ki soti nan divès aparèy.

Sous: www.habr.com