WhatsApp eo am-pelatananao: aiza ary ahoana no ahitanao artifact forensika?

Raha te-hahafantatra ianao hoe inona ny karazana artifact forensic WhatsApp misy amin'ny rafitra fiasa samihafa ary aiza marina no ahitana azy, dia ity no toerana ho anao. Ity lahatsoratra ity dia avy amin'ny manam-pahaizana manokana ao amin'ny laboratoara forensics informatika Group-IB Igor Mikhailov manomboka andiana lahatsoratra momba ny forensika WhatsApp sy ny vaovao azo alaina amin'ny famakafakana ilay fitaovana.

Zava-dehibe ny manamarika fa ny rafitra fiasa samihafa dia mitahiry karazana rakitra WhatsApp samihafa, ary raha toa ka afaka maka karazana angon-drakitra WhatsApp sasany avy amin'ny fitaovana iray ny mpikaroka iray, dia tsy voatery midika izany fa azo alaina avy amin'ny fitaovana hafa ireo karazana angon-drakitra mitovy ireo. Ohatra, raha esorina ny singa miasa amin'ny rafitra fiasa. Windows, dia mety tsy ho hita ao amin'ny kapila mafy orina ny resaka WhatsApp (ankoatra ny backup-n'ny fitaovana iOS, izay mety ho hita ao amin'ireo kapila mafy ireo ihany). Ny fakana an-keriny ny solosaina finday sy ny finday dia hitondra ny fanamby atrehiny. Andeha horesahintsika amin'ny antsipiriany bebe kokoa izany.

Zavatra tsy ampy ao amin'ny WhatsApp Android-fitaovana

Mba hanesorana ireo rakitra WhatsApp avy amin'ny fitaovana mampiasa OS Android, tsy maintsy manana zo mpampiasa ambony indrindra ny mpikaroka ('faka') amin'ny fitaovana anaovana fanadihadiana na afaka manaisotra fanariam-pahatsiarovana ara-batana an'ilay fitaovana, na rafitra fichier (ohatra, amin'ny fampiasana lozisialy vulnerability amin'ny fitaovana finday iray manokana).

Ny rakitra fampiharana dia hita ao amin'ny fitadidian'ny telefaona ao amin'ny fizarana misy ny angona mpampiasa. Amin'ny maha-fitsipika, ity fizarana ity dia nomena anarana 'userdata'. Ny subdirectories sy ny rakitra programa dia hita eo amin'ny lalana: '/data/data/com.whatsapp/'.

Ireo rakitra lehibe misy rakitra forensika WhatsApp ao amin'ny OS Android dia angon-drakitra 'wa.db' и 'msgstore.db'.

Ao amin'ny tahiry 'wa.db' misy ny lisitry ny fifandraisana feno amin'ny mpampiasa WhatsApp, ao anatin'izany ny laharan-telefaona, ny anarana aseho, ny famantaranandro ary ny fampahalalana hafa omena mandritra ny fisoratana anarana amin'ny WhatsApp. rakitra 'wa.db' hita teny an-dalana: '/data/data/com.whatsapp/databases/' ary manana izao rafitra manaraka izao:

Ny tabilao mahaliana indrindra amin'ny angon-drakitra 'wa.db' ho an'ny mpikaroka dia:

• 'wa_contacts'
  Ity latabatra ity dia misy fampahalalana momba ny fifandraisana: id amin'ny WhatsApp, fampahalalana momba ny sata, anaran'ny mpampiasa, marika famantaranandro, sns.

  Fisehoan-databatra:

  
  Firafitry ny latabatra

  Anaran'ny saha	zava-dehibe
  _id	firaketana ny laharana filaharana (ao amin'ny latabatra SQL)
  jid	WhatsApp contact ID, voasoratra amin'ny endrika <nomer-telefaonina>@s.whatsapp.net
  is_whatsapp_user	misy '1' raha mifanaraka amin'ny mpampiasa WhatsApp tena izy ny fifandraisana, raha tsy izany dia '0'
  sata	misy ny lahatsoratra aseho ao amin'ny satan'ny fifandraisana
  status_timestamp	misy mari-pamantarana amin'ny endrika Unix Epoch Time (ms).
  isa	laharana finday mifandray amin'ny fifandraisana
  raw_contact_id	laharana serial
  anarana isehoana	anarana aseho amin'ny fifandraisana
  phone_type	karazana finday
  phone_label	etikety mifandray amin'ny laharan-tariby
  unseen_msg_count	isan'ny hafatra nalefan'ny mpifandray nefa tsy novakian'ny mpandray
  sary_ts	misy mari-pamantarana amin'ny endrika Unix Epoch Time
  ankihibe_ts	misy mari-pamantarana amin'ny endrika Unix Epoch Time
  photo_id_timestamp	misy mari-pamantarana amin'ny endrika Unix Epoch Time (ms).
  anarana nomena	ny sandan'ny saha dia mifanandrify amin'ny 'display_name' ho an'ny fifandraisana tsirairay
  wa_name	Anaran'ny fifandraisana WhatsApp (miseho ny anarana voalaza ao amin'ny mombamomba ny fifandraisana)
  sort_name	anaran'ny fifandraisana ampiasaina amin'ny asa fanasokajiana
  anaram-bositra	anaram-bositra ao amin'ny WhatsApp (aseho ny anaram-bositra voatondro ao amin'ny mombamomba ny fifandraisana)
  orinasa	orinasa (ny orinasa voalaza ao amin'ny mombamomba ny fifandraisana dia aseho)
  lohateny	title (Ms./Mr.; title configured in the contact profile is displayed)
  offset	fitongilanana

• 'sqlite_sequence'
  Ity tabilao ity dia misy fampahalalana momba ny isan'ny fifandraisana;
• 'android_metadata'
  Ity tabilao ity dia misy fampahalalana momba ny toerana misy ny fiteny WhatsApp.

Ao amin'ny tahiry 'msgstore.db' misy fampahalalana momba ny hafatra nalefa, toy ny laharan'ny fifandraisana, ny lahatsoratra hafatra, ny toeran'ny hafatra, ny mari-pamantarana, ny antsipirian'ny rakitra nafindra ao anaty hafatra, sns. rakitra 'msgstore.db' hita teny an-dalana: '/data/data/com.whatsapp/databases/' ary manana izao rafitra manaraka izao:

Ny tabilao mahaliana indrindra amin'ny rakitra 'msgstore.db' ho an'ny mpikaroka dia:

• 'sqlite_sequence'
  Ity tabilao ity dia ahitana fampahalalana ankapobeny momba ity angona ity, toy ny fitambaran'ny isan'ny hafatra voatahiry, ny fitambaran'ny chat, sns.

  Fisehoan-databatra:

  

• 'Message_fts_content'
  Ahitana ny lahatsoratry ny hafatra nalefa.

  Fisehoan-databatra:

  

• 'hafatra'
  Ity tabilao ity dia misy fampahalalana toy ny laharan'ny fifandraisana, lahatsoratra hafatra, toeran'ny hafatra, marika famantaranandro, fampahalalana momba ny rakitra nafindra ao anaty hafatra.

  Fisehoan-databatra:

  
  Firafitry ny latabatra

  Anaran'ny saha	zava-dehibe
  _id	firaketana ny laharana filaharana (ao amin'ny latabatra SQL)
  key_remote_jid	WhatsApp ID an'ny mpiara-miasa amin'ny fifandraisana
  key_from_me	fitarihana hafatra: '0' - miditra, '1' - mivoaka
  key_id	famantarana hafatra tokana
  sata	satan'ny hafatra: '0' - tonga, '4' - miandry mpizara, '5' – voaray tany amin'ny toerana haleha, '6' – hafatra fanaraha-maso, '13' – hafatra nosokafan'ny mpandray (novakiana)
  mila_manosika	manana ny sanda '2' raha hafatra fampitana izany, raha tsy izany dia misy '0'
  tahirin-kevitra	lahatsoratra hafatra (rehefa '0' ny parameter 'media_wa_type')
  timestamp	misy famantaranandro amin'ny endrika Unix Epoch Time (ms), alaina amin'ny famantaranandron'ny fitaovana ny sandany
  media_url	misy ny URL an'ilay rakitra nafindra (raha ny paramètre 'media_wa_type' dia '1', '2', '3')
  media_mime_type	Karazana MIME amin'ny rakitra nafindra (rehefa mitovy amin'ny '1', '2', '3' ny parameter 'media_wa_type')
  media_wa_type	karazana hafatra: '0' - lahatsoratra, '1' - rakitra sary, '2' - rakitra audio, '3' - rakitra video, '4' - karatra fifandraisana, '5' - geodata
  media_size	haben'ny rakitra nafindra (rehefa ny 'media_wa_type' dia '1', '2', '3')
  anarana_media	anaran'ny rakitra nafindra (raha ny paramètre 'media_wa_type' dia '1', '2', '3')
  media_caption	Misy teny hoe 'audio', 'video' ho an'ny sanda mifanaraka amin'ny paramètre 'media_wa_type' (raha ny 'media_wa_type' dia '1', '3')
  media_hash	base64 misy tenifototra amin'ny rakitra alefa, kajy amin'ny alàlan'ny algorithm HAS-256 (rehefa mitovy amin'ny '1', '2', '3' ny parameter 'media_wa_type')
  media_dugay	faharetan'ny segondra ho an'ny rakitra media (raha ny 'media_wa_type' dia '1', '2', '3')
  niaviany	manana ny sanda '2' raha hafatra fampitana izany, raha tsy izany dia misy '0'
  Latitude	geodata: latitude (rehefa '5' ny parameter 'media_wa_type')
  -jarahasina	geodata: longitude (rehefa '5' ny parameter 'media_wa_type')
  thumb_image	fampahalalana momba ny serivisy
  remote_resource	ID mpandefa (ho an'ny chat vondrona ihany)
  voaray_timestamp	fotoana fandraisana, misy famantaranandro amin'ny endrika Unix Epoch Time (ms), ny sanda dia alaina amin'ny famantaranandron'ny fitaovana (rehefa manana '0', '-1' na sanda hafa ny parameter 'key_from_me')
  send_timestamp	tsy ampiasaina, matetika manana ny sanda '-1'
  receipt_server_timestamp	fotoana nandraisan'ny foibe mpizara, misy mari-potoana amin'ny endrika Unix Epoch Time (ms), ny sandany dia nalaina avy amin'ny famantaranandron'ny fitaovana (rehefa manana '1', '-1' na sanda hafa ny masontsivana 'key_from_me'
  receipt_device_timestamp	amin'ny fotoana nandraisan'ny mpanjifa hafa ny hafatra, misy marika famantaranandro amin'ny endrika Unix Epoch Time (ms), ny sanda dia alaina amin'ny famantaranandron'ny fitaovana (rehefa manana '1', '-1' na sanda hafa ny parameter 'key_from_me'
  read_device_timestamp	fotoana fanokafana (famakiana) ny hafatra, misy famantaranandro amin'ny endrika Unix Epoch Time (ms), alaina amin'ny famantaranandron'ny fitaovana ny sanda.
  nilalao_device_timestamp	fotoana famerenan'ny hafatra, misy marika famantaranandro amin'ny endrika Unix Epoch Time (ms), alaina amin'ny famantaranandron'ny fitaovana ny sanda.
  raw_data	thumbnail amin'ny rakitra nafindra (raha ny 'media_wa_type' dia '1' na '3')
  mpandray_isa	isan'ny mpandray (ho an'ny hafatra alefa)
  mpandray anjara_hash	ampiasaina rehefa mandefa hafatra amin'ny geodata
  nasiana kintana	tsy ampiasaina
  quoted_row_id	tsy fantatra, matetika misy ny sanda '0'
  mention_jids	tsy ampiasaina
  multicast_id	tsy ampiasaina
  offset	fitongilanana

  Ity lisitry ny saha ity dia tsy feno. Ho an'ny dikan-teny samihafa amin'ny WhatsApp, mety hisy saha sasany na tsy eo. Ankoatr'izay, mety hisy saha 'media_enc_hash', 'edit_version', 'fandoavana_transaction_id' sy ny sisa.

• 'messages_thumbnails'
  Ity tabilao ity dia misy fampahafantarana momba ny sary nafindra sy ny mari-potoana. Ao amin'ny tsanganana 'timestamp', ny fotoana dia aseho amin'ny endrika Unix Epoch Time (ms).
• 'list_chat'
  Ity tabilao ity dia misy fampahalalana momba ny chat.

  Fisehoan-databatra:

  

Ary koa, rehefa mikaroka WhatsApp amin'ny fitaovana finday miasa Android Mila mandinika ireto rakitra manaraka ireto ianao:

• rakitra 'msgstore.db.cryptXX' (raha ny XX dia isa iray na roa manomboka amin'ny 0 ka hatramin'ny 12, ohatra, msgstore.db.crypt12). Ahitana backup miafina amin'ny hafatra WhatsApp (rakitra backup msgstore.db). File(s) 'msgstore.db.cryptXX' hita teny an-dalana: '/data/media/0/WhatsApp/Databases/' (karatra SD virtoaly), '/mnt/sdcard/WhatsApp/Databases/ (karatra SD ara-batana)'.
• rakitra 'key'. Ahitana fanalahidy kriptografika. Eo amin'ny lalana: '/data/data/com.whatsapp/files/'. Ampiasaina amin'ny famongorana ny backup WhatsApp voatahiry.
• rakitra 'com.whatsapp_preferences.xml'. Ahitana fampahalalana momba ny mombamomba ny kaonty WhatsApp anao. Ny rakitra dia hita eo amin'ny lalana: '/data/data/com.whatsapp/shared_prefs/'.

  Sombiny votoaty rakitra

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• rakitra 'registration.RegisterPhone.xml'. Ahitana fampahalalana momba ny laharan-telefaona mifandray amin'ny kaonty WhatsApp. Ny rakitra dia hita eo amin'ny lalana: '/data/data/com.whatsapp/shared_prefs/'.

  Ny votoatin'ny rakitra

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• rakitra 'axolotl.db'. Ahitana fanalahidy kriptografika sy angona hafa ilaina hamantarana ny tompon'ny kaonty. Eo amin'ny lalana: '/data/data/com.whatsapp/databases/'.
• rakitra 'chatsettings.db'. Ahitana fampahafantarana momba ny fanefena ny fampiharana.
• rakitra 'wa.db'. Ahitana antsipirihan'ny fifandraisana. Tena mahaliana (avy amin'ny lafiny forensika) sy angon-drakitra misy fampahalalana. Mety misy fampahalalana amin'ny antsipiriany momba ny fifandraisana voafafa.

Ilainao koa ny mandinika ireto lahatahiry manaraka ireto:

• lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Ahitana rakitra sary nafindra.
• lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. Ahitana hafatra am-peo amin'ny rakitra endrika .OPUS.
• lahatahiry '/data/data/com.whatsapp/cache/Sary sary/'. Ahitana rakitra sary - sarin'ny fifandraisana.
• lahatahiry '/data/data/com.whatsapp/files/Avatars/'. Ahitana rakitra sary - sarin-tsarimihetsika amin'ny fifandraisana. Ireo rakitra ireo dia manana fanitarana '.j' fa na izany aza dia rakitra sary JPEG (JPG).
• lahatahiry '/data/data/com.whatsapp/files/Avatars/'. Ahitana rakitra sary - sary sy thumbnail amin'ny sary napetraka ho avatar avy amin'ny tompon'ny kaonty.
• lahatahiry '/data/data/com.whatsapp/files/Logs/'. Ahitana ny diarin'ny fampandehanan-draharaha (rakitra 'whatsapp.log') sy ny dika mitovy amin'ny diarin'ny fampandehanan-draharaha (rakitra misy anarana amin'ny endrika whatsapp-yyyy-mm-dd.1.log.gz).

WhatsApp Log Files:

Sombin-gazety2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] tsy hita antso fampilazana/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] fampandrenesana/fanavaozana tsy hita dia nanafoana marina
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] rakitra tenimiafina tsy hita na tsy azo vakina
2017-01-10 09:37:09.782 LL_I D [1:main] statistics Text Messages: 59 nalefa, 82 voaray / Media Messages: 1 nalefa (0 bytes), 0 voaray (9850158 bytes) / Offline Messages: 81 voaray ( 19522 msec salan'isa fahatarana) / Message Service: 116075 bytes alefa, 211729 bytes voaray / Voip Calls: 1 outgoing calls, 0 incoming calls, 2492 bytes sent, 1530 bytes voaray / Google Drive: 0 bytes alefa, 0 bytes 1524: Roaming bytes nalefa, 1826 bytes voaray / Total Data: 118567 octets nalefa, 10063417 octets voaray
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | fotoana lany:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage misy:1,345,622,016 total:5,687,922,688

• lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Ahitana ireo raki-peo voaray.
• lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Audio/Nalefa/'. Ahitana rakitra audio nalefa.
• lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Ahitana ireo rakitra sary vokarina.
• lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Sary/Nalefa/'. Ahitana rakitra sary nalefa.
• lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Ahitana rakitra video voaray.
• lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Video/Nalefa/'. Ahitana rakitra video nalefa.
• lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/'. Ahitana rakitra sary mifandray amin'ny tompon'ny kaonty WhatsApp.
• Mba hitsitsiana toerana fitadidiana Android- Mety ho voatahiry ao amin'ny karatra SD-n'ny findainao ny angon-drakitra WhatsApp sasany. Ny lahatahiry fototra ao amin'ny karatra SD dia misy lahatahiry antsoina hoe 'Whatsapp', izay ahitana ireto artifact manaraka ireto amin'ity programa ity:

  

• lahatahiry '.Mizara' ('/mnt/sdcard/WhatsApp/.Share/'). Misy dika mitovy amin'ny rakitra nozaraina tamin'ireo mpampiasa WhatsApp hafa.
• lahatahiry '.fako' ('/mnt/sdcard/WhatsApp/.trash/'). Ahitana rakitra voafafa.
• lahatahiry 'Databases' ('/mnt/sdcard/WhatsApp/Databases/'). Ahitana backup miafina. Izy ireo dia azo decrypted raha misy ny rakitra 'key', nalaina avy amin'ny fitadidiana ny fitaovana nodinihina.

  Files hita ao amin'ny subdirectory 'Databases':

  

• lahatahiry 'Asasaka' ('/mnt/sdcard/WhatsApp/Media/'). Misy subdirectories 'WallPaper', 'WhatsApp Audio', 'Sary WhatsApp', 'Sary mombamomba ny WhatsApp', 'Video WhatsApp', 'WhatsApp Voice Notes', izay misy rakitra multimedia voaray sy ampitaina (rakitra sary, rakitra video, hafatra an-peo, sary mifandray amin'ny mombamomba ny tompon'ny kaonty WhatsApp, wallpaper).
• lahatahiry 'Sary momba ny mombamomba' ('/mnt/sdcard/WhatsApp/Sary mombamomba/'). Ahitana rakitra sary mifandray amin'ny mombamomba ny tompon'ny kaonty WhatsApp.
• Indraindray dia mety misy lahatahiry hita ao amin'ny karatra SD 'rakitra' ('/mnt/sdcard/WhatsApp/Files/'). Ity lahatahiry ity dia misy rakitra mitahiry ny fandrindrana fandaharana sy ny safidin'ny mpampiasa.

Toetran'ny fitahirizana angon-drakitra amin'ny maodely sasany amin'ny fitaovana finday

Ao amin'ny modely finday sasany mampiasa OS Android Mety ho voatahiry any amin'ny toerana hafa ny rakitra WhatsApp. Izany dia vokatry ny fiovan'ny toerana fitahirizana angon-drakitra amin'ny alalan'ny rindrambaiko finday. Ohatra, ny finday Xiaomi dia manana endri-javatra antsoina hoe "SecondSpace." Rehefa ampiasaina io endri-javatra io dia miova ny toerana misy ny angon-drakitra. Ohatra, raha finday mahazatra mampiasa ny OS Android voatahiry ao amin'ny lahatahiry ny angon-drakitra mpampiasa '/data/user/0/' (izay fanondroana ny mahazatra '/data/data/'), avy eo dia voatahiry ao amin'ny lahatahiry ny angon-drakitra fampiharana espace faharoa '/data/user/10/'. Izany hoe, mampiasa ny ohatra ny toerana misy ny rakitra 'wa.db':

• ao anaty finday avo lenta mahazatra mampiasa OS Android: /data/user/0/com.whatsapp/databases/wa.db' (izay mitovy '/data/data/com.whatsapp/databases/wa.db');
• ao amin'ny toeram-piasana faharoa an'ny finday Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.

WhatsApp artifacts amin'ny fitaovana iOS

Tsy toy ny Android Ao amin'ny iOS, ny angon-drakitra WhatsApp dia afindra any amin'ny backup iTunes. Noho izany, ny fanesorana ny angon-drakitra avy amin'ity fampiharana ity dia tsy mitaky ny fanesorana ny rafitra rakitra na ny famoronana toerana fitahirizana fitadidiana ara-batana an'ilay fitaovana dinihina. Ny ankamaroan'ny fampahalalana mifandraika amin'izany dia voarakitra ao amin'ny tahiry angona. 'ChatStorage.sqlite', izay hita eo amin'ny lalana: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (amin'ny programa sasany dia miseho toy ny 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').

rafitra 'ChatStorage.sqlite':

Ny latabatra fampahafantarana indrindra ao amin'ny angon-drakitra 'ChatStorage.sqlite' dia 'ZWAMESSAGE' и 'ZWAMEDIAIITEM'.

Fisehoan-databatra 'ZWAMESSAGE':

Ny rafitry ny latabatra 'ZWAMESSAGE'

Fisehoan-databatra 'ZWAMEDIAIITEM':

Firafitry ny latabatra 'ZWAMEDIAITEM'

latabatra database mahaliana hafa 'ChatStorage.sqlite' dia:

• 'ZWAPROFILEPUSHNAME'. Mifanaraka amin'ny WhatsApp ID miaraka amin'ny anarana mifandray;
• 'ZWAPROFILEPICTUREITEM'. Mifanaraka amin'ny WhatsApp ID miaraka amin'ny avatar fifandraisana;
• 'Z_PRIMARYKEY'. Ny tabilao dia ahitana fampahalalana ankapobeny momba ity tahiry ity, toy ny fitambaran'ny isan'ny hafatra voatahiry, ny totalin'ny chat, sns.

Ary koa, rehefa mandinika ny WhatsApp amin'ny fitaovana finday mihazakazaka iOS ianao dia tokony handinika ireto rakitra manaraka ireto:

• rakitra 'BackedUpKeyValue.sqlite'. Ahitana fanalahidy kriptografika sy angona hafa ilaina hamantarana ny tompon'ny kaonty. Eo amin'ny lalana: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• rakitra 'ContactsV2.sqlite'. Ahitana fampahalalana momba ny fifandraisan'ny mpampiasa, toy ny anarana feno, laharan-telefaona, sata mifandray (amin'ny endrika lahatsoratra), ID WhatsApp, sns. Eo amin'ny lalana: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• rakitra 'version_consumer'. Ahitana ny laharan'ny dikan-ny fampiharana WhatsApp napetraka. Eo amin'ny lalana: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• rakitra 'current_wallpaper.jpg'. Ahitana ny wallpaper background WhatsApp ankehitriny. Eo amin'ny lalana: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Ny dikan-teny tranainy amin'ny fampiharana dia mampiasa ny rakitra 'wallpaper', izay hita eo amin'ny lalana: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
• rakitra 'blockedcontacts.dat'. Ahitana fampahalalana momba ny fifandraisana voasakana. Eo amin'ny lalana: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• rakitra 'pw.dat'. Ahitana tenimiafina voafehy. Eo amin'ny lalana: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
• rakitra 'net.whatsapp.WhatsApp.plist' (na rakitra 'group.net.whatsapp.WhatsApp.shared.plist'). Ahitana fampahalalana momba ny mombamomba ny kaonty WhatsApp anao. Ny rakitra dia hita eo amin'ny lalana: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

Ny votoatin'ny rakitra 'group.net.whatsapp.WhatsApp.shared.plist'
Ilainao koa ny mandinika ireto lahatahiry manaraka ireto:

• lahatahiry '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Misy thumbnails amin'ny fifandraisana, vondrona (rakitra misy ny fanitarana .ankihibe), fifandraisana avatar, avatar tompon'ny kaonty WhatsApp (file 'Photo.jpg').
• lahatahiry '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Ahitana rakitra multimedia sy ny thumbnails
• lahatahiry '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Ahitana ny log de operation program (file 'calls.log') ary kopia backup amin'ny diarin'ny fiasan'ny programa (file 'calls.backup.log').
• lahatahiry '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Misy stickers (rakitra amin'ny endrika '.webp').
• lahatahiry '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. Ahitana diarin'ny fiasan'ny programa.

Zavatra tsy ampy ao amin'ny WhatsApp Windows

Zavatra tsy ampy ao amin'ny WhatsApp Windows dia hita any amin'ny toerana maro. Voalohany indrindra, ireo dia lahatahiry misy ny rakitra azo ampiasaina sy ny rakitra fanampiny an'ny programa (ho an'ny Windows 8/10):

• 'C: Program Files (x86) WhatsApp'
• 'C:Users%User profile% AppDataLocalWhatsApp'
• 'C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp'

Ao amin'ny katalaogy 'C:Users%User profile% AppDataLocalWhatsApp' misy ny rakitra log 'SquirrelSetup.log', izay misy fampahalalana momba ny fanamarinana ny fanavaozana sy ny fametrahana ny programa.

Ao amin'ny katalaogy 'C:Users%User profile% AppDataRoamingWhatsApp' Misy subdirectory maromaro:

rakitra 'main-process.log' misy fampahalalana momba ny fiasan'ny programa WhatsApp.

Subdirectory 'database' misy rakitra 'Databases.db', fa ity rakitra ity dia tsy misy fampahalalana momba ny chat na fifandraisana.

Ny mahaliana indrindra amin'ny fomba fijery forensika dia ny rakitra hita ao amin'ny lahatahiry 'Cache'. Ireo dia rakitra nomena anarana 'f_*******' (izay * dia isa 0 ka hatramin'ny 9) misy rakitra sy antontan-taratasy multimedia misy encryption, saingy misy rakitra tsy voafehin'izy ireo ihany koa. Ny tena mahaliana dia ny rakitra 'data_0', 'data_1', 'data_2', 'data_3', hita ao amin'ny subdirectory mitovy. rakitra 'data_0', 'data_1', 'data_3' mirakitra rohy ivelany mankany amin'ireo rakitra sy antontan-taratasy multimedia voarakotra.

Ohatra amin'ny fampahalalana voarakitra ao amin'ny rakitra 'data_1'
File koa 'data_3' mety misy rakitra sary.

rakitra 'data_2' misy avatar mifandray (azo averina amin'ny alàlan'ny fikarohana amin'ny lohatenin'ny rakitra).

Avatar voarakitra ao amin'ny rakitra 'data_2':

Noho izany, ny chat dia tsy hita ao amin'ny fitadidian'ny solosaina, fa afaka mahita ianao:

• rakitra multimedia;
• antontan-taratasy nalefa tamin'ny WhatsApp;
• fampahafantarana momba ny fifandraisan'ny tompon'ny kaonty.

WhatsApp artifacts amin'ny MacOS

Ao amin'ny MacOS, afaka mahita karazana rakitra WhatsApp mitovy amin'ireo hita ao amin'ny OS ianao. Windows.

Ny rakitra programa dia hita ao amin'ireto lahatahiry manaraka ireto:

• 'C: ApplicationsWhatsApp.app'
• 'C: Applications._WhatsApp.app'
• 'C:Users%User profile%LibraryPreferences'
• 'C:Users%User profile%LibraryLogsWhatsApp'
• 'C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState'
• 'C:Users%User profile%LibraryApplication Scripts'
• 'C:Users%User profile%LibraryApplication SupportCloudDocs'
• 'C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt'
• 'C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
• 'C: Users% User profile% Library Mobile Documents <text variable> Kaonty WhatsApp'
  Ity lahatahiry ity dia misy zana-tohatra misy nomeraon-telefaona mifandray amin'ny tompon'ny kaonty WhatsApp ny anarany.
• 'C:Users%User profile%LibraryCachesWhatsApp.ShipIt'
  Ity lahatahiry ity dia misy fampahalalana momba ny fametrahana ny programa.
• 'C:Users%User profile%PicturesiPhoto Library.photolibraryMasters', 'C:Users%User profile%PicturesiPhoto Library.photolibraryThumbnails'
  Ireo lahatahiry ireo dia misy rakitra serivisy amin'ny programa, ao anatin'izany ny sary sy ny thumbnails amin'ny fifandraisana WhatsApp.
• 'C:Users%User profile%LibraryCachesWhatsApp'
  Ity lahatahiry ity dia misy angona SQLite maromaro ampiasaina amin'ny caching data.
• 'C:Users%User profile%LibraryApplication SupportWhatsApp'
  Ity lahatahiry ity dia misy subdirectories maromaro:

  
  Ao amin'ny katalaogy 'C:Users%User profile%LibraryApplication SupportWhatsAppCache' misy rakitra 'data_0', 'data_1', 'data_2', 'data_3' ary rakitra misy anarana 'f_*******' (izay * dia isa manomboka amin'ny 0 ka hatramin'ny 9). Ny fampahalalana momba ny fampahalalana ao anatin'ireo rakitra ireo dia voalaza ao amin'ny fizarana "WhatsApp Artifacts in Windows".

  Ao amin'ny katalaogy 'C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB' mety misy rakitra multimedia (tsy misy fanitarana ny rakitra).

  rakitra 'main-process.log' misy fampahalalana momba ny fiasan'ny programa WhatsApp.

loharanom-baovao

1. Fanadihadiana ara-pitsarana momba ny WhatsApp Messenger amin'ny Android finday avo lenta, nataon'i Cosimo Anglano, 2014.
2. Whatsapp Forensics: Eksplorasi ny rafitra rakitra sy data fototra amin'ny fampiharana Android sy iOS nataon'i Ahmad Pratama, 2014.

Ao amin'ny lahatsoratra manaraka amin'ity andiany ity:

Decryption ny angon-drakitra WhatsApp encryptedLahatsoratra izay hanome fampahalalana momba ny fomba namoronana ny fanalahidin'ny encryption WhatsApp sy ohatra azo ampiharina mampiseho ny fomba famongorana ny angon-drakitra voafehin'ity fampiharana ity.
Fanala ny angona WhatsApp avy amin'ny fitahirizana rahonaLahatsoratra izay hilazanay aminao ny angon-drakitra WhatsApp voatahiry ao anaty rahona ary mamaritra ny fomba hamerenana ireo angona avy amin'ny fitahirizana rahona.
Fitrandrahana angona WhatsApp: Ohatra azo ampiharinaLahatsoratra izay hamaritra tsikelikely ny programa sy ny fomba hanesorana ny angona WhatsApp amin'ny fitaovana isan-karazany.

Source: www.habr.com