WhatsApp ໃນ​ມື​ຂອງ​ທ່ານ​: ບ່ອນ​ທີ່​ແລະ​ວິ​ທີ​ການ​ທີ່​ທ່ານ​ສາ​ມາດ​ຊອກ​ຫາ​ປອມ forensic​?

ຖ້າຫາກວ່າທ່ານຕ້ອງການທີ່ຈະຮູ້ວ່າປະເພດຂອງສິ່ງປະດິດຂອງ WhatsApp forensic ມີຢູ່ໃນລະບົບປະຕິບັດການທີ່ແຕກຕ່າງກັນແລະບ່ອນທີ່ເຂົາເຈົ້າສາມາດພົບໄດ້ແທ້, ຫຼັງຈາກນັ້ນນີ້ແມ່ນສະຖານທີ່ສໍາລັບທ່ານ. ບົດຂຽນນີ້ແມ່ນມາຈາກຜູ້ຊ່ຽວຊານຢູ່ຫ້ອງທົດລອງວິທະຍາສາດຄອມພິວເຕີ Group-IB Igor Mikhailov ເລີ່ມຕົ້ນຊຸດຂອງຂໍ້ຄວາມກ່ຽວກັບ WhatsApp forensics ແລະຂໍ້ມູນໃດທີ່ສາມາດໄດ້ຮັບຈາກການວິເຄາະອຸປະກອນ.

ໃຫ້ສັງເກດທັນທີວ່າລະບົບປະຕິບັດການທີ່ແຕກຕ່າງກັນເກັບຮັກສາປະເພດຕ່າງໆຂອງ WhatsApp artifacts, ແລະຖ້ານັກຄົ້ນຄວ້າສາມາດສະກັດຂໍ້ມູນ WhatsApp ບາງປະເພດຈາກອຸປະກອນຫນຶ່ງ, ນີ້ບໍ່ໄດ້ຫມາຍຄວາມວ່າປະເພດຂໍ້ມູນທີ່ຄ້າຍຄືກັນສາມາດສະກັດຈາກອຸປະກອນອື່ນ. ຕົວຢ່າງ, ຖ້າຫນ່ວຍງານລະບົບທີ່ໃຊ້ Windows OS ຖືກເອົາອອກ, ການສົນທະນາ WhatsApp ອາດຈະບໍ່ພົບຢູ່ໃນແຜ່ນຂອງມັນ (ຍົກເວັ້ນສໍາເນົາສໍາຮອງຂອງອຸປະກອນ iOS, ເຊິ່ງສາມາດພົບເຫັນຢູ່ໃນໄດດຽວກັນ). ການຍຶດແລັບທັອບແລະອຸປະກອນມືຖືຈະມີລັກສະນະຂອງຕົນເອງ. ໃຫ້ເວົ້າກ່ຽວກັບເລື່ອງນີ້ໃນລາຍລະອຽດເພີ່ມເຕີມ.

ວັດຖຸບູຮານ WhatsApp ໃນອຸປະກອນ Android

ໃນ​ຄໍາ​ສັ່ງ​ທີ່​ຈະ​ສະ​ກັດ​ສິ່ງ​ຂອງ WhatsApp ຈາກ​ອຸ​ປະ​ກອນ Android​, ຜູ້​ຄົ້ນ​ຄວ້າ​ຕ້ອງ​ມີ​ສິດ​ທິ​ຜູ້​ນໍາ​ໃຊ້​ສູງ​ສຸດ ('ຮາກ') ໃນອຸປະກອນທີ່ຢູ່ພາຍໃຕ້ການສືບສວນ ຫຼືສາມາດສະກັດການຖິ້ມຄວາມຊົງຈໍາທາງກາຍະພາບຂອງອຸປະກອນ, ຫຼືລະບົບໄຟລ໌ຂອງມັນ (ຕົວຢ່າງ, ການນໍາໃຊ້ຊ່ອງໂຫວ່ຊອບແວຂອງອຸປະກອນມືຖືສະເພາະ).

ໄຟລ໌ແອັບພລິເຄຊັນຕັ້ງຢູ່ໃນຫນ່ວຍຄວາມຈໍາຂອງໂທລະສັບໃນສ່ວນທີ່ຂໍ້ມູນຜູ້ໃຊ້ຖືກບັນທຶກໄວ້. ຕາມກົດລະບຽບ, ພາກນີ້ແມ່ນມີຊື່ 'ຂໍ້ມູນຜູ້ໃຊ້'. ໄດເລກະທໍລີຍ່ອຍ ແລະໄຟລ໌ໂປຣແກຣມຕັ້ງຢູ່ຕາມເສັ້ນທາງ: '/data/data/com.whatsapp/'.

ໄຟລ໌ຕົ້ນຕໍທີ່ປະກອບດ້ວຍສິ່ງປອມຂອງ WhatsApp ໃນ Android OS ແມ່ນຖານຂໍ້ມູນ 'wa.db' и 'msgstore.db'.

ໃນຖານຂໍ້ມູນ 'wa.db' ປະກອບມີລາຍຊື່ຕິດຕໍ່ຜູ້ໃຊ້ WhatsApp, ລວມທັງເບີໂທລະສັບ, ຊື່ສະແດງ, ເວລາແລະຂໍ້ມູນອື່ນໆທີ່ສະຫນອງໃຫ້ໃນຂະນະທີ່ລົງທະບຽນສໍາລັບ WhatsApp. ໄຟລ໌ 'wa.db' ຕັ້ງ​ຢູ່​ຕາມ​ເສັ້ນ​ທາງ​: '/data/data/com.whatsapp/databases/' ແລະມີໂຄງສ້າງດັ່ງຕໍ່ໄປນີ້:

ຕາຕະລາງທີ່ຫນ້າສົນໃຈທີ່ສຸດໃນຖານຂໍ້ມູນ 'wa.db' ສໍາລັບນັກຄົ້ນຄວ້າແມ່ນ:

• 'wa_contacts'
  ຕາຕະລາງນີ້ມີຂໍ້ມູນການຕິດຕໍ່: ID ຕິດຕໍ່ WhatsApp, ຂໍ້ມູນສະຖານະ, ຊື່ສະແດງຜູ້ໃຊ້, ເວລາ, ແລະອື່ນໆ.

  ຮູບ​ລັກ​ສະ​ນະ​ຕາ​ຕະ​ລາງ​:

  
  ໂຄງສ້າງຕາຕະລາງ

  ຊື່ພາກສະຫນາມ	ມູນຄ່າ
  _id	ບັນທຶກເລກລໍາດັບ (ໃນຕາຕະລາງ SQL)
  ຈິດ	ID ຜູ້ຕິດຕໍ່ WhatsApp, ຂຽນໃນຮູບແບບ <ເບີໂທລະສັບ>@s.whatsapp.net
  is_whatsapp_user	ມີ '1' ຖ້າການຕິດຕໍ່ພົວພັນກັບຜູ້ໃຊ້ WhatsApp ຕົວຈິງ, '0' ຖ້າບໍ່ດັ່ງນັ້ນ
  ສະຖານະພາບ	ມີຂໍ້ຄວາມທີ່ສະແດງຢູ່ໃນສະຖານະຕິດຕໍ່
  status_timestamp	ປະກອບມີການສະແຕມເວລາໃນຮູບແບບ Unix Epoch Time (ms).
  ຈໍານວນ	ເບີໂທລະສັບທີ່ກ່ຽວຂ້ອງກັບການຕິດຕໍ່
  raw_contact_id	ໝາຍເລກຕິດຕໍ່ພົວພັນ
  display_name	ຊື່ສະແດງລາຍຊື່ຕິດຕໍ່
  phone_type	ປະເພດໂທລະສັບ
  phone_label	ປ້າຍຊື່ທີ່ກ່ຽວຂ້ອງກັບເບີໂທຕິດຕໍ່
  unseen_msg_count	ຈໍານວນຂໍ້ຄວາມທີ່ຖືກສົ່ງໂດຍຜູ້ຕິດຕໍ່ແຕ່ບໍ່ໄດ້ຮັບການອ່ານໂດຍຜູ້ຮັບ
  photo_ts	ມີສະແຕມເວລາໃນຮູບແບບ Unix Epoch Time
  thumb_ts	ມີສະແຕມເວລາໃນຮູບແບບ Unix Epoch Time
  photo_id_timestamp	ປະກອບມີການສະແຕມເວລາໃນຮູບແບບ Unix Epoch Time (ms).
  ຊື່​ແທ້	ຄ່າຊ່ອງຂໍ້ມູນກົງກັບ 'display_name' ສໍາລັບແຕ່ລະລາຍຊື່
  wa_name	ຊື່​ຜູ້​ຕິດ​ຕໍ່ WhatsApp (ຊື່​ທີ່​ລະ​ບຸ​ໄວ້​ໃນ profile ຂອງ​ຜູ້​ຕິດ​ຕໍ່​ແມ່ນ​ສະ​ແດງ​ໃຫ້​ເຫັນ​)
  sort_name	ຊື່​ຜູ້​ຕິດ​ຕໍ່​ທີ່​ໃຊ້​ໃນ​ການ​ປະ​ຕິ​ບັດ​ການ​ຄັດ​ເລືອກ​
  nickname	ຊື່ຫຼິ້ນຂອງຜູ້ຕິດຕໍ່ໃນ WhatsApp (ຊື່ຫຼິ້ນທີ່ລະບຸໄວ້ໃນໂປຣໄຟລ໌ຂອງຜູ້ຕິດຕໍ່ຈະຖືກສະແດງ)
  ບໍ​ລິ​ສັດ	ບໍລິສັດ (ບໍລິສັດທີ່ລະບຸໄວ້ໃນໂປຣໄຟລ໌ຂອງຜູ້ຕິດຕໍ່ຖືກສະແດງ)
  ຫົວຂໍ້	ຫົວຂໍ້ (ນາງ/ທ່ານ; ຊື່ທີ່ກຳນົດຄ່າຢູ່ໃນໂປຣໄຟລ໌ຜູ້ຕິດຕໍ່ແມ່ນສະແດງ)
  ຊົດເຊີຍ	ອະຄະຕິ

• 'sqlite_sequence'
  ຕາຕະລາງນີ້ມີຂໍ້ມູນກ່ຽວກັບຈໍານວນຜູ້ຕິດຕໍ່;
• 'android_metadata'
  ຕາຕະລາງນີ້ມີຂໍ້ມູນກ່ຽວກັບການແປພາສາ WhatsApp.

ໃນຖານຂໍ້ມູນ 'msgstore.db' ປະ​ກອບ​ດ້ວຍ​ຂໍ້​ມູນ​ກ່ຽວ​ກັບ​ຂໍ້​ຄວາມ​ທີ່​ສົ່ງ​, ເຊັ່ນ​: ເບີ​ຕິດ​ຕໍ່​, ຂໍ້​ຄວາມ​, ສະ​ຖາ​ນະ​ພາບ​ຂໍ້​ຄວາມ​, ເວ​ລາ​, ລາຍ​ລະ​ອຽດ​ຂອງ​ໄຟລ​໌​ທີ່​ໄດ້​ຮັບ​ການ​ຍົກ​ຍ້າຍ​ລວມ​ຢູ່​ໃນ​ຂໍ້​ຄວາມ​, ແລະ​ອື່ນໆ​. ໄຟລ໌ 'msgstore.db' ຕັ້ງ​ຢູ່​ຕາມ​ເສັ້ນ​ທາງ​: '/data/data/com.whatsapp/databases/' ແລະມີໂຄງສ້າງດັ່ງຕໍ່ໄປນີ້:

ຕາຕະລາງທີ່ຫນ້າສົນໃຈທີ່ສຸດໃນເອກະສານ 'msgstore.db' ສໍາລັບນັກຄົ້ນຄວ້າແມ່ນ:

• 'sqlite_sequence'
  ຕາຕະລາງນີ້ມີຂໍ້ມູນທົ່ວໄປກ່ຽວກັບຖານຂໍ້ມູນນີ້, ເຊັ່ນ: ຈໍານວນຂໍ້ຄວາມທີ່ເກັບໄວ້, ຈໍານວນການສົນທະນາທັງຫມົດ, ແລະອື່ນໆ.

  ຮູບ​ລັກ​ສະ​ນະ​ຕາ​ຕະ​ລາງ​:

  

• 'message_fts_content'
  ປະກອບດ້ວຍຂໍ້ຄວາມຂອງຂໍ້ຄວາມທີ່ສົ່ງ.

  ຮູບ​ລັກ​ສະ​ນະ​ຕາ​ຕະ​ລາງ​:

  

• 'ຂໍ້ຄວາມ'
  ຕາ​ຕະ​ລາງ​ນີ້​ປະ​ກອບ​ດ້ວຍ​ຂໍ້​ມູນ​ເຊັ່ນ​: ເບີ​ຕິດ​ຕໍ່​, ຂໍ້​ຄວາມ​, ສະ​ຖາ​ນະ​ພາບ​ຂໍ້​ຄວາມ​, ເວ​ລາ​, ຂໍ້​ມູນ​ກ່ຽວ​ກັບ​ການ​ໂອນ​ໄຟລ​໌​ລວມ​ຢູ່​ໃນ​ຂໍ້​ຄວາມ​.

  ຮູບ​ລັກ​ສະ​ນະ​ຕາ​ຕະ​ລາງ​:

  
  ໂຄງສ້າງຕາຕະລາງ

  ຊື່ພາກສະຫນາມ	ມູນຄ່າ
  _id	ບັນທຶກເລກລໍາດັບ (ໃນຕາຕະລາງ SQL)
  key_remote_jid	WhatsApp ID ຂອງຄູ່ຮ່ວມງານການສື່ສານ
  key_from_me	ທິດທາງຂໍ້ຄວາມ: '0' – ຂາເຂົ້າ, '1' – ຂາອອກ
  key_id	ຕົວລະບຸຂໍ້ຄວາມທີ່ເປັນເອກະລັກ
  ສະຖານະພາບ	ສະຖານະຂໍ້ຄວາມ: '0' – ຈັດສົ່ງ, '4' – ລໍຖ້າຢູ່ໃນເຊີບເວີ, '5' - ໄດ້ຮັບຢູ່ປາຍທາງ, '6' - ຂໍ້ຄວາມຄວບຄຸມ, '13' - ຂໍ້ຄວາມເປີດໂດຍຜູ້ຮັບ (ອ່ານ)
  need_push	ມີມູນຄ່າ '2' ຖ້າມັນເປັນຂໍ້ຄວາມອອກອາກາດ, ຖ້າບໍ່ດັ່ງນັ້ນຈະມີ '0'
  ຂໍ້ມູນ	ຂໍ້ຄວາມ (ເມື່ອ 'media_wa_type' ພາຣາມິເຕີແມ່ນ '0')
  ເວລາ	ມີສະແຕມເວລາໃນຮູບແບບ Unix Epoch Time (ms), ຄ່າແມ່ນເອົາມາຈາກໂມງອຸປະກອນ
  media_url	ມີ URL ຂອງໄຟລ໌ທີ່ຖືກໂອນ (ເມື່ອພາລາມິເຕີ 'media_wa_type' ແມ່ນ '1', '2', '3')
  media_mime_type	ປະເພດ MIME ຂອງໄຟລ໌ທີ່ໂອນຍ້າຍ (ເມື່ອພາລາມິເຕີ 'media_wa_type' ເທົ່າກັບ '1', '2', '3')
  media_wa_type	ປະເພດຂໍ້ຄວາມ: '0' - ຂໍ້ຄວາມ, '1' - ໄຟລ໌ກຣາຟິກ, '2' - ໄຟລ໌ສຽງ, '3' - ໄຟລ໌ວິດີໂອ, '4' - ບັດຕິດຕໍ່, '5' - geodata
  media_size	ຂະ​ຫນາດ​ຂອງ​ໄຟລ​໌​ທີ່​ຍົກ​ຍ້າຍ (ເມື່ອ​ພາ​ຣາ​ມິ​ເຕີ 'media_wa_type' ແມ່ນ '1', '2', '3')
  media_name	ຊື່ຂອງໄຟລ໌ທີ່ຖືກໂອນ (ເມື່ອພາລາມິເຕີ 'media_wa_type' ແມ່ນ '1', '2', '3')
  media_caption	ປະກອບມີຄໍາ 'ສຽງ', 'ວິດີໂອ' ສໍາລັບຄ່າທີ່ສອດຄ້ອງກັນຂອງພາລາມິເຕີ 'media_wa_type' (ເມື່ອພາລາມິເຕີ 'media_wa_type' ແມ່ນ '1', '3')
  media_hash	Base64 encoded hash ຂອງໄຟລ໌ທີ່ສົ່ງ, ຄິດໄລ່ໂດຍໃຊ້ HAS-256 algorithm (ເມື່ອພາລາມິເຕີ 'media_wa_type' ເທົ່າກັບ '1', '2', '3')
  media_ໄລຍະເວລາ	ໄລຍະເວລາເປັນວິນາທີສຳລັບໄຟລ໌ມີເດຍ (ເມື່ອ 'media_wa_type' ແມ່ນ '1', '2', '3')
  ຕົ້ນກໍາເນີດ	ມີມູນຄ່າ '2' ຖ້າມັນເປັນຂໍ້ຄວາມອອກອາກາດ, ຖ້າບໍ່ດັ່ງນັ້ນຈະມີ '0'
  latitude	geodata: latitude (ເມື່ອ 'media_wa_type' ພາຣາມິເຕີແມ່ນ '5')
  ເສັ້ນແວງ	geodata: longitude (ເມື່ອ 'media_wa_type' ພາຣາມິເຕີແມ່ນ '5')
  thumb_image	ຂໍ້​ມູນ​ການ​ບໍ​ລິ​ການ​
  remote_resource	ID ຜູ້ສົ່ງ (ສຳລັບການສົນທະນາກຸ່ມເທົ່ານັ້ນ)
  ໄດ້ຮັບ_timestamp	ເວລາຂອງການຮັບ, ປະກອບມີການສະແຕມເວລາໃນຮູບແບບ Unix Epoch Time (ms), ຄ່າແມ່ນເອົາມາຈາກໂມງອຸປະກອນ (ເມື່ອພາລາມິເຕີ 'key_from_me' ມີ '0', '-1' ຫຼືຄ່າອື່ນໆ)
  send_timestamp	ບໍ່ໄດ້ໃຊ້, ປົກກະຕິແລ້ວມີຄ່າ '-1'
  receipt_server_timestamp	ເວລາທີ່ໄດ້ຮັບໂດຍເຊີບເວີສູນກາງ, ປະກອບມີການສະແຕມເວລາໃນຮູບແບບ Unix Epoch Time (ms), ຄ່າແມ່ນເອົາມາຈາກໂມງອຸປະກອນ (ເມື່ອພາລາມິເຕີ 'key_from_me' ມີ '1', '-1' ຫຼືຄ່າອື່ນໆ.
  receipt_device_timestamp	ເວລາທີ່ໄດ້ຮັບຂໍ້ຄວາມຈາກຜູ້ຈອງອື່ນ, ມີເວລາປະທັບຕາໃນຮູບແບບ Unix Epoch Time (ms), ຄ່າແມ່ນເອົາມາຈາກໂມງອຸປະກອນ (ເມື່ອພາລາມິເຕີ 'key_from_me' ມີ '1', '-1' ຫຼືຄ່າອື່ນ.
  read_device_timestamp	ເວລາເປີດ (ການອ່ານ) ຂໍ້ຄວາມ, ປະກອບດ້ວຍເວລາທີ່ໃຊ້ເວລາໃນຮູບແບບ Unix Epoch Time (ms), ມູນຄ່າແມ່ນເອົາມາຈາກໂມງອຸປະກອນ.
  play_device_timestamp	ເວລາການຫຼິ້ນຂໍ້ຄວາມ, ປະກອບມີການສະແຕມເວລາໃນຮູບແບບ Unix Epoch Time (ms), ຄ່າແມ່ນເອົາມາຈາກໂມງອຸປະກອນ.
  ຂໍ້​ມູນ​ດິບ	ຮູບຕົວຢ່າງຂອງໄຟລ໌ທີ່ໂອນຍ້າຍ (ເມື່ອພາລາມິເຕີ 'media_wa_type' ແມ່ນ '1' ຫຼື '3')
  ຜູ້ຮັບ_ນັບ	ຈໍານວນຜູ້ຮັບ (ສໍາລັບຂໍ້ຄວາມອອກອາກາດ)
  participant_hash	ໃຊ້ໃນເວລາທີ່ສົ່ງຂໍ້ຄວາມທີ່ມີ geodata
  ຕິດດາວ	ບໍ່​ໄດ້​ນໍາ​ໃຊ້
  quoted_row_id	ບໍ່ຮູ້, ປົກກະຕິແລ້ວມີຄ່າ '0'
  mention_jids	ບໍ່​ໄດ້​ນໍາ​ໃຊ້
  multicast_id	ບໍ່​ໄດ້​ນໍາ​ໃຊ້
  ຊົດເຊີຍ	ອະຄະຕິ

  ບັນຊີລາຍຊື່ຂອງຊ່ອງຂໍ້ມູນນີ້ແມ່ນບໍ່ຄົບຖ້ວນ. ສຳລັບ WhatsApp ລຸ້ນຕ່າງໆ, ບາງຊ່ອງຂໍ້ມູນອາດມີຢູ່ ຫຼື ບໍ່ມີຢູ່. ນອກຈາກນັ້ນ, ຊ່ອງຂໍ້ມູນອາດຈະມີຢູ່ 'media_enc_hash', 'edit_version', 'payment_transaction_id' ແລະອື່ນໆ.

• 'messages_thumbnails'
  ຕາຕະລາງນີ້ປະກອບມີຂໍ້ມູນກ່ຽວກັບຮູບພາບທີ່ໂອນຍ້າຍແລະສະແຕມເວລາ. ໃນຖັນ 'timestamp', ເວລາແມ່ນສະແດງຢູ່ໃນຮູບແບບ Unix Epoch Time (ms).
• 'ລາຍການສົນທະນາ'
  ຕາຕະລາງນີ້ມີຂໍ້ມູນກ່ຽວກັບການສົນທະນາ.

  ຮູບ​ລັກ​ສະ​ນະ​ຕາ​ຕະ​ລາງ​:

  

ນອກຈາກນັ້ນ, ເມື່ອກວດເບິ່ງ WhatsApp ໃນອຸປະກອນມືຖືທີ່ໃຊ້ Android, ທ່ານຄວນເອົາໃຈໃສ່ກັບໄຟລ໌ຕໍ່ໄປນີ້:

• ເອກະສານ 'msgstore.db.cryptXX' (ບ່ອນທີ່ XX ແມ່ນຫນຶ່ງຫຼືສອງຕົວເລກຈາກ 0 ຫາ 12, ຕົວຢ່າງ, msgstore.db.crypt12). ມີ​ການ​ສໍາ​ຮອງ​ຂໍ້​ມູນ​ເຂົ້າ​ລະ​ຫັດ​ຂອງ​ຂໍ້​ຄວາມ WhatsApp (ໄຟລ​໌​ສໍາ​ຮອງ​ຂໍ້​ມູນ​ msgstore.db). ໄຟລ໌ 'msgstore.db.cryptXX' ຕັ້ງ​ຢູ່​ຕາມ​ເສັ້ນ​ທາງ​: '/data/media/0/WhatsApp/Databases/' (ບັດ SD virtual), '/mnt/sdcard/WhatsApp/ຖານຂໍ້ມູນ/ (ບັດ SD ທາງດ້ານຮ່າງກາຍ)'.
• ເອກະສານ 'ກະແຈ'. ປະກອບມີລະຫັດເຂົ້າລະຫັດ. ຕັ້ງຢູ່ຕາມເສັ້ນທາງ: '/data/data/com.whatsapp/files/'. ໃຊ້ເພື່ອຖອດລະຫັດການສໍາຮອງ WhatsApp ທີ່ເຂົ້າລະຫັດໄວ້.
• ເອກະສານ 'com.whatsapp_preferences.xml'. ປະກອບມີຂໍ້ມູນກ່ຽວກັບໂປຣໄຟລ໌ບັນຊີ WhatsApp ຂອງທ່ານ. ໄຟລ໌ແມ່ນຕັ້ງຢູ່ຕາມເສັ້ນທາງ: '/data/data/com.whatsapp/shared_prefs/'.

  ຊິ້ນສ່ວນເນື້ອຫາຂອງໄຟລ໌

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• ເອກະສານ 'ລົງທະບຽນ.RegisterPhone.xml'. ປະກອບມີຂໍ້ມູນກ່ຽວກັບເບີໂທລະສັບທີ່ກ່ຽວຂ້ອງກັບບັນຊີ WhatsApp. ໄຟລ໌ແມ່ນຕັ້ງຢູ່ຕາມເສັ້ນທາງ: '/data/data/com.whatsapp/shared_prefs/'.

  ເນື້ອໃນໄຟລ໌

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• ເອກະສານ 'axolotl.db'. ປະກອບດ້ວຍກະແຈເຂົ້າລະຫັດລັບ ແລະຂໍ້ມູນອື່ນໆທີ່ຈໍາເປັນເພື່ອລະບຸເຈົ້າຂອງບັນຊີ. ຕັ້ງຢູ່ຕາມເສັ້ນທາງ: '/data/data/com.whatsapp/databases/'.
• ເອກະສານ 'chatsettings.db'. ປະກອບມີຂໍ້ມູນການຕັ້ງຄ່າແອັບພລິເຄຊັນ.
• ເອກະສານ 'wa.db'. ປະກອບມີລາຍລະອຽດການຕິດຕໍ່. ຫນ້າສົນໃຈຫຼາຍ (ຈາກລັກສະນະ forensic) ແລະຖານຂໍ້ມູນຂໍ້ມູນຂ່າວສານ. ມັນສາມາດມີຂໍ້ມູນລາຍລະອຽດກ່ຽວກັບການຕິດຕໍ່ທີ່ຖືກລົບ.

ນອກນັ້ນທ່ານຍັງຈໍາເປັນຕ້ອງໄດ້ເອົາໃຈໃສ່ກັບໄດເລກະທໍລີຕໍ່ໄປນີ້:

• ລະ​ບົບ '/data/media/0/WhatsApp/Media/WhatsApp Images/'. ປະ​ກອບ​ດ້ວຍ​ໄຟລ​໌​ຮູບ​ພາບ​ທີ່​ຍົກ​ຍ້າຍ​.
• ລະ​ບົບ '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. ບັນຈຸຂໍ້ຄວາມສຽງຢູ່ໃນໄຟລ໌ຮູບແບບ .OPUS.
• ລະ​ບົບ '/data/data/com.whatsapp/cache/ຮູບໂປຣໄຟລ໌/'. ປະ​ກອບ​ດ້ວຍ​ໄຟລ​໌​ຮູບ​ພາບ - ຮູບ​ພາບ​ຂອງ​ການ​ຕິດ​ຕໍ່​.
• ລະ​ບົບ '/data/data/com.whatsapp/files/Avatars/'. ປະ​ກອບ​ດ້ວຍ​ໄຟລ​໌​ຮູບ​ພາບ – ຮູບ​ຂະ​ຫນາດ​ນ້ອຍ​ຂອງ​ການ​ຕິດ​ຕໍ່​. ໄຟລ໌ເຫຼົ່ານີ້ມີນາມສະກຸນ '.j' ແຕ່ເປັນໄຟລ໌ຮູບພາບ JPEG (JPG).
• ລະ​ບົບ '/data/data/com.whatsapp/files/Avatars/'. ປະກອບມີໄຟລ໌ກຣາຟິກ - ຮູບພາບ ແລະຮູບຫຍໍ້ຂອງຮູບພາບທີ່ຕັ້ງເປັນຮູບແທນຕົວໂດຍເຈົ້າຂອງບັນຊີ.
• ລະ​ບົບ '/data/data/com.whatsapp/files/Logs/'. ປະກອບດ້ວຍບັນທຶກການເຮັດວຽກຂອງໂປຣແກຣມ (ໄຟລ໌ 'whatsapp.log') ແລະສຳເນົາບັນທຶກການເຮັດວຽກຂອງໂປຣແກຣມ (ໄຟລ໌ທີ່ມີຊື່ໃນຮູບແບບ whatsapp-yyyy-mm-dd.1.log.gz).

ໄຟລ໌ບັນທຶກ WhatsApp:

ຊິ້ນວາລະສານ2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update ຍົກເລີກ true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] ໄຟລ໌ລະຫັດຜ່ານຫາຍໄປ ຫຼືບໍ່ສາມາດອ່ານໄດ້
2017-01-10 09:37:09.782 LL_I D [1:main] ສະຖິຕິ ຂໍ້ຄວາມຂໍ້ຄວາມ: 59 ສົ່ງ, 82 ໄດ້ຮັບ / ຂໍ້ຄວາມສື່: 1 ສົ່ງ (0 ໄບຕ໌), 0 ໄດ້ຮັບ (9850158 ໄບຕ໌) / ຂໍ້ຄວາມອອບໄລນ໌: 81 ໄດ້ຮັບ ( 19522 msec ຊັກຊ້າໂດຍສະເລ່ຍ) / ການບໍລິການຂໍ້ຄວາມ: 116075 bytes ສົ່ງ, 211729 bytes ໄດ້ຮັບ / Voip ໂທ: 1 ໂທອອກ, 0 ສາຍໂທເຂົ້າ, 2492 bytes ສົ່ງ, 1530 bytes ໄດ້ຮັບ / Google Drive: 0 bytes ສົ່ງ, 0 bytes ໄດ້ຮັບ 1524: bytes ສົ່ງ, 1826 bytes ໄດ້ຮັບ / ຂໍ້ມູນທັງຫມົດ: 118567 bytes ສົ່ງ, 10063417 bytes ໄດ້ຮັບ
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | ທີ່​ໃຊ້​ເວ​ລາ​: 8​
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688

• ລະ​ບົບ '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. ປະກອບມີໄຟລ໌ສຽງທີ່ໄດ້ຮັບ.
• ລະ​ບົບ '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. ປະກອບມີໄຟລ໌ສຽງທີ່ສົ່ງ.
• ລະ​ບົບ '/data/media/0/WhatsApp/Media/WhatsApp Images/'. ປະກອບມີໄຟລ໌ກຣາຟິກທີ່ເປັນຜົນ.
• ລະ​ບົບ '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. ປະກອບມີໄຟລ໌ກຣາຟິກທີ່ສົ່ງ.
• ລະ​ບົບ '/data/media/0/WhatsApp/Media/WhatsApp Video/'. ປະກອບມີໄຟລ໌ວິດີໂອທີ່ໄດ້ຮັບ.
• ລະ​ບົບ '/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/'. ປະກອບມີໄຟລ໌ວິດີໂອທີ່ສົ່ງ.
• ລະ​ບົບ '/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/'. ປະກອບມີໄຟລ໌ຮູບພາບທີ່ກ່ຽວຂ້ອງກັບເຈົ້າຂອງບັນຊີ WhatsApp.
• ເພື່ອປະຫຍັດພື້ນທີ່ຄວາມຊົງຈໍາໃນໂທລະສັບສະຫຼາດ Android ຂອງທ່ານ, ບາງຂໍ້ມູນ WhatsApp ສາມາດຖືກເກັບໄວ້ໃນ SD card. ໃນບັດ SD, ໃນໄດເລກະທໍລີຮາກ, ມີໄດເລກະທໍລີ 'Whatsapp', ບ່ອນທີ່ສິ່ງປະດິດຕໍ່ໄປນີ້ຂອງໂປແກມນີ້ສາມາດພົບໄດ້:

  

• ລະ​ບົບ '.ແບ່ງປັນ' ('/mnt/sdcard/WhatsApp/.Share/'). ມີສຳເນົາຂອງໄຟລ໌ທີ່ແບ່ງປັນກັບຜູ້ໃຊ້ WhatsApp ອື່ນໆ.
• ລະ​ບົບ '.ກະຕ່າຂີ້ເຫຍື້ອ' ('/mnt/sdcard/WhatsApp/.trash/'). ປະກອບມີໄຟລ໌ທີ່ຖືກລຶບ.
• ລະ​ບົບ 'ຖານຂໍ້ມູນ' ('/mnt/sdcard/WhatsApp/Databases/'). ປະກອບດ້ວຍການສໍາຮອງທີ່ເຂົ້າລະຫັດໄວ້. ພວກເຂົາສາມາດຖອດລະຫັດໄດ້ຖ້າໄຟລ໌ມີຢູ່ 'ກະແຈ', ສະກັດຈາກຫນ່ວຍຄວາມຈໍາຂອງອຸປະກອນການວິເຄາະ.

  ໄຟລ໌ທີ່ຢູ່ໃນໄດເລກະທໍລີຍ່ອຍ 'ຖານຂໍ້ມູນ':

  

• ລະ​ບົບ 'ເຄິ່ງຫນຶ່ງ' ('/mnt/sdcard/WhatsApp/Media/'). ປະກອບມີໄດເລກະທໍລີຍ່ອຍ 'ວໍເປເປີ', 'ສຽງ WhatsApp', 'ຮູບ WhatsApp', 'ຮູບໂປຣໄຟລ໌ WhatsApp', 'ວິດີໂອ WhatsApp', 'ບັນທຶກສຽງ WhatsApp', ເຊິ່ງບັນຈຸໄຟລ໌ມັນຕິມີເດຍທີ່ໄດ້ຮັບແລະຖ່າຍທອດ (ໄຟລ໌ຮູບພາບ, ໄຟລ໌ວິດີໂອ, ຂໍ້ຄວາມສຽງ, ຮູບພາບທີ່ກ່ຽວຂ້ອງກັບໂປຣໄຟລ໌ຂອງເຈົ້າຂອງບັນຊີ WhatsApp, ຮູບວໍເປເປີ).
• ລະ​ບົບ 'ຮູບໂປຣໄຟລ໌' ('/mnt/sdcard/WhatsApp/ຮູບໂປຣໄຟລ໌/'). ປະກອບມີໄຟລ໌ກຣາຟິກທີ່ກ່ຽວຂ້ອງກັບໂປຣໄຟລ໌ຂອງເຈົ້າຂອງບັນຊີ WhatsApp.
• ບາງຄັ້ງອາດມີໄດເລກະທໍລີຢູ່ໃນ SD ກາດ 'ໄຟລ໌' ('/mnt/sdcard/WhatsApp/Files/'). ໄດເລກະທໍລີນີ້ມີໄຟລ໌ທີ່ເກັບຮັກສາການຕັ້ງຄ່າໂຄງການແລະຄວາມມັກຂອງຜູ້ໃຊ້.

ຄຸນນະສົມບັດຂອງການເກັບຮັກສາຂໍ້ມູນໃນບາງຮຸ່ນຂອງອຸປະກອນມືຖື

ບາງຕົວແບບຂອງອຸປະກອນມືຖືທີ່ໃຊ້ Android OS ອາດຈະເກັບຮັກສາສິ່ງປະດິດ WhatsApp ໃນສະຖານທີ່ທີ່ແຕກຕ່າງກັນ. ນີ້ແມ່ນເນື່ອງມາຈາກການປ່ຽນແປງໃນພື້ນທີ່ເກັບຮັກສາຂໍ້ມູນຄໍາຮ້ອງສະຫມັກໂດຍຊອບແວລະບົບຂອງອຸປະກອນມືຖື. ຕົວຢ່າງ, ອຸປະກອນມືຖື Xiaomi ມີຫນ້າທີ່ສ້າງພື້ນທີ່ເຮັດວຽກທີສອງ ("SecondSpace"). ເມື່ອຟັງຊັນນີ້ຖືກເປີດໃຊ້, ສະຖານທີ່ຂອງຂໍ້ມູນຈະປ່ຽນແປງ. ດັ່ງນັ້ນ, ຖ້າຢູ່ໃນອຸປະກອນມືຖືປົກກະຕິທີ່ໃຊ້ຂໍ້ມູນຜູ້ໃຊ້ Android OS ຖືກເກັບໄວ້ໃນໄດເລກະທໍລີ '/data/user/0/' (ເຊິ່ງເປັນການອ້າງອີງເຖິງປົກກະຕິ '/data/data/'), ຫຼັງຈາກນັ້ນ, ຂໍ້ມູນຄໍາຮ້ອງສະຫມັກພື້ນທີ່ເຮັດວຽກທີສອງຖືກເກັບໄວ້ໃນໄດເລກະທໍລີ '/data/user/10/'. ນັ້ນແມ່ນ, ການນໍາໃຊ້ຕົວຢ່າງຂອງສະຖານທີ່ໄຟລ໌ 'wa.db':

• ໃນໂທລະສັບສະຫຼາດປົກກະຕິທີ່ໃຊ້ Android OS: /data/user/0/com.whatsapp/databases/wa.db' (ເຊິ່ງເທົ່າກັບ '/data/data/com.whatsapp/databases/wa.db');
• ໃນພື້ນທີ່ເຮັດວຽກທີສອງຂອງໂທລະສັບສະຫຼາດ Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.

ສິ່ງປະດິດ WhatsApp ໃນອຸປະກອນ iOS

ບໍ່ເຫມືອນກັບ Android OS, ໃນ iOS ຂໍ້ມູນຄໍາຮ້ອງສະຫມັກ WhatsApp ໄດ້ຖືກໂອນໄປຫາສໍາເນົາສໍາຮອງຂໍ້ມູນ (ສໍາຮອງຂໍ້ມູນ iTunes). ດັ່ງນັ້ນ, ການສະກັດຂໍ້ມູນຈາກແອັບພລິເຄຊັນນີ້ບໍ່ຈໍາເປັນຕ້ອງມີການສະກັດລະບົບໄຟລ໌ຫຼືສ້າງບ່ອນຖິ້ມຄວາມຊົງຈໍາທາງດ້ານຮ່າງກາຍຂອງອຸປະກອນພາຍໃຕ້ການສືບສວນ. ຂໍ້ມູນທີ່ກ່ຽວຂ້ອງສ່ວນຫຼາຍແມ່ນບັນຈຸຢູ່ໃນຖານຂໍ້ມູນ 'ChatStorage.sqlite'ເຊິ່ງຕັ້ງຢູ່ຕາມເສັ້ນທາງ: '/private/var/mobile/Application/group.net.whatsapp.WhatsApp.shared/' (ໃນບາງໂຄງການເສັ້ນທາງນີ້ປາກົດເປັນ 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').

ໂຄງປະກອບການ 'ChatStorage.sqlite':

ຕາຕະລາງທີ່ມີຂໍ້ມູນທີ່ສຸດໃນຖານຂໍ້ມູນ 'ChatStorage.sqlite' ແມ່ນ 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.

ຮູບລັກສະນະຂອງຕາຕະລາງ 'ZWAMESSAGE':

ໂຄງສ້າງຂອງຕາຕະລາງ 'ZWAMESSAGE'

ຊື່ພາກສະຫນາມ	ມູນຄ່າ
Z_PK	ບັນທຶກເລກລໍາດັບ (ໃນຕາຕະລາງ SQL)
Z_ENT	ຕົວລະບຸຕາຕະລາງ, ມີຄ່າ '9'
Z_OPT	ບໍ່ຮູ້, ປົກກະຕິແລ້ວມີຄ່າຈາກ '1' ຫາ '6'
ZCHILDMESSAGESDELIVEREDCOUNT	ບໍ່ຮູ້, ປົກກະຕິແລ້ວມີຄ່າ '0'
ZCHILDMESSAGESPLAYEDCOUNT	ບໍ່ຮູ້, ປົກກະຕິແລ້ວມີຄ່າ '0'
ZCHILDMESSAGESREADCOUNT	ບໍ່ຮູ້, ປົກກະຕິແລ້ວມີຄ່າ '0'
ZDATAITEMVERSION	ບໍ່ຮູ້ຈັກ, ໂດຍປົກກະຕິແລ້ວມີຄ່າ '3', ອາດຈະເປັນຕົວຊີ້ບອກຂໍ້ຄວາມ
ZDOCID	ຍັງບໍ່ຮູ້ເທື່ອ
ZENCRETRYCOUNT	ບໍ່ຮູ້, ປົກກະຕິແລ້ວມີຄ່າ '0'
ZFILTEREDRECIPIENTCOUNT	ບໍ່ຮູ້, ປົກກະຕິແລ້ວມີຄ່າ '0', '2', '256'
ZISFROMME	ທິດທາງຂໍ້ຄວາມ: '0' – ຂາເຂົ້າ, '1' – ຂາອອກ
ZMESSAGEERROSTATUS	ສະຖານະ​ການ​ສົ່ງ​ຂໍ້​ຄວາມ. ຖ້າຂໍ້ຄວາມຖືກສົ່ງ / ຮັບ, ມັນມີມູນຄ່າ '0'.
ZMESSAGETYPE	ປະເພດຂອງຂໍ້ຄວາມທີ່ຖືກຖ່າຍທອດ
ZSORT	ຍັງບໍ່ຮູ້ເທື່ອ
ZSPOTLIGHSTATUS	ຍັງບໍ່ຮູ້ເທື່ອ
ZSTARRED	ບໍ່ຮູ້, ບໍ່ໄດ້ໃຊ້
ZCHATSESSION	ຍັງບໍ່ຮູ້ເທື່ອ
ZGROUPMEMBER	ບໍ່ຮູ້, ບໍ່ໄດ້ໃຊ້
ZLASTSESSION	ຍັງບໍ່ຮູ້ເທື່ອ
ZMEDIAITEM	ຍັງບໍ່ຮູ້ເທື່ອ
ZMESSAGEINFO	ຍັງບໍ່ຮູ້ເທື່ອ
ZPARENTMESSAGE	ບໍ່ຮູ້, ບໍ່ໄດ້ໃຊ້
ZMESSAGEDATE	ສະແຕມເວລາໃນຮູບແບບ OS X Epoch Time
ZSENTDATE	ເວລາຂໍ້ຄວາມຖືກສົ່ງໃນຮູບແບບ OS X Epoch Time
ZFROMJID	ID ຜູ້ສົ່ງ WhatsApp
ZMEDIASECTIONID	ປະກອບມີປີແລະເດືອນທີ່ໄຟລ໌ສື່ມວນຊົນຖືກສົ່ງໄປ
ZPHASH	ບໍ່ຮູ້, ບໍ່ໄດ້ໃຊ້
ZPUSHPAME	ຊື່ຂອງຜູ້ຕິດຕໍ່ທີ່ສົ່ງໄຟລ໌ສື່ມວນຊົນໃນຮູບແບບ UTF-8
ZSTANZID	ຕົວລະບຸຂໍ້ຄວາມທີ່ເປັນເອກະລັກ
ZTEXT	ຂໍ້ຄວາມ
ZTOJID	ID WhatsApp ຂອງຜູ້ຮັບ
OFFSET	ອະຄະຕິ

ຮູບລັກສະນະຂອງຕາຕະລາງ 'ZWAMEDIAITEM':

ໂຄງສ້າງຂອງຕາຕະລາງ 'ZWAMEDIAITEM'

ຊື່ພາກສະຫນາມ	ມູນຄ່າ
Z_PK	ບັນທຶກເລກລໍາດັບ (ໃນຕາຕະລາງ SQL)
Z_ENT	ຕົວລະບຸຕາຕະລາງ, ມີຄ່າ '8'
Z_OPT	ບໍ່ຮູ້, ປົກກະຕິແລ້ວມີຄ່າຈາກ '1' ເຖິງ '3'.
ZCLOUDSTATUS	ມີຄ່າ '4' ຖ້າໄຟລ໌ຖືກໂຫລດ.
ZFILESIZE	ມີຄວາມຍາວຂອງໄຟລ໌ (ເປັນໄບຕ໌) ສໍາລັບໄຟລ໌ທີ່ດາວໂຫຼດມາ
ZMediaORIGIN	ບໍ່ຮູ້, ປົກກະຕິແລ້ວມີຄ່າ '0'
ZMOVIEDURATION	ໄລຍະເວລາຂອງໄຟລ໌ສື່ມວນຊົນ, ສໍາລັບໄຟລ໌ pdf ອາດຈະມີຈໍານວນຫນ້າຂອງເອກະສານ
ZMESSAGE	ມີໝາຍເລກຊີຣຽວ (ຕົວເລກແມ່ນແຕກຕ່າງຈາກຕົວເລກທີ່ລະບຸໄວ້ໃນຖັນ 'Z_PK')
ZASPECTRATIO	ອັດຕາສ່ວນຮູບ, ບໍ່ໄດ້ໃຊ້, ໂດຍປົກກະຕິແລ້ວຕັ້ງເປັນ '0'
ZHACCURACY	ບໍ່ຮູ້, ປົກກະຕິແລ້ວມີຄ່າ '0'
ZLATTITUDE	ຄວາມກວ້າງເປັນ pixels
ZLONGTITUDE	ຄວາມສູງໃນ pixels
ZMEDIAURLDATE	ສະແຕມເວລາໃນຮູບແບບ OS X Epoch Time
ZAUTHORNAME	ຜູ້ຂຽນ (ສໍາລັບເອກະສານ, ອາດຈະມີຊື່ໄຟລ໌)
ZCOLLECTIONNAME	ບໍ່​ໄດ້​ນໍາ​ໃຊ້
ZMEDIALOCALPATH	ຊື່ໄຟລ໌ (ລວມທັງເສັ້ນທາງ) ໃນລະບົບໄຟລ໌ອຸປະກອນ
ZMEDIAURL	URL ບ່ອນທີ່ໄຟລ໌ສື່ມວນຊົນຕັ້ງຢູ່. ຖ້າໄຟລ໌ຖືກໂອນຈາກຜູ້ຈອງຫນຶ່ງໄປຫາຄົນອື່ນ, ມັນຖືກເຂົ້າລະຫັດແລະສ່ວນຂະຫຍາຍຂອງມັນຈະຖືກລະບຸວ່າເປັນສ່ວນຂະຫຍາຍຂອງໄຟລ໌ທີ່ຖືກໂອນ - .enc
ZTHUMBNAILLOCALPATH	ເສັ້ນທາງໄປຫາຮູບຫຍໍ້ຂອງໄຟລ໌ໃນລະບົບໄຟລ໌ອຸປະກອນ
ZTITLE	ຫົວໄຟລ໌
ZVCARDNAME	hash ຂອງໄຟລ໌ມີເດຍ; ເມື່ອໂອນໄຟລ໌ໄປຫາກຸ່ມ, ມັນອາດຈະມີຕົວລະບຸຕົວສົ່ງ
ZVCARDSTRING	ມີຂໍ້ມູນກ່ຽວກັບປະເພດຂອງໄຟລ໌ທີ່ຖືກໂອນ (ຕົວຢ່າງ, ຮູບພາບ / jpeg); ເມື່ອໂອນໄຟລ໌ໄປຫາກຸ່ມ, ມັນອາດຈະມີຕົວລະບຸຂອງຜູ້ຮັບ.
ZXMPPTHUMBPATH	ເສັ້ນທາງໄປຫາຮູບຫຍໍ້ຂອງໄຟລ໌ໃນລະບົບໄຟລ໌ອຸປະກອນ
ZMEDIAKEY	ບໍ່ຮູ້ຈັກ, ອາດຈະປະກອບດ້ວຍກະແຈເພື່ອຖອດລະຫັດໄຟລ໌ທີ່ຖືກເຂົ້າລະຫັດ.
ZMETADATA	metadata ຂອງຂໍ້ຄວາມທີ່ສົ່ງ
Offset	ອະຄະຕິ

ຕາຕະລາງຖານຂໍ້ມູນທີ່ຫນ້າສົນໃຈອື່ນໆ 'ChatStorage.sqlite' ແມ່ນ:

• 'ZWAPROFILEPUSHNAME'. ຈັບຄູ່ WhatsApp ID ກັບຊື່ຕິດຕໍ່;
• 'ZWAPROFILEPICTUREITEM'. ຈັບຄູ່ WhatsApp ID ກັບ avatar ຕິດຕໍ່;
• 'Z_PRIMARYKEY'. ຕາຕະລາງປະກອບມີຂໍ້ມູນທົ່ວໄປກ່ຽວກັບຖານຂໍ້ມູນນີ້, ເຊັ່ນ: ຈໍານວນຂໍ້ຄວາມທັງຫມົດທີ່ເກັບໄວ້, ຈໍານວນການສົນທະນາທັງຫມົດ, ແລະອື່ນໆ.

ນອກຈາກນັ້ນ, ເມື່ອກວດເບິ່ງ WhatsApp ໃນອຸປະກອນມືຖືທີ່ໃຊ້ iOS, ທ່ານຄວນເອົາໃຈໃສ່ກັບໄຟລ໌ຕໍ່ໄປນີ້:

• ເອກະສານ 'BackedUpKeyValue.sqlite'. ປະກອບດ້ວຍກະແຈເຂົ້າລະຫັດລັບ ແລະຂໍ້ມູນອື່ນໆທີ່ຈໍາເປັນເພື່ອລະບຸເຈົ້າຂອງບັນຊີ. ຕັ້ງຢູ່ຕາມເສັ້ນທາງ: /private/var/mobile/Application/group.net.whatsapp.WhatsApp.shared/.
• ເອກະສານ 'ContactsV2.sqlite'. ປະກອບມີຂໍ້ມູນກ່ຽວກັບການຕິດຕໍ່ຂອງຜູ້ໃຊ້, ເຊັ່ນ: ຊື່ເຕັມ, ເບີໂທລະສັບ, ສະຖານະການຕິດຕໍ່ (ໃນຮູບແບບຂໍ້ຄວາມ), WhatsApp ID, ແລະອື່ນໆ. ຕັ້ງຢູ່ຕາມເສັ້ນທາງ: /private/var/mobile/Application/group.net.whatsapp.WhatsApp.shared/.
• ເອກະສານ 'ລຸ້ນຜູ້ບໍລິໂພກ'. ປະກອບມີໝາຍເລກເວີຊັນຂອງແອັບພລິເຄຊັນ WhatsApp ທີ່ຕິດຕັ້ງ. ຕັ້ງຢູ່ຕາມເສັ້ນທາງ: /private/var/mobile/Application/group.net.whatsapp.WhatsApp.shared/.
• ເອກະສານ 'ປະຈຸບັນ_wallpaper.jpg'. ປະກອບມີຮູບພື້ນຫຼັງ WhatsApp ໃນປັດຈຸບັນ. ຕັ້ງຢູ່ຕາມເສັ້ນທາງ: /private/var/mobile/Application/group.net.whatsapp.WhatsApp.shared/. ເວີຊັນເກົ່າຂອງແອັບພລິເຄຊັນໃຊ້ໄຟລ໌ 'ຮູບວໍເປເປີ'ເຊິ່ງຕັ້ງຢູ່ຕາມເສັ້ນທາງ: '/private/var/mobile/Application/net.whatsapp.WhatsApp/Documents/'.
• ເອກະສານ 'blockedcontacts.dat'. ປະກອບມີຂໍ້ມູນກ່ຽວກັບການຕິດຕໍ່ທີ່ຖືກບລັອກ. ຕັ້ງຢູ່ຕາມເສັ້ນທາງ: /private/var/mobile/Application/net.whatsapp.WhatsApp/Documents/.
• ເອກະສານ 'pw.dat'. ປະກອບມີລະຫັດຜ່ານທີ່ເຂົ້າລະຫັດໄວ້. ຕັ້ງຢູ່ຕາມເສັ້ນທາງ: '/private/var/mobile/Application/net.whatsapp.WhatsApp/Library/'.
• ເອກະສານ 'net.whatsapp.WhatsApp.plist' (ຫຼືໄຟລ໌ 'group.net.whatsapp.WhatsApp.shared.plist'). ປະກອບດ້ວຍຂໍ້ມູນກ່ຽວກັບໂປຣໄຟລ໌ບັນຊີ WhatsApp ຂອງທ່ານ. ໄຟລ໌ແມ່ນຕັ້ງຢູ່ຕາມເສັ້ນທາງ: '/private/var/mobile/Application/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

ເນື້ອໃນຂອງໄຟລ໌ 'group.net.whatsapp.WhatsApp.shared.plist'
ນອກນັ້ນທ່ານຍັງຈໍາເປັນຕ້ອງໄດ້ເອົາໃຈໃສ່ກັບໄດເລກະທໍລີຕໍ່ໄປນີ້:

• ລະ​ບົບ '/private/var/mobile/Application/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. ປະ​ກອບ​ດ້ວຍ​ຮູບ​ຫຍໍ້​ຂອງ​ການ​ຕິດ​ຕໍ່​, ກຸ່ມ (ໄຟລ​໌​ທີ່​ມີ​ການ​ຂະ​ຫຍາຍ​ . ໂປ້), ຕິດຕໍ່ avatars, avatar ເຈົ້າຂອງບັນຊີ WhatsApp (ໄຟລ໌ 'ຮູບ.jpg').
• ລະ​ບົບ '/private/var/mobile/Application/group.net.whatsapp.WhatsApp.shared/Message/Media/'. ປະກອບມີໄຟລ໌ມັນຕິມີເດຍ ແລະຮູບຕົວຢ່າງຂອງພວກມັນ
• ລະ​ບົບ '/private/var/mobile/Application/net.whatsapp.WhatsApp/Documents/'. ປະ​ກອບ​ດ້ວຍ​ບັນ​ທຶກ​ການ​ດໍາ​ເນີນ​ງານ​ຂອງ​ໂຄງ​ການ (file 'calls.log') ແລະ​ສໍາ​ເນົາ​ສໍາ​ຮອງ​ຂໍ້​ມູນ​ບັນ​ທຶກ​ການ​ດໍາ​ເນີນ​ງານ​ຂອງ​ໂຄງ​ການ (ໄຟລ​໌​ 'calls.backup.log').
• ລະ​ບົບ '/private/var/mobile/Application/group.net.whatsapp.WhatsApp.shared/stickers/'. ປະກອບມີສະຕິກເກີ (ໄຟລ໌ໃນຮູບແບບ '.webp').
• ລະ​ບົບ '/private/var/mobile/Application/net.whatsapp.WhatsApp/Library/Logs/'. ປະ​ກອບ​ດ້ວຍ​ບັນ​ທຶກ​ການ​ດໍາ​ເນີນ​ງານ​ຂອງ​ໂຄງ​ການ​.

ສິ່ງປະດິດ WhatsApp ໃນ Windows

ສິ່ງປະດິດ WhatsApp ໃນ Windows ສາມາດພົບເຫັນຢູ່ໃນຫຼາຍບ່ອນ. ກ່ອນ​ອື່ນ​ຫມົດ, ເຫຼົ່າ​ນີ້​ແມ່ນ​ບັນ​ຊີ​ທີ່​ມີ​ໄຟລ​໌​ປະ​ຕິ​ບັດ​ແລະ​ຊ່ວຍ​ຂອງ​ໂຄງ​ການ (ສໍາ​ລັບ Windows 8/10):

• 'C:Program Files (x86)WhatsApp'
• 'C:Users%User profile% AppDataLocalWhatsApp'
• 'C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp'

ໃນລາຍການ 'C:Users%User profile% AppDataLocalWhatsApp' ໄຟລ໌ບັນທຶກຕັ້ງຢູ່ 'SquirrelSetup.log', ເຊິ່ງປະກອບດ້ວຍຂໍ້ມູນກ່ຽວກັບການກວດສອບການປັບປຸງແລະການຕິດຕັ້ງໂຄງການ.

ໃນລາຍການ 'C:Users%User profile% AppDataRoamingWhatsApp' ມີຫຼາຍໄດເລກະທໍລີຍ່ອຍ:

ເອກະສານ 'main-process.log' ປະກອບດ້ວຍຂໍ້ມູນກ່ຽວກັບການດໍາເນີນງານຂອງໂຄງການ WhatsApp.

ບັນຊີຍ່ອຍ 'ຖານຂໍ້ມູນ' ມີໄຟລ໌ 'ຖານຂໍ້ມູນ.db', ແຕ່ໄຟລ໌ນີ້ບໍ່ມີຂໍ້ມູນກ່ຽວກັບການສົນທະນາ ຫຼືການຕິດຕໍ່.

ຫນ້າສົນໃຈທີ່ສຸດຈາກທັດສະນະຂອງ forensic ແມ່ນໄຟລ໌ທີ່ຢູ່ໃນໄດເລກະທໍລີ 'ແຄດ'. ເຫຼົ່ານີ້ແມ່ນໄຟລ໌ທີ່ມີຊື່ໂດຍພື້ນຖານ 'f_*******' (ບ່ອນທີ່ * ເປັນຕົວເລກຈາກ 0 ຫາ 9) ປະກອບມີໄຟລ໌ ແລະເອກະສານມັນຕິມີເດຍທີ່ເຂົ້າລະຫັດໄວ້, ແຕ່ຍັງມີໄຟລ໌ທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດໄວ້ລະຫວ່າງພວກມັນ. ຄວາມສົນໃຈໂດຍສະເພາະແມ່ນໄຟລ໌ 'data_0', 'data_1', 'data_2', 'data_3', ຕັ້ງຢູ່ໃນ subdirectory ດຽວກັນ. ໄຟລ໌ 'data_0', 'data_1', 'data_3' ມີລິ້ງພາຍນອກໄປຫາໄຟລ໌ ແລະເອກະສານມັນຕິມີເດຍທີ່ເຂົ້າລະຫັດລັບ.

ຕົວຢ່າງຂອງຂໍ້ມູນທີ່ມີຢູ່ໃນໄຟລ໌ 'data_1'
ໄຟລ໌ 'data_3' ອາດມີໄຟລ໌ກຣາຟິກ.

ເອກະສານ 'data_2' ມີ avatars ການ​ຕິດ​ຕໍ່ (ສາ​ມາດ​ໄດ້​ຮັບ​ການ​ຟື້ນ​ຟູ​ໂດຍ​ການ​ຊອກ​ຫາ​ໂດຍ​ຫົວ​ໄຟລ​໌​)​.

ຮູບແທນຕົວທີ່ມີຢູ່ໃນໄຟລ໌ 'data_2':

ດັ່ງນັ້ນ, ການສົນທະນາດ້ວຍຕົນເອງບໍ່ສາມາດພົບເຫັນຢູ່ໃນຫນ່ວຍຄວາມຈໍາຂອງຄອມພິວເຕີ, ແຕ່ທ່ານສາມາດຊອກຫາ:

• ໄຟລ໌ມັນຕິມີເດຍ;
• ເອກະສານທີ່ສົ່ງຜ່ານ WhatsApp;
• ຂໍ້ມູນກ່ຽວກັບການຕິດຕໍ່ເຈົ້າຂອງບັນຊີ.

ສິ່ງປະດິດ WhatsApp ໃນ macOS

ໃນ MacOS ທ່ານສາມາດຊອກຫາປະເພດຂອງສິ່ງປະດິດ WhatsApp ທີ່ຄ້າຍຄືກັນກັບສິ່ງທີ່ພົບເຫັນຢູ່ໃນ Windows OS.

ໄຟລ​໌​ໂຄງ​ການ​ແມ່ນ​ຕັ້ງ​ຢູ່​ໃນ​ລະ​ບົບ​ດັ່ງ​ຕໍ່​ໄປ​ນີ້​:

• 'C: Applications WhatsApp.app'
• 'C:Application._WhatsApp.app'
• 'C:Users%User profile%LibraryPreferences'
• 'C:Users%User profile%LibraryLogsWhatsApp'
• 'C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState'
• 'C:Users%User profile%LibraryApplication Scripts'
• 'C:Users%User profile%LibraryApplication SupportCloudDocs'
• 'C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt'
• 'C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
• 'C:Users%User profile% Library Documents Mobile <text variable> WhatsApp Accounts'
  ໄດເລກະທໍລີນີ້ມີໄດເລກະທໍລີຍ່ອຍທີ່ມີຊື່ເປັນເບີໂທລະສັບທີ່ກ່ຽວຂ້ອງກັບເຈົ້າຂອງບັນຊີ WhatsApp.
• 'C:Users%User profile%LibraryCachesWhatsApp.ShipIt'
  ໄດເລກະທໍລີນີ້ມີຂໍ້ມູນກ່ຽວກັບການຕິດຕັ້ງໂຄງການ.
• 'C:Users%User profile%PicturesiPhoto Library.photolibraryMasters', 'C:Users%User profile%PicturesiPhoto Library.photolibraryThumbnails'
  ໄດເລກະທໍລີເຫຼົ່ານີ້ມີໄຟລ໌ບໍລິການຂອງໂປລແກລມ, ລວມທັງຮູບພາບແລະຮູບຫຍໍ້ຂອງລາຍຊື່ WhatsApp.
• 'C:Users%User profile%LibraryCachesWhatsApp'
  ໄດເລກະທໍລີນີ້ມີຖານຂໍ້ມູນ SQLite ຫຼາຍອັນທີ່ຖືກນໍາໃຊ້ສໍາລັບການເກັບຂໍ້ມູນ.
• 'C:Users%User profile%LibraryApplication SupportWhatsApp'
  ໄດເລກະທໍລີນີ້ປະກອບມີຫຼາຍໄດເລກະທໍລີຍ່ອຍ:

  
  ໃນລາຍການ 'C:Users%User profile%LibraryApplication SupportWhatsAppCache' ມີໄຟລ໌ 'data_0', 'data_1', 'data_2', 'data_3' ແລະໄຟລ໌ທີ່ມີຊື່ 'f_*******' (ບ່ອນທີ່ * ເປັນຕົວເລກຈາກ 0 ຫາ 9). ສໍາລັບຂໍ້ມູນກ່ຽວກັບສິ່ງທີ່ໄຟລ໌ເຫຼົ່ານີ້ມີ, ເບິ່ງ WhatsApp Artifacts ໃນ Windows.

  ໃນລາຍການ 'C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB' ອາດມີໄຟລ໌ມັນຕິມີເດຍ (ໄຟລ໌ບໍ່ມີສ່ວນຂະຫຍາຍ).

  ເອກະສານ 'main-process.log' ປະກອບດ້ວຍຂໍ້ມູນກ່ຽວກັບການດໍາເນີນງານຂອງໂຄງການ WhatsApp.

ແຫຼ່ງຂໍ້ມູນ

1. ການວິເຄາະດ້ານ Forensic ຂອງ WhatsApp Messenger ໃນໂທລະສັບສະຫຼາດ Android, ໂດຍ Cosimo Anglano, 2014.
2. Whatsapp Forensics: Eksplorasi sistem berkas dan base data pada aplikasi Android ແລະ iOS ໂດຍ Ahmad Pratama, 2014.

ໃນບົດຄວາມຕໍ່ໄປນີ້ໃນຊຸດນີ້:

ການຖອດລະຫັດຖານຂໍ້ມູນ WhatsApp ທີ່ເຂົ້າລະຫັດໄວ້ບົດຄວາມທີ່ຈະໃຫ້ຂໍ້ມູນກ່ຽວກັບວິທີການທີ່ລະຫັດການເຂົ້າລະຫັດ WhatsApp ຖືກສ້າງຂຶ້ນແລະຕົວຢ່າງການປະຕິບັດທີ່ສະແດງໃຫ້ເຫັນວິທີການຖອດລະຫັດຖານຂໍ້ມູນທີ່ຖືກເຂົ້າລະຫັດຂອງແອັບພລິເຄຊັນນີ້.
ສະກັດຂໍ້ມູນ WhatsApp ຈາກການເກັບຮັກສາຟັງບົດ​ຄວາມ​ທີ່​ພວກ​ເຮົາ​ຈະ​ບອກ​ທ່ານ​ວ່າ​ຂໍ້​ມູນ WhatsApp ຖືກ​ເກັບ​ຮັກ​ສາ​ໄວ້​ໃນ​ຟັງ​ແລະ​ອະ​ທິ​ບາຍ​ວິ​ທີ​ການ​ສໍາ​ລັບ​ການ​ດຶງ​ຂໍ້​ມູນ​ນີ້​ຈາກ​ການ​ເກັບ​ຮັກ​ສາ​ຟັງ​ໄດ້​.
ການສະກັດເອົາຂໍ້ມູນ WhatsApp: ຕົວຢ່າງການປະຕິບັດບົດຄວາມທີ່ຈະອະທິບາຍຂັ້ນຕອນໂດຍຂັ້ນຕອນສິ່ງທີ່ໂຄງການແລະວິທີການສະກັດຂໍ້ມູນ WhatsApp ຈາກອຸປະກອນຕ່າງໆ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com