손 안에 있는 WhatsApp: 법의학 유물을 어디서, 어떻게 찾을 수 있나요?

다양한 운영 체제에 어떤 유형의 WhatsApp 포렌식 아티팩트가 존재하는지, 정확히 어디에서 찾을 수 있는지 알고 싶다면 이곳이 바로 여러분을 위한 곳입니다. 이 기사는 Group-IB 컴퓨터 포렌식 연구소의 전문가가 작성한 것입니다. 이고르 미하일로프 WhatsApp 법의학 및 장치 분석을 통해 얻을 수 있는 정보에 대한 일련의 게시물을 시작합니다.

서로 다른 운영 체제는 서로 다른 유형의 WhatsApp 아티팩트를 저장하며, 연구원이 한 장치에서 특정 유형의 WhatsApp 데이터를 추출할 수 있다고 해서 이것이 다른 장치에서 유사한 유형의 데이터를 추출할 수 있다는 의미는 아닙니다. 예를 들어 Windows OS를 실행하는 시스템 장치가 제거되면 해당 디스크에서 WhatsApp 채팅을 찾을 수 없을 것입니다(단, 동일한 드라이브에서 찾을 수 있는 iOS 장치의 백업 복사본은 제외). 노트북과 모바일 장치의 압수에는 고유한 특성이 있습니다. 이에 대해 더 자세히 이야기합시다.

Android 장치의 WhatsApp 아티팩트

Android 기기에서 WhatsApp 아티팩트를 추출하려면 연구원에게 슈퍼유저 권한('뿌리') 조사 중인 장치에서 또는 장치 또는 해당 파일 시스템의 물리적 메모리 덤프를 추출할 수 있습니다(예: 특정 모바일 장치의 소프트웨어 취약점을 사용하여).

응용 프로그램 파일은 사용자 데이터가 저장되는 섹션의 휴대폰 메모리에 있습니다. 원칙적으로 이 섹션의 이름은 다음과 같습니다. '사용자 데이터'. 하위 디렉터리와 프로그램 파일은 다음 경로를 따라 위치합니다. '/data/data/com.whatsapp/'.

Android OS의 WhatsApp 포렌식 아티팩트가 포함된 주요 파일은 데이터베이스입니다. 'wa.db' и 'msgstore.db'.

데이터베이스에서 'wa.db' 전화번호, 표시 이름, 타임스탬프 및 WhatsApp에 등록하는 동안 제공된 기타 정보를 포함하여 WhatsApp 사용자의 전체 연락처 목록이 포함되어 있습니다. 파일 'wa.db' 경로를 따라 위치: '/data/data/com.whatsapp/databases/' 다음과 같은 구조를 가지고 있습니다:

데이터베이스에서 가장 흥미로운 테이블 'wa.db' 연구원을 위한 것은 다음과 같습니다:

• 'wa_연락처'
  이 테이블에는 WhatsApp 연락처 ID, 상태 정보, 사용자 표시 이름, 타임스탬프 등의 연락처 정보가 포함되어 있습니다.

  테이블 모양:

  
  테이블 구조

  분야 명	가치
  _신분증	레코드 시퀀스 번호(SQL 테이블)
  지드	<전화번호>@s.whatsapp.net 형식으로 작성된 WhatsApp 연락처 ID
  is_whatsapp_user	연락처가 실제 WhatsApp 사용자에 해당하면 '1', 그렇지 않으면 '0'이 포함됩니다.
  지위	연락처 상태에 표시되는 텍스트를 포함합니다.
  상태_타임스탬프	Unix Epoch Time(ms) 형식의 타임스탬프를 포함합니다.
  번호	연락처와 연결된 전화번호
  raw_contact_id	일련번호에 문의
  DISPLAY_NAME	연락처 표시 이름
  전화_유형	전화 유형
  전화_라벨	연락처 번호와 관련된 라벨
  unseen_msg_count	연락처가 보냈지만 수신자가 읽지 않은 메시지 수
  photo_ts	Unix Epoch Time 형식의 타임스탬프를 포함합니다.
  엄지손가락	Unix Epoch Time 형식의 타임스탬프를 포함합니다.
  photo_id_timestamp	Unix Epoch Time(ms) 형식의 타임스탬프를 포함합니다.
  주어진_이름	필드 값은 각 연락처의 'display_name'과 일치합니다.
  wa_name	WhatsApp 연락처 이름(연락처 프로필에 지정된 이름이 표시됨)
  sort_name	정렬 작업에 사용되는 연락처 이름
  별명	WhatsApp의 연락처 닉네임(연락처 프로필에 지정된 닉네임이 표시됨)
  회사	회사(연락처 프로필에 지정된 회사가 표시됩니다)
  제목	직함(Ms./Mr.; 연락처 프로필에 구성된 직함이 표시됨)
  오프셋	변위

• 'sqlite_시퀀스'
  이 테이블에는 연락처 수에 대한 정보가 포함되어 있습니다.
• 'android_metadata'
  이 표에는 WhatsApp 언어 현지화에 대한 정보가 포함되어 있습니다.

데이터베이스에서 'msgstore.db' 연락처 번호, 메시지 텍스트, 메시지 상태, 타임스탬프, 메시지에 포함된 전송된 파일의 세부 정보 등 보낸 메시지에 대한 정보가 포함되어 있습니다. 파일 'msgstore.db' 경로를 따라 위치: '/data/data/com.whatsapp/databases/' 다음과 같은 구조를 가지고 있습니다:

파일에서 가장 흥미로운 테이블 'msgstore.db' 연구원을 위한 것은 다음과 같습니다:

• 'sqlite_시퀀스'
  이 테이블에는 저장된 총 메시지 수, 총 채팅 수 등과 같은 이 데이터베이스에 대한 일반 정보가 포함되어 있습니다.

  테이블 모양:

  

• 'message_fts_content'
  보낸 메시지의 텍스트를 포함합니다.

  테이블 모양:

  

• '메시지'
  이 테이블에는 연락처 번호, 메시지 텍스트, 메시지 상태, 타임스탬프, 메시지에 포함된 전송된 파일에 대한 정보 등의 정보가 포함되어 있습니다.

  테이블 모양:

  
  테이블 구조

  분야 명	가치
  _신분증	레코드 시퀀스 번호(SQL 테이블)
  key_remote_jid	통신 파트너의 WhatsApp ID
  key_from_me	메시지 방향: '0' – 수신, '1' – 발신
  key_id	고유한 메시지 식별자
  지위	메시지 상태: '0' – 전달됨, '4' – 서버에서 대기 중, '5' – 대상에서 수신됨, '6' – 제어 메시지, '13' – 수신자가 연 메시지(읽기)
  need_push	브로드캐스트 메시지인 경우 '2' 값을 가지며, 그렇지 않으면 '0'을 포함합니다.
  데이터	메시지 텍스트('media_wa_type' 매개변수가 '0'인 경우)
  따라서 오른쪽 하단에	Unix Epoch Time(ms) 형식의 타임스탬프가 포함되어 있으며 값은 장치 시계에서 가져옵니다.
  media_url	전송된 파일의 URL이 포함됩니다. ('media_wa_type' 매개변수가 '1', '2', '3'인 경우)
  media_mime_type	전송된 파일의 MIME 유형('media_wa_type' 매개변수가 '1', '2', '3'인 경우)
  media_wa_type	메시지 유형: '0' - 텍스트, '1' - 그래픽 파일, '2' - 오디오 파일, '3' - 비디오 파일, '4' - 연락처 카드, '5' - 지리 데이터
  media_size	전송되는 파일의 크기('media_wa_type' 파라미터가 '1', '2', '3'인 경우)
  미디어_이름	전송된 파일명 ('media_wa_type' 파라미터가 '1', '2', '3'인 경우)
  media_caption	'media_wa_type' 매개변수의 해당 값에 'audio', 'video'라는 단어가 포함됩니다. ('media_wa_type' 매개변수가 '1', '3'인 경우)
  미디어_해시	HAS-64 알고리즘을 사용하여 계산된 전송 파일의 base256 인코딩 해시('media_wa_type' 매개변수가 '1', '2', '3'인 경우)
  media_duration	미디어 파일의 지속 시간('media_wa_type'이 '1', '2', '3'인 경우)
  출발지	브로드캐스트 메시지인 경우 '2' 값을 가지며, 그렇지 않으면 '0'을 포함합니다.
  위도	geodata: 위도 ('media_wa_type' 매개변수가 '5'인 경우)
  경도	geodata: 경도('media_wa_type' 매개변수가 '5'인 경우)
  엄지손가락_이미지	서비스 정보
  원격_자원	발신자 ID(그룹 채팅에만 해당)
  수신_타임스탬프	수신 시간, Unix Epoch Time(ms) 형식의 타임스탬프 포함, 값은 기기 시계에서 가져옵니다('key_from_me' 매개변수에 '0', '-1' 또는 기타 값이 있는 경우).
  send_timestamp	사용되지 않으며 일반적으로 값은 '-1'입니다.
  영수증_서버_타임스탬프	중앙 서버가 수신한 시간에는 Unix Epoch Time(ms) 형식의 타임스탬프가 포함되어 있으며 값은 장치 시계에서 가져옵니다('key_from_me' 매개변수에 '1', '-1' 또는 기타 값이 있는 경우).
  영수증_장치_타임스탬프	메시지가 다른 구독자에 의해 수신된 시간, Unix Epoch Time(ms) 형식의 타임스탬프 포함, 값은 장치 시계에서 가져옵니다('key_from_me' 매개변수에 '1', '-1' 또는 다른 값이 있는 경우).
  read_device_timestamp	메시지 열기(읽기) 시간, Unix Epoch Time(ms) 형식의 타임스탬프 포함, 값은 장치 시계에서 가져옴
  played_device_timestamp	메시지 재생 시간은 Unix Epoch Time(ms) 형식의 타임스탬프를 포함하며 값은 장치 시계에서 가져옵니다.
  원시 데이터	전송된 파일의 썸네일 ('media_wa_type' 파라미터가 '1' 또는 '3'인 경우)
  수신자_수	수신자 수(브로드캐스트 메시지의 경우)
  참가자_해시	지리 데이터와 함께 메시지를 전송할 때 사용됩니다.
  주연	미사용
  quoted_row_id	알 수 없음, 일반적으로 '0' 값 포함
  언급_지드	미사용
  멀티캐스트_ID	미사용
  오프셋	변위

  이 필드 목록은 완전한 것이 아닙니다. WhatsApp 버전에 따라 일부 필드가 있거나 없을 수 있습니다. 또한 필드가 있을 수 있습니다. 'media_enc_hash', '편집_버전', '결제_거래_ID' 기타

• 'messages_thumbnails'
  이 테이블에는 전송된 이미지와 타임스탬프에 대한 정보가 포함되어 있습니다. 'timestamp' 열에는 Unix Epoch Time(ms) 형식으로 시간이 표시된다.
• '채팅 목록'
  이 테이블에는 채팅에 대한 정보가 포함되어 있습니다.

  테이블 모양:

  

또한 Android를 실행하는 모바일 장치에서 WhatsApp을 검사할 때 다음 파일에 주의해야 합니다.

• 파일 'msgstore.db.cryptXX' (XX는 0부터 12까지의 한 자리 또는 두 자리 숫자입니다(예: msgstore.db.crypt12)). WhatsApp 메시지의 암호화된 백업이 포함되어 있습니다(백업 파일 msgstore.db). 파일 'msgstore.db.cryptXX' 경로를 따라 위치: '/데이터/미디어/0/WhatsApp/데이터베이스/' (가상 SD 카드), '/mnt/sdcard/WhatsApp/데이터베이스/ (물리적 SD 카드)'.
• 파일 '열쇠'. 암호화 키가 포함되어 있습니다. 경로를 따라 위치: '/data/data/com.whatsapp/files/'. 암호화된 WhatsApp 백업의 암호를 해독하는 데 사용됩니다.
• 파일 'com.whatsapp_preferences.xml'. WhatsApp 계정 프로필에 대한 정보가 포함되어 있습니다. 파일은 다음 경로를 따라 위치합니다. '/data/data/com.whatsapp/shared_prefs/'.

  파일 콘텐츠 조각

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• 파일 'registration.RegisterPhone.xml'. WhatsApp 계정과 연결된 전화번호에 대한 정보가 포함되어 있습니다. 파일은 다음 경로를 따라 위치합니다. '/data/data/com.whatsapp/shared_prefs/'.

  파일 내용

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• 파일 'axolotl.db'. 계정 소유자를 식별하는 데 필요한 암호화 키 및 기타 데이터가 포함되어 있습니다. 경로를 따라 위치: '/data/data/com.whatsapp/databases/'.
• 파일 'chatsettings.db'. 애플리케이션 구성 정보가 포함되어 있습니다.
• 파일 'wa.db'. 연락처 정보가 포함되어 있습니다. 매우 흥미롭고(법의학적 측면에서) 유익한 데이터베이스입니다. 여기에는 삭제된 연락처에 대한 자세한 정보가 포함될 수 있습니다.

다음 디렉토리에도 주의를 기울여야 합니다.

• 디렉토리 '/데이터/미디어/0/WhatsApp/미디어/WhatsApp 이미지/'. 전송된 그래픽 파일이 포함되어 있습니다.
• 디렉토리 '/data/media/0/WhatsApp/Media/WhatsApp 음성 메모/'. .OPUS 형식 파일의 음성 메시지가 포함되어 있습니다.
• 디렉토리 '/data/data/com.whatsapp/cache/프로필 사진/'. 그래픽 파일(연락처 이미지)이 포함되어 있습니다.
• 디렉토리 '/data/data/com.whatsapp/files/Avatars/'. 그래픽 파일(연락처의 축소판 이미지)이 포함되어 있습니다. 이러한 파일은 확장자가 '.j'이지만 그럼에도 불구하고 JPEG(JPG) 이미지 파일입니다.
• 디렉토리 '/data/data/com.whatsapp/files/Avatars/'. 그래픽 파일(계정 소유자가 아바타로 설정한 이미지 및 이미지의 썸네일)이 포함되어 있습니다.
• 디렉토리 '/data/data/com.whatsapp/files/Logs/'. 프로그램 작업 로그('whatsapp.log' 파일) 및 프로그램 작업 로그의 백업 복사본(whatsapp-yyyy-mm-dd.1.log.gz 형식의 이름을 가진 파일)이 포함되어 있습니다.

WhatsApp 로그 파일:

일지 조각2017-01-10 09:37:09.757 LL_I D [524:WhatsApp 작업자 #1] 부재중 전화 알림/초기 횟수:0 타임스탬프:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] 부재중 전화 알림/업데이트 취소 true
2017-01-10 09:37:09.768 LL_ID [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] 비밀번호 파일이 없거나 읽을 수 없습니다.
2017-01-10 09:37:09.782 LL_I D [1:main] 통계 문자 메시지: 전송 59개, 수신 82개 / 미디어 메시지: 전송 1개(0바이트), 수신 0개(9850158바이트) / 오프라인 메시지: 수신 81개( 19522밀리초 평균 지연) / 메시지 서비스: 전송 116075바이트, 수신 211729바이트 / VoIP 통화: 발신 통화 1개, 수신 통화 0개, 전송 2492바이트, 수신 1530바이트 / Google 드라이브: 전송 0바이트, 수신 0바이트 / 로밍: 1524 전송된 바이트, 수신된 1826바이트 / 총 데이터: 전송된 118567바이트, 수신된 바이트 10063417
2017-01-10 09:37:09.785 LL_I D [1:main] 미디어-상태-관리자/새로 고침-미디어-상태/쓰기 가능-미디어
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/초기화/타이머/중지: 24
2017-01-10 09:37:09.811 LL_ID [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:메인] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:메인] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | 소요 시간:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage 사용 가능:1,345,622,016 총:5,687,922,688

• 디렉토리 '/데이터/미디어/0/WhatsApp/미디어/WhatsApp 오디오/'. 수신된 오디오 파일이 포함되어 있습니다.
• 디렉토리 '/data/media/0/WhatsApp/미디어/WhatsApp 오디오/전송/'. 전송된 오디오 파일이 포함되어 있습니다.
• 디렉토리 '/데이터/미디어/0/WhatsApp/미디어/WhatsApp 이미지/'. 결과 그래픽 파일을 포함합니다.
• 디렉토리 '/data/media/0/WhatsApp/미디어/WhatsApp 이미지/전송됨/'. 전송된 그래픽 파일이 포함되어 있습니다.
• 디렉토리 '/데이터/미디어/0/WhatsApp/미디어/WhatsApp 비디오/'. 수신된 비디오 파일이 포함되어 있습니다.
• 디렉토리 '/데이터/미디어/0/WhatsApp/미디어/WhatsApp 비디오/보낸/'. 전송된 비디오 파일이 포함되어 있습니다.
• 디렉토리 '/data/media/0/WhatsApp/Media/WhatsApp 프로필 사진/'. WhatsApp 계정 소유자와 관련된 그래픽 파일이 포함되어 있습니다.
• Android 스마트폰의 메모리 공간을 절약하기 위해 일부 WhatsApp 데이터를 SD 카드에 저장할 수 있습니다. SD 카드의 루트 디렉터리에는 디렉터리가 있습니다. '왓츠앱', 여기서 이 프로그램의 다음과 같은 아티팩트를 찾을 수 있습니다.

  

• 디렉토리 '.공유하다' ('/mnt/sdcard/WhatsApp/.Share/'). 다른 WhatsApp 사용자와 공유된 파일의 복사본이 포함되어 있습니다.
• 디렉토리 '.쓰레기' ('/mnt/sdcard/WhatsApp/.trash/'). 삭제된 파일이 포함되어 있습니다.
• 디렉토리 '데이터베이스' ('/mnt/sdcard/WhatsApp/데이터베이스/'). 암호화된 백업이 포함되어 있습니다. 파일이 있으면 해독할 수 있습니다. '열쇠', 분석된 장치의 메모리에서 추출됩니다.

  하위 디렉터리에 있는 파일 '데이터베이스':

  

• 디렉토리 '반' ('/mnt/sdcard/WhatsApp/미디어/'). 하위 디렉터리가 포함되어 있습니다. '벽지', '왓츠앱 오디오', 'WhatsApp 이미지', 'WhatsApp 프로필 사진', '왓츠앱 비디오', 'WhatsApp 음성 메모'에는 수신 및 전송된 멀티미디어 파일(그래픽 파일, 비디오 파일, 음성 메시지, WhatsApp 계정 소유자의 프로필과 관련된 사진, 배경화면)이 포함되어 있습니다.
• 디렉토리 '프로필 사진' ('/mnt/sdcard/WhatsApp/프로필 사진/'). WhatsApp 계정 소유자의 프로필과 관련된 그래픽 파일이 포함되어 있습니다.
• 때로는 SD 카드에 디렉토리가 있을 수 있습니다. '파일' ('/mnt/sdcard/WhatsApp/파일/'). 이 디렉터리에는 프로그램 설정과 사용자 기본 설정을 저장하는 파일이 포함되어 있습니다.

일부 모바일 장치 모델의 데이터 저장 기능

Android OS를 실행하는 일부 모바일 장치 모델은 WhatsApp 아티팩트를 다른 위치에 저장할 수 있습니다. 이는 모바일 기기의 시스템 소프트웨어에 의한 애플리케이션 데이터의 저장 공간이 변경되었기 때문입니다. 예를 들어 Xiaomi 모바일 장치에는 두 번째 작업 공간(“SecondSpace”)을 생성하는 기능이 있습니다. 이 기능이 활성화되면 데이터의 위치가 변경됩니다. 따라서 Android OS를 실행하는 일반 모바일 장치에서 사용자 데이터가 디렉토리에 저장되는 경우 '/데이터/사용자/0/' (이것은 일반적인 '/데이터/데이터/'), 두 번째 작업 공간에서 애플리케이션 데이터는 디렉토리에 저장됩니다. '/데이터/사용자/10/'. 즉, 파일 위치의 예를 사용하면 'wa.db':

• Android OS를 실행하는 일반 스마트폰의 경우: /data/user/0/com.whatsapp/databases/wa.db' (이것은 동등하다 '/data/data/com.whatsapp/databases/wa.db');
• Xiaomi 스마트폰의 두 번째 작업 공간: '/data/user/10/com.whatsapp/databases/wa.db'.

iOS 장치의 WhatsApp 아티팩트

Android OS와 달리 iOS WhatsApp 애플리케이션 데이터는 백업 복사본(iTunes 백업)으로 전송됩니다. 따라서 이 애플리케이션에서 데이터를 추출할 때 파일 시스템을 추출하거나 조사 중인 장치의 물리적 메모리 덤프를 생성할 필요가 없습니다. 대부분의 관련 정보는 데이터베이스에 포함되어 있습니다. 'ChatStorage.sqlite', 경로를 따라 위치: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (일부 프로그램에서는 이 경로가 다음과 같이 나타납니다. 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').

구조 'ChatStorage.sqlite':

'ChatStorage.sqlite' 데이터베이스에서 가장 유용한 테이블은 다음과 같습니다. 'ZWAMESSAGE' и 'ZW미디어아이템'.

테이블 모습 'ZWAMESSAGE':

'ZWAMESSAGE' 테이블의 구조

분야 명	가치
Z_PK	레코드 시퀀스 번호(SQL 테이블)
Z_ENT	테이블 식별자, 값은 '9'입니다.
Z_OPT	알 수 없음, 일반적으로 '1'에서 '6' 사이의 값을 포함
ZCHILDMESSAGESDEIVEREDCOUNT	알 수 없음, 일반적으로 '0' 값 포함
ZCHILDMESSAGESPLAYEDCOUNT	알 수 없음, 일반적으로 '0' 값 포함
ZCHILDMESSAGESREADCOUNT	알 수 없음, 일반적으로 '0' 값 포함
ZDATAITEMVERSION	알 수 없음, 일반적으로 '3' 값 포함, 아마도 문자 메시지 표시일 것임
ZDOCID	알 수없는
젠크리트리카운트	알 수 없음, 일반적으로 '0' 값 포함
Z필터링된 수신자 수	알 수 없음, 일반적으로 '0', '2', '256' 값을 포함합니다.
지프롬메	메시지 방향: '0' – 수신, '1' – 발신
Z메시지 오류 상태	메시지 전송 상태. 메시지를 보내고 받으면 값은 '0'입니다.
Z메시지 유형	전송되는 메시지 유형
ZSORT	알 수없는
Z스포트라이트상태	알 수없는
Z별표 표시됨	알 수 없음, 사용되지 않음
Z챗세션	알 수없는
Z그룹멤버	알 수 없음, 사용되지 않음
Z라스트세션	알 수없는
Z미디어항목	알 수없는
Z메시지정보	알 수없는
ZPARENT 메시지	알 수 없음, 사용되지 않음
Z메시지날짜	OS X Epoch 시간 형식의 타임스탬프
ZSENTDATE	메시지가 전송된 시간(OS X Epoch 시간 형식)
ZFROMJID	WhatsApp 발신자 ID
ZMEDIASECTIONID	미디어 파일이 전송된 연도와 월을 포함합니다.
ZPHASH	알 수 없음, 사용되지 않음
ZPUSHPAME	UTF-8 형식의 미디어 파일을 보낸 연락처 이름
즈스탄지드	고유한 메시지 식별자
ZTEXT	메시지 텍스트
즈토이드	수신자의 WhatsApp ID
OFFSET	변위

테이블 모습 'ZW미디어아이템':

'ZWAMEDIAITEM' 테이블의 구조

분야 명	가치
Z_PK	레코드 시퀀스 번호(SQL 테이블)
Z_ENT	테이블 식별자, 값은 '8'입니다.
Z_OPT	알 수 없음, 일반적으로 '1'부터 '3'까지의 값을 포함합니다.
Z클라우드상태	파일이 로드된 경우 값 '4'를 포함합니다.
Z파일 크기	다운로드한 파일의 파일 길이(바이트)를 포함합니다.
Z미디어오리진	알 수 없음, 일반적으로 값은 '0'입니다.
Z영화교육	미디어 파일의 기간(pdf 파일의 경우 문서의 페이지 수가 포함될 수 있음)
Z 메시지	일련 번호가 포함되어 있습니다 (번호는 'Z_PK' 열에 표시된 번호와 다릅니다)
ZASPECTRATIO	종횡비는 사용되지 않으며 일반적으로 '0'으로 설정됩니다.
ZHACURACY	알 수 없음, 일반적으로 값은 '0'입니다.
Z래티튜드	너비(픽셀)
Z경도	높이(픽셀)
ZMEDIAURLDATE	OS X Epoch 시간 형식의 타임스탬프
ZAUTHORNAME	작성자(문서의 경우 파일 이름이 포함될 수 있음)
ZCOLLECTIONNAME	미사용
ZMEDIALOCALPATH	장치 파일 시스템의 파일 이름(경로 포함)
Z미디어URL	미디어 파일이 위치한 URL입니다. 파일이 한 가입자에서 다른 가입자로 전송된 경우 해당 파일은 암호화되었으며 해당 확장자는 전송된 파일의 확장자(.enc)로 표시됩니다.
ZTHUMBNAILLOCALPATH	장치 파일 시스템의 파일 축소판 경로
Z제목	파일 헤더
ZVC카드이름	미디어 파일 해시; 파일을 그룹에 전송할 때 보낸 사람 식별자가 포함될 수 있습니다.
ZVCARDSTRING	전송되는 파일 유형에 대한 정보(예: image/jpeg)가 포함되어 있으며 파일을 그룹으로 전송할 때 수신자의 식별자가 포함될 수 있습니다.
ZXMPPTHUMBPATH	장치 파일 시스템의 파일 축소판 경로
Z미디어키	알 수 없음, 암호화된 파일을 해독하기 위한 키가 포함되어 있는 것 같습니다.
Z메타데이터	전송된 메시지의 메타데이터
오프셋	변위

기타 흥미로운 데이터베이스 테이블 'ChatStorage.sqlite' 위치 :

• 'ZWAPROFILEPUSHNAME'. WhatsApp ID를 연락처 이름과 일치시킵니다.
• 'ZWAPROFILEPICTUREITEM'. WhatsApp ID를 연락처 아바타와 일치시킵니다.
• 'Z_PRIMARYKEY'. 테이블에는 저장된 총 메시지 수, 총 채팅 수 등과 같은 이 데이터베이스에 대한 일반 정보가 포함되어 있습니다.

또한 iOS를 실행하는 모바일 장치에서 WhatsApp을 검사할 때 다음 파일에 주의해야 합니다.

• 파일 'BackedUpKeyValue.sqlite'. 계정 소유자를 식별하는 데 필요한 암호화 키 및 기타 데이터가 포함되어 있습니다. 경로를 따라 위치: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• 파일 '연락처V2.sqlite'. 이름, 전화번호, 연락처 상태(텍스트 형식), WhatsApp ID 등과 같은 사용자 연락처에 대한 정보가 포함됩니다. 경로를 따라 위치: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• 파일 '소비자_버전'. 설치된 WhatsApp 애플리케이션의 버전 번호가 포함되어 있습니다. 경로를 따라 위치: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• 파일 '현재_wallpaper.jpg'. 현재 WhatsApp 배경 화면이 포함되어 있습니다. 경로를 따라 위치: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. 이전 버전의 응용 프로그램이 파일을 사용합니다. '벽지', 경로를 따라 위치: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
• 파일 'blockedcontacts.dat'. 차단된 연락처에 대한 정보가 포함되어 있습니다. 경로를 따라 위치: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• 파일 'pw.dat'. 암호화된 비밀번호가 포함되어 있습니다. 경로를 따라 위치: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
• 파일 'net.whatsapp.WhatsApp.plist' (또는 파일 'group.net.whatsapp.WhatsApp.shared.plist'). WhatsApp 계정 프로필에 대한 정보가 포함되어 있습니다. 파일은 다음 경로를 따라 위치합니다. '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

'group.net.whatsapp.WhatsApp.shared.plist' 파일의 내용
다음 디렉토리에도 주의를 기울여야 합니다.

• 디렉토리 '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. 연락처, 그룹(확장자를 가진 파일)의 축소판이 포함되어 있습니다. .무지), 연락처 아바타, WhatsApp 계정 소유자 아바타(파일 '사진.jpg').
• 디렉토리 '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. 멀티미디어 파일과 해당 축소판이 포함되어 있습니다.
• 디렉토리 '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. 프로그램 작업 로그(파일 '통화.로그') 및 프로그램 작업 로그의 백업 복사본(파일 'calls.backup.log').
• 디렉토리 '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. 스티커(형식의 파일)가 포함되어 있습니다. '.webp').
• 디렉토리 '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. 프로그램 작업 로그가 포함되어 있습니다.

Windows의 WhatsApp 아티팩트

Windows의 WhatsApp 아티팩트는 여러 위치에서 찾을 수 있습니다. 우선, 다음은 실행 파일과 보조 프로그램 파일이 포함된 디렉터리입니다(Windows 8/10용).

• 'C:프로그램 파일(x86)WhatsApp'
• 'C:사용자%사용자 프로필% AppDataLocalWhatsApp'
• 'C:Users%User profile% AppDataLocalVirtualStore 프로그램 파일(x86)WhatsApp'

카탈로그에서 'C:사용자%사용자 프로필% AppDataLocalWhatsApp' 로그 파일이 있습니다 'SquirrelSetup.log'에는 업데이트 확인 및 프로그램 설치에 대한 정보가 포함되어 있습니다.

카탈로그에서 'C:사용자%사용자 프로필% AppDataRoamingWhatsApp' 여러 하위 디렉터리가 있습니다:

파일 '메인 프로세스.log' WhatsApp 프로그램 작동에 대한 정보가 포함되어 있습니다.

하위 디렉토리 '데이터베이스' 파일이 포함되어 있습니다 '데이터베이스.db'이지만 이 파일에는 채팅이나 연락처에 대한 정보가 포함되어 있지 않습니다.

포렌식 관점에서 가장 흥미로운 것은 디렉토리에 있는 파일입니다. '은닉처'. 이들은 기본적으로 다음과 같은 이름의 파일입니다. '에프_*******' (여기서 *는 0~9의 숫자) 암호화된 멀티미디어 파일 및 문서가 포함되어 있지만, 그 중에는 암호화되지 않은 파일도 있습니다. 특히 흥미로운 파일은 다음과 같습니다. '데이터_0', '데이터_1', '데이터_2', '데이터_3', 동일한 하위 디렉토리에 있습니다. 파일 '데이터_0', '데이터_1', '데이터_3' 전송된 암호화된 멀티미디어 파일 및 문서에 대한 외부 링크를 포함합니다.

'data_1' 파일에 포함된 정보의 예
또한 파일 '데이터_3' 그래픽 파일이 포함될 수 있습니다.

파일 '데이터_2' 연락처 아바타가 포함되어 있습니다(파일 헤더로 검색하여 복원 가능).

파일에 포함된 아바타 '데이터_2':

따라서 채팅 자체는 컴퓨터 메모리에서 찾을 수 없지만 다음을 찾을 수 있습니다.

• 멀티미디어 파일;
• WhatsApp을 통해 전송된 문서
• 계정 소유자의 연락처에 대한 정보.

MacOS의 WhatsApp 아티팩트

MacOS에서는 Windows OS에서 발견되는 것과 유사한 유형의 WhatsApp 아티팩트를 찾을 수 있습니다.

프로그램 파일은 다음 디렉터리에 있습니다.

• 'C:응용프로그램WhatsApp.app'
• 'C:응용프로그램._WhatsApp.app'
• 'C:사용자%사용자 프로필%LibraryPreferences'
• 'C:사용자%사용자 프로필%LibraryLogsWhatsApp'
• 'C:Users%사용자 프로필%LibrarySaved 애플리케이션 상태WhatsApp.savedState'
• 'C:사용자%사용자 프로필%라이브러리응용 프로그램 스크립트'
• 'C:사용자%사용자 프로필%LibraryApplication SupportCloudDocs'
• 'C:사용자%사용자 프로필%LibraryApplication SupportWhatsApp.ShipIt'
• 'C:사용자%사용자 프로필%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
• 'C:Users%User profile% Library 모바일 문서 <텍스트 변수> WhatsApp 계정'
  이 디렉터리에는 WhatsApp 계정 소유자와 연결된 전화번호 이름을 가진 하위 디렉터리가 포함되어 있습니다.
• 'C:사용자%사용자 프로필%LibraryCachesWhatsApp.ShipIt'
  이 디렉토리에는 프로그램 설치에 대한 정보가 포함되어 있습니다.
• 'C:사용자%사용자 프로필%PicturesiPhoto Library.photolibraryMasters', 'C:사용자%사용자 프로필%PicturesiPhoto Library.photolibraryThumbnails'
  이 디렉토리에는 WhatsApp 연락처의 사진 및 축소판을 포함하여 프로그램의 서비스 파일이 포함되어 있습니다.
• 'C:사용자%사용자 프로필%LibraryCachesWhatsApp'
  이 디렉터리에는 데이터 캐싱에 사용되는 여러 SQLite 데이터베이스가 포함되어 있습니다.
• 'C:사용자%사용자 프로필%라이브러리응용 프로그램 지원WhatsApp'
  이 디렉터리에는 여러 하위 디렉터리가 포함되어 있습니다.

  
  카탈로그에서 'C:사용자%사용자 프로필%LibraryApplication SupportWhatsAppCache' 파일이 있어요 '데이터_0', '데이터_1', '데이터_2', '데이터_3' 그리고 이름이 있는 파일 '에프_*******' (여기서 *는 0부터 9까지의 숫자입니다). 이러한 파일에 포함된 정보에 대한 자세한 내용은 Windows의 WhatsApp 아티팩트를 참조하세요.

  카탈로그에서 'C:사용자%사용자 프로필%LibraryApplication SupportWhatsAppIndexedDB' 멀티미디어 파일이 포함될 수 있습니다(파일 확장자가 없음).

  파일 '메인 프로세스.log' WhatsApp 프로그램 작동에 대한 정보가 포함되어 있습니다.

소스

1. Android 스마트폰의 WhatsApp 메신저에 대한 포렌식 분석, 작성자: Cosimo Anglano, 2014.
2. Whatsapp 법의학: Ahmad Pratama의 기본 데이터와 Android 및 iOS 애플리케이션에 대한 다양한 시스템, 2014.

이 시리즈의 다음 기사에서:

암호화된 WhatsApp 데이터베이스의 암호 해독WhatsApp 암호화 키가 생성되는 방법에 대한 정보와 이 애플리케이션의 암호화된 데이터베이스를 해독하는 방법을 보여주는 실제 예를 제공하는 기사입니다.
클라우드 스토리지에서 WhatsApp 데이터 추출클라우드에 저장되는 WhatsApp 데이터가 무엇인지 설명하고 클라우드 저장소에서 이 데이터를 검색하는 방법을 설명하는 기사입니다.
WhatsApp 데이터 추출: 실제 사례다양한 장치에서 WhatsApp 데이터를 추출하는 프로그램과 방법을 단계별로 설명하는 기사입니다.

출처 : habr.com