WhatsApp ხელის გულზე: სად და როგორ შეგიძლიათ იპოვოთ სასამართლო ექსპერტიზის არტეფაქტები?

თუ გსურთ იცოდეთ რა ტიპის WhatsApp-ის სასამართლო ექსპერტიზის არტეფაქტები არსებობს სხვადასხვა ოპერაციულ სისტემაზე და ზუსტად სად შეიძლება მათი პოვნა, მაშინ ეს ადგილი თქვენთვისაა. ეს სტატია არის Group-IB კომპიუტერული სასამართლო ექსპერტიზის ლაბორატორიის სპეციალისტისგან იგორ მიხაილოვი იწყებს პოსტების სერიას WhatsApp-ის სასამართლო ექსპერტიზის შესახებ და რა ინფორმაციის მიღება შეიძლება მოწყობილობის ანალიზიდან.

მოდით დაუყოვნებლივ აღვნიშნოთ, რომ სხვადასხვა ოპერაციული სისტემა ინახავს WhatsApp-ის სხვადასხვა ტიპის არტეფაქტებს და თუ მკვლევარს შეუძლია ამოიღოს WhatsApp-ის გარკვეული ტიპის მონაცემები ერთი მოწყობილობიდან, ეს არ ნიშნავს, რომ მსგავსი ტიპის მონაცემების ამოღება შესაძლებელია სხვა მოწყობილობიდან. მაგალითად, თუ Windows OS-ით გაშვებული სისტემური ერთეული ამოღებულია, WhatsApp-ის ჩეთები, სავარაუდოდ, ვერ მოიძებნება მის დისკებზე (გამონაკლისია iOS მოწყობილობების სარეზერვო ასლები, რომლებიც გვხვდება იმავე დისკებზე). ლეპტოპებისა და მობილური მოწყობილობების ჩამორთმევას თავისი მახასიათებლები ექნება. ამაზე უფრო დეტალურად ვისაუბროთ.

WhatsApp-ის არტეფაქტები Android მოწყობილობაში

Android მოწყობილობიდან WhatsApp-ის არტეფაქტების ამოსაღებად, მკვლევარს უნდა ჰქონდეს სუპერმომხმარებლის უფლებები ("ფესვი") გამოძიების ქვეშ მყოფ მოწყობილობაზე ან სხვაგვარად შეძლებთ მოწყობილობის, ან მისი ფაილური სისტემის ფიზიკური მეხსიერების ამონაწერის ამოღებას (მაგალითად, კონკრეტული მობილური მოწყობილობის პროგრამული ხარვეზების გამოყენებით).

აპლიკაციის ფაილები განთავსებულია ტელეფონის მეხსიერებაში იმ განყოფილებაში, რომელშიც ინახება მომხმარებლის მონაცემები. როგორც წესი, ეს განყოფილება სახელდება 'მომხმარებლის მონაცემები'. ქვედირექტორიები და პროგრამის ფაილები განლაგებულია ბილიკის გასწვრივ: '/data/data/com.whatsapp/'.

ძირითადი ფაილები, რომლებიც შეიცავს WhatsApp-ის სასამართლო ექსპერტიზის არტეფაქტებს Android OS-ში, არის მონაცემთა ბაზები 'wa.db' и 'msgstore.db'.

მონაცემთა ბაზაში 'wa.db' შეიცავს WhatsApp-ის მომხმარებლის სრულ საკონტაქტო სიას, მათ შორის ტელეფონის ნომერს, საჩვენებელ სახელს, დროის ნიშანს და WhatsApp-ზე რეგისტრაციისას მოწოდებულ ნებისმიერ სხვა ინფორმაციას. ფაილი 'wa.db' მდებარეობს ბილიკის გასწვრივ: '/data/data/com.whatsapp/databases/' და აქვს შემდეგი სტრუქტურა:

მონაცემთა ბაზაში ყველაზე საინტერესო ცხრილები 'wa.db' მკვლევარისთვის არის:

• 'wa_contacts'
  ეს ცხრილი შეიცავს საკონტაქტო ინფორმაციას: WhatsApp საკონტაქტო ID, სტატუსის ინფორმაცია, მომხმარებლის ჩვენების სახელი, დროის ანაბეჭდები და ა.შ.

  მაგიდის გარეგნობა:

  
  მაგიდის სტრუქტურა

  ველის სახელი	ღირებულება
  _ ID	ჩანაწერის მიმდევრობის ნომერი (SQL ცხრილში)
  ჯიდი	WhatsApp საკონტაქტო ID, დაწერილი ფორმატში <ტელეფონის ნომერი>@s.whatsapp.net
  არის_whatsapp_user	შეიცავს "1"-ს, თუ კონტაქტი შეესაბამება WhatsApp-ის რეალურ მომხმარებელს, წინააღმდეგ შემთხვევაში "0".
  სტატუსი	შეიცავს ტექსტს, რომელიც ნაჩვენებია კონტაქტის სტატუსში
  status_timestamp	შეიცავს დროის ნიშანს Unix Epoch Time (ms) ფორმატში
  რაოდენობა	კონტაქტთან დაკავშირებული ტელეფონის ნომერი
  raw_contact_id	საკონტაქტო სერიული ნომერი
  ჩვენების სახელი	საკონტაქტო საჩვენებელი სახელი
  ტელეფონის_ტიპი	ტელეფონის ტიპი
  ტელეფონის_ეტიკეტი	ეტიკეტი, რომელიც დაკავშირებულია საკონტაქტო ნომერთან
  unseen_msg_count	შეტყობინებების რაოდენობა, რომლებიც გაგზავნილი იყო კონტაქტის მიერ, მაგრამ არ წაიკითხა მიმღებმა
  photo_ts	შეიცავს დროის ნიშანს Unix Epoch Time ფორმატში
  thumb_ts	შეიცავს დროის ნიშანს Unix Epoch Time ფორმატში
  photo_id_timestamp	შეიცავს დროის ნიშანს Unix Epoch Time (ms) ფორმატში
  სახელი	ველის მნიშვნელობა ემთხვევა „display_name“ თითოეული კონტაქტისთვის
  wa_name	WhatsApp საკონტაქტო სახელი (გამოსახულია კონტაქტის პროფილში მითითებული სახელი)
  დახარისხების_სახელი	საკონტაქტო სახელი, რომელიც გამოიყენება დახარისხების ოპერაციებში
  მეტსახელად	კონტაქტის მეტსახელი WhatsApp-ში (გამოსახულია კონტაქტის პროფილში მითითებული მეტსახელი)
  კომპანია	კომპანია (გამოსახულია კონტაქტის პროფილში მითითებული კომპანია)
  სათაური	სათაური (ქალბატონი/ბატონი; ნაჩვენებია საკონტაქტო პროფილში კონფიგურირებული სათაური)
  ოფსეტური	მიკერძოება

• 'sqlite_sequence'
  ეს ცხრილი შეიცავს ინფორმაციას კონტაქტების რაოდენობის შესახებ;
• 'android_metadata'
  ეს ცხრილი შეიცავს ინფორმაციას WhatsApp ენის ლოკალიზაციის შესახებ.

მონაცემთა ბაზაში 'msgstore.db' შეიცავს ინფორმაციას გაგზავნილი შეტყობინებების შესახებ, როგორიცაა საკონტაქტო ნომერი, შეტყობინების ტექსტი, შეტყობინების სტატუსი, დროის ანაბეჭდები, შეტყობინებებში შეტანილი გადაცემული ფაილების დეტალები და ა.შ. ფაილი 'msgstore.db' მდებარეობს ბილიკის გასწვრივ: '/data/data/com.whatsapp/databases/' და აქვს შემდეგი სტრუქტურა:

ყველაზე საინტერესო ცხრილები ფაილში 'msgstore.db' მკვლევარისთვის არის:

• 'sqlite_sequence'
  ეს ცხრილი შეიცავს ზოგად ინფორმაციას ამ მონაცემთა ბაზის შესახებ, როგორიცაა შენახული შეტყობინებების საერთო რაოდენობა, ჩეთების საერთო რაოდენობა და ა.შ.

  მაგიდის გარეგნობა:

  

• 'message_fts_content'
  შეიცავს გაგზავნილი შეტყობინებების ტექსტს.

  მაგიდის გარეგნობა:

  

• "შეტყობინებები"
  ეს ცხრილი შეიცავს ისეთ ინფორმაციას, როგორიცაა საკონტაქტო ნომერი, შეტყობინების ტექსტი, შეტყობინების სტატუსი, დროის ანაბეჭდები, ინფორმაცია შეტყობინებებში შეტანილი გადატანილი ფაილების შესახებ.

  მაგიდის გარეგნობა:

  
  მაგიდის სტრუქტურა

  ველის სახელი	ღირებულება
  _ ID	ჩანაწერის მიმდევრობის ნომერი (SQL ცხრილში)
  გასაღები_დისტანციური_ჯიდი	საკომუნიკაციო პარტნიორის WhatsApp ID
  გასაღები_ჩემგან	შეტყობინების მიმართულება: '0' - შემომავალი, '1' - გამავალი
  გასაღები_იდენტიფიკატორი	შეტყობინების უნიკალური იდენტიფიკატორი
  სტატუსი	შეტყობინების სტატუსი: „0“ – მიწოდებულია, „4“ – ელოდება სერვერზე, „5“ – მიღებული დანიშნულების ადგილზე, „6“ – საკონტროლო შეტყობინება, „13“ – შეტყობინება გახსნილი მიმღების მიერ (წაკითხვა)
  საჭიროება_ბიძგი	აქვს მნიშვნელობა '2', თუ ეს არის სამაუწყებლო შეტყობინება, წინააღმდეგ შემთხვევაში შეიცავს '0'
  მონაცემები	შეტყობინების ტექსტი (როდესაც 'media_wa_type' პარამეტრი არის '0')
  ნიშნულის	შეიცავს დროის ნიშანს Unix Epoch Time (ms) ფორმატში, მნიშვნელობა აღებულია მოწყობილობის საათიდან
  media_url	შეიცავს გადაცემული ფაილის URL (როდესაც 'media_wa_type' პარამეტრი არის '1', '2', '3')
  media_mime_type	გადაცემული ფაილის MIME ტიპი (როდესაც 'media_wa_type' პარამეტრი უდრის '1', '2', '3')
  media_wa_type	შეტყობინების ტიპი: '0' - ტექსტი, '1' - გრაფიკული ფაილი, '2' - აუდიო ფაილი, '3' - ვიდეო ფაილი, '4' - საკონტაქტო ბარათი, '5' - გეომონაცემები
  მედია_ზომა	გადაცემული ფაილის ზომა (როდესაც 'media_wa_type' პარამეტრი არის '1', '2', '3')
  მედია_სახელი	გადაცემული ფაილის სახელი (როდესაც 'media_wa_type' პარამეტრი არის '1', '2', '3')
  მედია_სათაური	შეიცავს სიტყვებს "აუდიო", "ვიდეო" "media_wa_type" პარამეტრის შესაბამისი მნიშვნელობებისთვის (როდესაც "media_wa_type" პარამეტრი არის "1", "3")
  მედია_ჰაში	base64 გადაცემული ფაილის დაშიფრული ჰეში, გამოითვლება HAS-256 ალგორითმის გამოყენებით (როდესაც 'media_wa_type' პარამეტრი უდრის '1', '2', '3')
  მედია_ხანგრძლივობა	ხანგრძლივობა წამებში მედია ფაილისთვის (როდესაც 'media_wa_type' არის '1', '2', '3')
  წარმოშობის	აქვს მნიშვნელობა '2', თუ ეს არის სამაუწყებლო შეტყობინება, წინააღმდეგ შემთხვევაში შეიცავს '0'
  გრძედი	geodata: გრძედი (როდესაც 'media_wa_type' პარამეტრი არის '5')
  გრძედი	geodata: გრძედი (როდესაც 'media_wa_type' პარამეტრი არის '5')
  thumb_image	სერვისის ინფორმაცია
  დისტანციური_რესურსი	გამგზავნის ID (მხოლოდ ჯგუფური ჩეთებისთვის)
  მიღებული_დროის შტამპი	მიღების დრო, შეიცავს დროის ნიშანს Unix Epoch Time (ms) ფორმატში, მნიშვნელობა აღებულია მოწყობილობის საათისგან (როდესაც პარამეტრს 'key_from_me' აქვს '0', '-1' ან სხვა მნიშვნელობა)
  send_timestamp	არ გამოიყენება, ჩვეულებრივ აქვს მნიშვნელობა '-1'
  მიღების_სერვერის_დროის შტამპი	ცენტრალური სერვერის მიერ მიღებული დრო შეიცავს დროის ნიშანს Unix Epoch Time (ms) ფორმატში, მნიშვნელობა აღებულია მოწყობილობის საათისგან (როდესაც პარამეტრს 'key_from_me' აქვს '1', '-1' ან სხვა მნიშვნელობა.
  ქვითრის_მოწყობილობის_დროის შტამპი	როდესაც შეტყობინება მიიღო სხვა აბონენტმა, შეიცავს დროის ნიშანს Unix Epoch Time (ms) ფორმატში, მნიშვნელობა აღებულია მოწყობილობის საათისგან (როდესაც 'key_from_me' პარამეტრს აქვს '1', '-1' ან სხვა მნიშვნელობა.
  read_device_timestamp	შეტყობინების გახსნის (კითხვის) დრო, შეიცავს დროის ნიშანს Unix Epoch Time (ms) ფორმატში, მნიშვნელობა აღებულია მოწყობილობის საათისგან.
  play_device_timestamp	შეტყობინების დაკვრის დრო, შეიცავს დროის ნიშანს Unix Epoch Time (ms) ფორმატში, მნიშვნელობა აღებულია მოწყობილობის საათიდან
  დაუმუშავებელი მონაცემები	გადაცემული ფაილის მინიატურა (როდესაც 'media_wa_type' პარამეტრი არის '1' ან '3')
  მიმღების_თვლა	მიმღებთა რაოდენობა (მაუწყებლობის შეტყობინებებისთვის)
  მონაწილე_ჰაში	გამოიყენება გეომონაცემებით შეტყობინებების გადაცემისას
  ითამაშა	არ გამოიყენება
  quoted_row_id	უცნობია, ჩვეულებრივ შეიცავს მნიშვნელობას „0“
  აღნიშნული_ჯიდები	არ გამოიყენება
  multicast_id	არ გამოიყენება
  ოფსეტური	მიკერძოება

  ველების ეს სია არ არის ამომწურავი. WhatsApp-ის სხვადასხვა ვერსიისთვის, ზოგიერთი ველი შეიძლება იყოს ან არ იყოს. გარდა ამისა, შეიძლება იყოს ველები 'media_enc_hash', 'edit_version', 'payment_transaction_id' ა.შ.

• 'შეტყობინებების_მინიატურები'
  ეს ცხრილი შეიცავს ინფორმაციას გადაცემული სურათებისა და დროის ანაბეჭდების შესახებ. „დროის შტამპის“ სვეტში, დრო მითითებულია Unix Epoch Time (ms) ფორმატში.
• 'chat_list'
  ეს ცხრილი შეიცავს ინფორმაციას ჩეთების შესახებ.

  მაგიდის გარეგნობა:

  

ასევე, Android-ის მობილურ მოწყობილობაზე WhatsApp-ის შემოწმებისას ყურადღება უნდა მიაქციოთ შემდეგ ფაილებს:

• ფაილი 'msgstore.db.cryptXX' (სადაც XX არის ერთი ან ორი ციფრი 0-დან 12-მდე, მაგალითად, msgstore.db.crypt12). შეიცავს WhatsApp შეტყობინებების დაშიფრულ სარეზერვო ასლს (სარეზერვო ფაილი msgstore.db). ფაილ(ები) 'msgstore.db.cryptXX' მდებარეობს ბილიკის გასწვრივ: '/data/media/0/WhatsApp/Databases/' (ვირტუალური SD ბარათი), '/mnt/sdcard/WhatsApp/Databases/ (ფიზიკური SD ბარათი)'.
• ფაილი 'გასაღები'. შეიცავს კრიპტოგრაფიულ გასაღებს. ბილიკის გასწვრივ მდებარეობს: '/data/data/com.whatsapp/files/'. გამოიყენება WhatsApp-ის დაშიფრული სარეზერვო ასლების გასაშიფრად.
• ფაილი 'com.whatsapp_preferences.xml'. შეიცავს ინფორმაციას თქვენი WhatsApp ანგარიშის პროფილის შესახებ. ფაილი მდებარეობს ბილიკის გასწვრივ: '/data/data/com.whatsapp/shared_prefs/'.

  ფაილის შინაარსის ფრაგმენტი

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• ფაილი 'registration.RegisterPhone.xml'. შეიცავს ინფორმაციას WhatsApp ანგარიშთან დაკავშირებული ტელეფონის ნომრის შესახებ. ფაილი მდებარეობს ბილიკის გასწვრივ: '/data/data/com.whatsapp/shared_prefs/'.

  ფაილის შინაარსი

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• ფაილი 'axolotl.db'. შეიცავს კრიპტოგრაფიულ გასაღებებს და სხვა მონაცემებს, რომლებიც აუცილებელია ანგარიშის მფლობელის იდენტიფიცირებისთვის. მდებარეობს ბილიკის გასწვრივ: '/data/data/com.whatsapp/databases/'.
• ფაილი 'chatsettings.db'. შეიცავს აპლიკაციის კონფიგურაციის ინფორმაციას.
• ფაილი 'wa.db'. შეიცავს საკონტაქტო დეტალებს. ძალიან საინტერესო (კრიმინალისტიკური ასპექტიდან) და ინფორმაციული მონაცემთა ბაზა. ის შეიძლება შეიცავდეს დეტალურ ინფორმაციას წაშლილი კონტაქტების შესახებ.

ასევე ყურადღება უნდა მიაქციოთ შემდეგ დირექტორიას:

• დირექტორია '/data/media/0/WhatsApp/Media/WhatsApp Images/'. შეიცავს გადატანილ გრაფიკულ ფაილებს.
• დირექტორია '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. შეიცავს ხმოვან შეტყობინებებს .OPUS ფორმატის ფაილებში.
• დირექტორია '/data/data/com.whatsapp/cache/პროფილის სურათები/'. შეიცავს გრაფიკულ ფაილებს - კონტაქტების სურათებს.
• დირექტორია '/data/data/com.whatsapp/files/Avatars/'. შეიცავს გრაფიკულ ფაილებს - კონტაქტების მინიატურულ სურათებს. ამ ფაილებს აქვთ '.j' გაფართოება, მაგრამ მაინც JPEG (JPG) გამოსახულების ფაილებია.
• დირექტორია '/data/data/com.whatsapp/files/Avatars/'. შეიცავს გრაფიკულ ფაილებს - სურათს და სურათის ესკიზს, რომელიც დაყენებულია ავატარად ანგარიშის მფლობელის მიერ.
• დირექტორია '/data/data/com.whatsapp/files/Logs/'. შეიცავს პროგრამის ოპერაციების ჟურნალს (ფაილი 'whatsapp.log') და პროგრამის ოპერაციების ჟურნალების სარეზერვო ასლებს (ფაილები სახელებით whatsapp-yyyy-mm-dd.1.log.gz ფორმატით).

WhatsApp ჟურნალის ფაილები:

ჟურნალის ფრაგმენტი2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] გამოტოვებული ზარის შეტყობინება/საწყისი რაოდენობა:0 დროის ანაბეჭდი:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] გამოტოვებული ზარის შეტყობინება/განახლება გაუქმება მართალია
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] პაროლის ფაილი აკლია ან არ იკითხება
2017-01-10 09:37:09.782 LL_I D [1:main] სტატისტიკა ტექსტური შეტყობინებები: 59 გაგზავნილი, 82 მიღებული / მედია შეტყობინებები: 1 გაგზავნილი (0 ბაიტი), 0 მიღებული (9850158 ბაიტი) / ოფლაინ შეტყობინებები: 81 მიღებული ( 19522 მწმ საშუალო დაყოვნება) / შეტყობინებების სერვისი: გაგზავნილი 116075 ბაიტი, მიღებული 211729 ბაიტი / Voip ზარები: 1 გამავალი ზარი, 0 შემომავალი ზარი, გაგზავნილი 2492 ბაიტი, მიღებული 1530 ბაიტი / Google Drive: 0 ბაიტი გაგზავნილი, 0 ბაიტი: მიღებული / 1524 გაგზავნილი ბაიტი, მიღებული 1826 ბაიტი / მთლიანი მონაცემები: 118567 ბაიტი გაგზავნილი, 10063417 ბაიტი მიღებული
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/ვერსია 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | გატარებული დრო: 8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage ხელმისაწვდომია:1,345,622,016 სულ:5,687,922,688

• დირექტორია '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. შეიცავს მიღებულ აუდიო ფაილებს.
• დირექტორია '/data/media/0/WhatsApp/Media/WhatsApp აუდიო/გაგზავნილი/'. შეიცავს გაგზავნილ აუდიო ფაილებს.
• დირექტორია '/data/media/0/WhatsApp/Media/WhatsApp Images/'. შეიცავს მიღებულ გრაფიკულ ფაილებს.
• დირექტორია '/data/media/0/WhatsApp/Media/WhatsApp სურათები/გაგზავნილი/'. შეიცავს გაგზავნილ გრაფიკულ ფაილებს.
• დირექტორია '/data/media/0/WhatsApp/Media/WhatsApp Video/'. შეიცავს მიღებულ ვიდეო ფაილებს.
• დირექტორია '/data/media/0/WhatsApp/Media/WhatsApp ვიდეო/გაგზავნილი/'. შეიცავს გაგზავნილ ვიდეო ფაილებს.
• დირექტორია '/data/media/0/WhatsApp/Media/WhatsApp პროფილის ფოტოები/'. შეიცავს გრაფიკულ ფაილებს, რომლებიც დაკავშირებულია WhatsApp ანგარიშის მფლობელთან.
• თქვენს Android სმარტფონზე მეხსიერების სივრცის დაზოგვის მიზნით, WhatsApp-ის ზოგიერთი მონაცემი შეიძლება შეინახოს SD ბარათზე. SD ბარათზე, root დირექტორიაში, არის დირექტორია 'WhatsApp', სადაც შეგიძლიათ ნახოთ ამ პროგრამის შემდეგი არტეფაქტები:

  

• დირექტორია '.გააზიარე' ('/mnt/sdcard/WhatsApp/.Share/'). შეიცავს ფაილების ასლებს, რომლებიც გაზიარებულია WhatsApp-ის სხვა მომხმარებლებთან.
• დირექტორია ".ნაგავი" ('/mnt/sdcard/WhatsApp/.trash/'). შეიცავს წაშლილ ფაილებს.
• დირექტორია "მონაცემთა ბაზები" ('/mnt/sdcard/WhatsApp/Databases/'). შეიცავს დაშიფრულ სარეზერვო ასლებს. მათი გაშიფვრა შესაძლებელია, თუ ფაილი არსებობს 'გასაღები', ამოღებულია გაანალიზებული მოწყობილობის მეხსიერებიდან.

  ფაილები, რომლებიც მდებარეობს ქვედირექტორიაში "მონაცემთა ბაზები":

  

• დირექტორია "ნახევარი" ('/mnt/sdcard/WhatsApp/Media/'). შეიცავს ქვედირექტორიებს 'Ფონი', "WhatsApp Audio", "WhatsApp სურათები", "WhatsApp პროფილის ფოტოები", 'WhatsApp Video', "WhatsApp ხმოვანი შენიშვნები", რომელიც შეიცავს მიღებულ და გადაცემულ მულტიმედია ფაილებს (გრაფიკულ ფაილებს, ვიდეო ფაილებს, ხმოვან შეტყობინებებს, WhatsApp-ის ანგარიშის მფლობელის პროფილთან დაკავშირებულ ფოტოებს, ფონებს).
• დირექტორია 'Პროფილის სურათები' ('/mnt/sdcard/WhatsApp/პროფილის სურათები/'). შეიცავს გრაფიკულ ფაილებს, რომლებიც დაკავშირებულია WhatsApp ანგარიშის მფლობელის პროფილთან.
• ზოგჯერ შეიძლება იყოს დირექტორია SD ბარათზე "ფაილი" ('/mnt/sdcard/WhatsApp/Files/'). ეს დირექტორია შეიცავს ფაილებს, რომლებიც ინახავს პროგრამის პარამეტრებს და მომხმარებლის პრეფერენციებს.

მობილური მოწყობილობების ზოგიერთ მოდელში მონაცემთა შენახვის მახასიათებლები

Android OS-ით გაშვებული მობილური მოწყობილობების ზოგიერთმა მოდელმა შეიძლება შეინახოს WhatsApp-ის არტეფაქტები სხვა ადგილას. ეს გამოწვეულია მობილური მოწყობილობის სისტემური პროგრამული უზრუნველყოფის აპლიკაციის მონაცემთა შენახვის სივრცეში ცვლილებებით. მაგალითად, Xiaomi-ს მობილურ მოწყობილობებს აქვთ მეორე სამუშაო სივრცის შექმნის ფუნქცია ("SecondSpace"). როდესაც ეს ფუნქცია გააქტიურებულია, იცვლება მონაცემების მდებარეობა. ასე რომ, თუ ჩვეულებრივ მობილურ მოწყობილობაში, რომელიც მუშაობს Android OS-ზე, მომხმარებლის მონაცემები ინახება დირექტორიაში '/data/user/0/' (რაც მინიშნებაა ჩვეულებრივზე '/მონაცემები/მონაცემები/'), შემდეგ მეორე სამუშაო სივრცეში განაცხადის მონაცემები ინახება დირექტორიაში '/data/user/10/'. ანუ ფაილის ადგილმდებარეობის მაგალითის გამოყენებით 'wa.db':

• ჩვეულებრივ სმარტფონში, რომელიც მუშაობს Android OS-ით: /data/user/0/com.whatsapp/databases/wa.db' (რაც ექვივალენტია '/data/data/com.whatsapp/databases/wa.db');
• Xiaomi სმარტფონის მეორე სამუშაო სივრცეში: '/data/user/10/com.whatsapp/databases/wa.db'.

WhatsApp-ის არტეფაქტები iOS მოწყობილობაში

Android OS-ისგან განსხვავებით, iOS-ში WhatsApp აპლიკაციის მონაცემები გადადის სარეზერვო ასლში (iTunes-ის სარეზერვო ასლი). აქედან გამომდინარე, ამ აპლიკაციიდან მონაცემების ამოღება არ საჭიროებს ფაილური სისტემის ამოღებას ან გამოძიების ქვეშ მყოფი მოწყობილობის ფიზიკური მეხსიერების ნაგავსაყრელის შექმნას. შესაბამისი ინფორმაციის უმეტესობა შეიცავს მონაცემთა ბაზას 'ChatStorage.sqlite', რომელიც მდებარეობს ბილიკის გასწვრივ: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (ზოგიერთ პროგრამაში ეს ბილიკი გამოჩნდება როგორც 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').

სტრუქტურა 'ChatStorage.sqlite':

ყველაზე ინფორმაციული ცხრილებია 'ChatStorage.sqlite' მონაცემთა ბაზაში 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.

მაგიდის გარეგნობა 'ZWAMESSAGE':

ცხრილის სტრუქტურა 'ZWAMESSAGE'

ველის სახელი	ღირებულება
Z_PK	ჩანაწერის მიმდევრობის ნომერი (SQL ცხრილში)
Z_ENT	ცხრილის იდენტიფიკატორი, აქვს მნიშვნელობა '9'
Z_OPT	უცნობია, ჩვეულებრივ შეიცავს მნიშვნელობებს "1"-დან "6"-მდე
ZCHILDMESSAGESDELIVEREDCOUNT	უცნობია, ჩვეულებრივ შეიცავს მნიშვნელობას „0“
ZCHILDMESSAGESPLAYEDCOUNT	უცნობია, ჩვეულებრივ შეიცავს მნიშვნელობას „0“
ZCHILDMESSAGESREADCOUNT	უცნობია, ჩვეულებრივ შეიცავს მნიშვნელობას „0“
ZDATAITEMVERSION	უცნობია, ჩვეულებრივ შეიცავს მნიშვნელობას '3', ალბათ ტექსტური შეტყობინების ინდიკატორს
ZDOCID	უცნობი
ZENCRETRYCOUNT	უცნობია, ჩვეულებრივ შეიცავს მნიშვნელობას „0“
ZFILTEREDRECIPIENTCOUNT	უცნობია, ჩვეულებრივ შეიცავს მნიშვნელობებს '0', '2', '256'
ZISFROMME	შეტყობინების მიმართულება: '0' - შემომავალი, '1' - გამავალი
ZMESSAGEERRORSTATUS	შეტყობინების გადაცემის სტატუსი. თუ შეტყობინება გაიგზავნება/მიიღება, მაშინ მას აქვს მნიშვნელობა '0'
ZMESSAGETYPE	გაგზავნილი შეტყობინების ტიპი
ZSORT	უცნობი
ZSPOTLIHSTATUS	უცნობი
ვარსკვლავური	უცნობი, არ გამოიყენება
ZCHATSESSION	უცნობი
ZGROUPMEMBER	უცნობი, არ გამოიყენება
ZLASTSESSION	უცნობი
ZMEDIAITEM	უცნობი
ZMESSAGEINFO	უცნობი
ZPARENTMESSAGE	უცნობი, არ გამოიყენება
ZMESSAGEDATE	დროის შტამპი OS X Epoch Time ფორმატში
ZSENTDATE	როდესაც შეტყობინება გაიგზავნა OS X Epoch Time ფორმატში
ZFROMJID	WhatsApp გამგზავნის ID
ZMEDIASECTIONID	შეიცავს მედია ფაილის გაგზავნის წელს და თვეს
ZPHASH	უცნობი, არ გამოიყენება
ZPUSHPAME	კონტაქტის სახელი, რომელმაც გამოაგზავნა მედია ფაილი UTF-8 ფორმატში
ZSTANZID	შეტყობინების უნიკალური იდენტიფიკატორი
ZTEXT	შეტყობინების ტექსტი
ზტოჯიდი	მიმღების WhatsApp ID
OFFSET	მიკერძოება

მაგიდის გარეგნობა 'ZWAMEDIAITEM':

ცხრილის სტრუქტურა 'ZWAMEDIAITEM'

ველის სახელი	ღირებულება
Z_PK	ჩანაწერის მიმდევრობის ნომერი (SQL ცხრილში)
Z_ENT	ცხრილის იდენტიფიკატორი, აქვს მნიშვნელობა '8'
Z_OPT	უცნობია, ჩვეულებრივ შეიცავს მნიშვნელობებს "1"-დან "3"-მდე.
ZCLOUDSTATUS	შეიცავს მნიშვნელობას '4' თუ ფაილი ჩატვირთულია.
ZFILESIZE	შეიცავს ფაილის სიგრძეს (ბაიტებში) გადმოწერილი ფაილებისთვის
ZMEDIAORIGIN	უცნობია, ჩვეულებრივ აქვს მნიშვნელობა '0'
ZMOVIEDURATION	მედია ფაილის ხანგრძლივობა, pdf ფაილებისთვის შეიძლება შეიცავდეს დოკუმენტის გვერდების რაოდენობას
ZMESSAGE	შეიცავს სერიულ ნომერს (ნომერი განსხვავდება იმ რიცხვისგან, რომელიც მითითებულია სვეტში "Z_PK")
ZASPECTRATIO	ასპექტის თანაფარდობა, არ გამოიყენება, ჩვეულებრივ დაყენებულია '0'
სიზუსტე	უცნობია, ჩვეულებრივ აქვს მნიშვნელობა '0'
ZLATTITUDE	სიგანე პიქსელებში
გრძივი	სიმაღლე პიქსელებში
ZMEDIAURLDATE	დროის შტამპი OS X Epoch Time ფორმატში
ZAUTHORNAME	ავტორი (დოკუმენტებისთვის, შეიძლება შეიცავდეს ფაილის სახელს)
ZCOLLECTIONNAME	არ გამოიყენება
ZMEDIALOCALPATH	ფაილის სახელი (მათ შორის გზა) მოწყობილობის ფაილურ სისტემაში
ZMEDIAURL	URL, სადაც განთავსებული იყო მედია ფაილი. თუ ფაილი გადაეცა ერთი აბონენტიდან მეორეზე, ის დაშიფრულია და მისი გაფართოება მითითებული იქნება გადაცემული ფაილის გაფართოებად - .enc.
ZTHUMBNAILLOCALPATH	მოწყობილობის ფაილურ სისტემაში ფაილის ესკიზისკენ მიმავალი გზა
ZTITLE	ფაილის სათაური
ZVCARDNAME	მედია ფაილის ჰეში; ფაილის ჯგუფში გადაცემისას ის შეიძლება შეიცავდეს გამგზავნის იდენტიფიკატორს
ZVCARDSTRING	შეიცავს ინფორმაციას გადაცემული ფაილის ტიპის შესახებ (მაგალითად, image/jpeg); ფაილის ჯგუფში გადაცემისას ის შეიძლება შეიცავდეს მიმღების იდენტიფიკატორს
ZXMPPTHUMBPATH	მოწყობილობის ფაილურ სისტემაში ფაილის ესკიზისკენ მიმავალი გზა
ZMEDIAKEY	უცნობია, სავარაუდოდ შეიცავს დაშიფრული ფაილის გაშიფვრის გასაღებს.
ZMETADATA	გადაცემული შეტყობინების მეტამონაცემები
ოფსეტური	მიკერძოება

სხვა საინტერესო მონაცემთა ბაზის ცხრილები 'ChatStorage.sqlite' არიან:

• 'ZWAPROFILEPUSHNAME'. შეესაბამება WhatsApp ID საკონტაქტო სახელს;
• 'ZWAPROFILEPICTUREITEM'. შეესაბამება WhatsApp ID-ს საკონტაქტო ავატარს;
• 'Z_PRIMARYKEY'. ცხრილი შეიცავს ზოგად ინფორმაციას ამ მონაცემთა ბაზის შესახებ, როგორიცაა შენახული შეტყობინებების საერთო რაოდენობა, ჩეთების საერთო რაოდენობა და ა.შ.

ასევე, iOS-ის მობილურ მოწყობილობაზე WhatsApp-ის შემოწმებისას ყურადღება უნდა მიაქციოთ შემდეგ ფაილებს:

• ფაილი 'BackedUpKeyValue.sqlite'. შეიცავს კრიპტოგრაფიულ გასაღებებს და სხვა მონაცემებს, რომლებიც აუცილებელია ანგარიშის მფლობელის იდენტიფიცირებისთვის. მდებარეობს ბილიკის გასწვრივ: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• ფაილი 'ContactsV2.sqlite'. შეიცავს ინფორმაციას მომხმარებლის კონტაქტების შესახებ, როგორიცაა სრული სახელი, ტელეფონის ნომერი, კონტაქტის სტატუსი (ტექსტური ფორმით), WhatsApp ID და ა.შ. ბილიკის გასწვრივ მდებარეობს: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• ფაილი 'მომხმარებლის_ვერსია'. შეიცავს დაინსტალირებული WhatsApp აპლიკაციის ვერსიის ნომერს. მდებარეობს ბილიკის გასწვრივ: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• ფაილი 'current_wallpaper.jpg'. შეიცავს WhatsApp-ის მიმდინარე ფონის ფონს. მდებარეობს ბილიკის გასწვრივ: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. აპლიკაციის ძველი ვერსიები იყენებენ ფაილს 'ფონი', რომელიც მდებარეობს ბილიკის გასწვრივ: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
• ფაილი 'blockedcontacts.dat'. შეიცავს ინფორმაციას დაბლოკილი კონტაქტების შესახებ. მდებარეობს ბილიკის გასწვრივ: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• ფაილი 'pw.dat'. შეიცავს დაშიფრულ პაროლს. ბილიკის გასწვრივ მდებარეობს: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
• ფაილი 'net.whatsapp.WhatsApp.plist' (ან ფაილი 'group.net.whatsapp.WhatsApp.shared.plist'). შეიცავს ინფორმაციას თქვენი WhatsApp ანგარიშის პროფილის შესახებ. ფაილი მდებარეობს ბილიკის გასწვრივ: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

ფაილის შინაარსი "group.net.whatsapp.WhatsApp.shared.plist"
ასევე ყურადღება უნდა მიაქციოთ შემდეგ დირექტორიას:

• დირექტორია '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. შეიცავს კონტაქტების, ჯგუფების ესკიზებს (ფაილები გაფართოებით .ცერა თითი), საკონტაქტო ავატარები, WhatsApp ანგარიშის მფლობელის ავატარი (ფაილი 'Photo.jpg').
• დირექტორია '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. შეიცავს მულტიმედია ფაილებს და მათ ესკიზებს
• დირექტორია '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. შეიცავს პროგრამის საოპერაციო ჟურნალს (ფაილი 'calls.log') და პროგრამის საოპერაციო ჟურნალების სარეზერვო ასლები (ფაილი 'calls.backup.log').
• დირექტორია '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. შეიცავს სტიკერებს (ფაილები ფორმატში '.webp').
• დირექტორია '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. შეიცავს პროგრამის ოპერაციების ჟურნალებს.

WhatsApp-ის არტეფაქტები Windows-ზე

WhatsApp-ის არტეფაქტები Windows-ზე შეგიძლიათ ნახოთ რამდენიმე ადგილას. უპირველეს ყოვლისა, ეს არის დირექტორიები, რომლებიც შეიცავს პროგრამის შესრულებადი და დამხმარე ფაილებს (Windows 8/10):

• 'C:პროგრამის ფაილები (x86)WhatsApp'
• "C:მომხმარებლები%მომხმარებლის პროფილი% AppDataLocalWhatsApp"
• 'C:Users%მომხმარებლის პროფილი% AppDataLocalVirtualStore პროგრამის ფაილები (x86)WhatsApp'

კატალოგში "C:მომხმარებლები%მომხმარებლის პროფილი% AppDataLocalWhatsApp" ჟურნალის ფაილი მდებარეობს 'SquirrelSetup.log', რომელიც შეიცავს ინფორმაციას განახლებების შემოწმებისა და პროგრამის ინსტალაციის შესახებ.

კატალოგში 'C:მომხმარებლები%მომხმარებლის პროფილი% AppDataRoamingWhatsApp' არსებობს რამდენიმე ქვედირექცია:

ფაილი 'main-process.log' შეიცავს ინფორმაციას WhatsApp პროგრამის მუშაობის შესახებ.

ქვეცნობარი "მონაცემთა ბაზები" შეიცავს ფაილს 'Databases.db', მაგრამ ეს ფაილი არ შეიცავს ინფორმაციას ჩეთების ან კონტაქტების შესახებ.

სასამართლო ექსპერტიზის თვალსაზრისით ყველაზე საინტერესო არის დირექტორიაში განთავსებული ფაილები "ქეში". ეს ძირითადად დასახელებული ფაილებია 'f_*******' (სადაც * არის რიცხვი 0-დან 9-მდე), რომელიც შეიცავს დაშიფრულ მულტიმედიურ ფაილებს და დოკუმენტებს, მაგრამ მათ შორის არის დაშიფრული ფაილებიც. განსაკუთრებით საინტერესოა ფაილები 'data_0', 'data_1', 'data_2', 'data_3', მდებარეობს იმავე ქვედირექტორიაში. ფაილები 'data_0', 'data_1', 'data_3' შეიცავდეს გარე ბმულებს გადაცემული დაშიფრული მულტიმედიური ფაილებისა და დოკუმენტებისთვის.

ინფორმაციის მაგალითი, რომელიც შეიცავს ფაილს 'data_1'
ასევე ფაილი 'data_3' შეიძლება შეიცავდეს გრაფიკულ ფაილებს.

ფაილი 'data_2' შეიცავს საკონტაქტო ავატარებს (აღდგენა შესაძლებელია ფაილის სათაურების ძიებით).

ფაილში შემავალი ავატარები 'data_2':

ამრიგად, თავად ჩეთები ვერ მოიძებნება კომპიუტერის მეხსიერებაში, მაგრამ შეგიძლიათ იპოვოთ:

• მულტიმედიური ფაილები;
• WhatsApp-ის საშუალებით გადაცემული დოკუმენტები;
• ინფორმაცია ანგარიშის მფლობელის კონტაქტების შესახებ.

WhatsApp-ის არტეფაქტები MacOS-ზე

MacOS-ში შეგიძლიათ იპოვოთ WhatsApp-ის არტეფაქტების ტიპები, რომლებიც Windows OS-შია ნაპოვნი.

პროგრამის ფაილები განლაგებულია შემდეგ დირექტორიაში:

• "C:ApplicationsWhatsApp.app"
• 'C:Applications._WhatsApp.app'
• 'C:Users%მომხმარებლის პროფილი%LibraryPreferences'
• 'C:Users%მომხმარებლის პროფილი%LibraryLogsWhatsApp'
• 'C:Users%მომხმარებლის პროფილი%LibrarySaved Application StateWhatsApp.savedState'
• 'C:Users%მომხმარებლის პროფილი%LibraryApplication Scripts'
• 'C:Users%მომხმარებლის პროფილი%LibraryApplication SupportCloudDocs'
• 'C:Users%მომხმარებლის პროფილი%LibraryApplication SupportWhatsApp.ShipIt'
• 'C:Users%მომხმარებლის პროფილი%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
• 'C:მომხმარებლები%მომხმარებლის პროფილი% ბიბლიოთეკის მობილური დოკუმენტები <ტექსტის ცვლადი> WhatsApp ანგარიშები'
  ეს დირექტორია შეიცავს ქვედირექტორიებს, რომელთა სახელები არის WhatsApp ანგარიშის მფლობელთან დაკავშირებული ტელეფონის ნომრები.
• 'C:Users%მომხმარებლის პროფილი%LibraryCachesWhatsApp.ShipIt'
  ეს დირექტორია შეიცავს ინფორმაციას პროგრამის დაყენების შესახებ.
• 'C:Users%მომხმარებლის პროფილი%PicturesiPhoto Library.photolibraryMasters', 'C:Users%მომხმარებლის პროფილი%PicturesiPhoto Library.photolibraryThumbnails'
  ეს დირექტორიები შეიცავს პროგრამის სერვისის ფაილებს, მათ შორის WhatsApp კონტაქტების ფოტოებსა და მინიატურებს.
• 'C:Users%მომხმარებლის პროფილი%LibraryCachesWhatsApp'
  ეს დირექტორია შეიცავს რამდენიმე SQLite მონაცემთა ბაზას, რომლებიც გამოიყენება მონაცემთა ქეშირებისთვის.
• 'C:მომხმარებლები%მომხმარებლის პროფილი%ბიბლიოთეკის აპლიკაციის მხარდაჭერაWhatsApp'
  ეს დირექტორია შეიცავს რამდენიმე ქვედირექტორიას:

  
  კატალოგში 'C:Users%მომხმარებლის პროფილი%LibraryApplication SupportWhatsAppCache' არის ფაილები 'data_0', 'data_1', 'data_2', 'data_3' და ფაილები სახელებით 'f_*******' (სადაც * არის რიცხვი 0-დან 9-მდე). ინფორმაციისთვის, თუ რა ინფორმაციას შეიცავს ეს ფაილები, იხილეთ WhatsApp Artifacts Windows-ზე.

  კატალოგში 'C:Users%მომხმარებლის პროფილი%LibraryApplication SupportWhatsAppIndexedDB' შეიძლება შეიცავდეს მულტიმედია ფაილებს (ფაილებს არ აქვთ გაფართოება).

  ფაილი 'main-process.log' შეიცავს ინფორმაციას WhatsApp პროგრამის მუშაობის შესახებ.

ინფორმაციის წყაროები

1. WhatsApp Messenger-ის სასამართლო ანალიზი Android სმარტფონებზე, Cosimo Anglano-ს მიერ, 2014 წ.
2. Whatsapp-ის სასამართლო ექსპერტიზა: აჰმად პრატამას მიერ შემუშავებული სისტემა და მონაცემთა ბაზის აპლიკაციები Android და iOS-ის მიერ, 2014 წ.

ამ სერიის შემდეგ სტატიებში:

WhatsApp-ის დაშიფრული მონაცემთა ბაზების გაშიფვრასტატია, რომელიც მოგაწვდით ინფორმაციას იმის შესახებ, თუ როგორ იქმნება WhatsApp დაშიფვრის გასაღები და პრაქტიკული მაგალითები, რომლებიც აჩვენებს, თუ როგორ უნდა გაშიფროთ ამ აპლიკაციის დაშიფრული მონაცემთა ბაზები.
WhatsApp მონაცემების ამოღება ღრუბლოვანი საცავიდანსტატია, რომელშიც ჩვენ გეტყვით, თუ რა WhatsApp მონაცემები ინახება ღრუბლებში და აღვწერთ ამ მონაცემების ღრუბლოვანი საცავებიდან ამოღების მეთოდებს.
WhatsApp მონაცემთა ამოღება: პრაქტიკული მაგალითებისტატია, რომელიც ეტაპობრივად აღწერს რა პროგრამები და როგორ ამოიღოთ WhatsApp მონაცემები სხვადასხვა მოწყობილობიდან.

წყარო: www.habr.com