Raha te-hahafantatra ianao hoe inona ny karazana artifact forensic WhatsApp misy amin'ny rafitra fiasa samihafa ary aiza marina no ahitana azy, dia ity no toerana ho anao. Ity lahatsoratra ity dia avy amin'ny manam-pahaizana manokana ao amin'ny laboratoara forensics informatika Group-IB Igor Mikhailov manomboka andiana lahatsoratra momba ny forensika WhatsApp sy ny vaovao azo alaina amin'ny famakafakana ilay fitaovana.
Andeha hojerentsika avy hatrany fa ny rafitra fiasana samihafa dia mitahiry karazana artifacts WhatsApp samihafa, ary raha misy mpikaroka afaka maka karazana angona WhatsApp avy amin'ny fitaovana iray, tsy midika izany fa azo alaina amin'ny fitaovana hafa ny karazana data mitovy. Ohatra, raha nesorina ny rafitra iray mandeha amin'ny Windows OS, dia mety tsy ho hita ao amin'ny kapilany ny chat WhatsApp (ankoatra ny kopia backup an'ny fitaovana iOS, izay hita amin'ny kapila mitovy). Hanana ny mampiavaka azy ny fisamborana ny solosaina finday sy finday. Andeha isika hiresaka momba izany amin'ny antsipiriany bebe kokoa.
WhatsApp artifacts amin'ny fitaovana Android
Mba hanesorana ny artifact WhatsApp amin'ny fitaovana Android, ny mpikaroka dia tsy maintsy manana zo superuser ('faka') amin'ny fitaovana anaovana fanadihadiana na afaka manaisotra fanariam-pahatsiarovana ara-batana an'ilay fitaovana, na rafitra fichier (ohatra, amin'ny fampiasana lozisialy vulnerability amin'ny fitaovana finday iray manokana).
Ny rakitra fampiharana dia hita ao amin'ny fitadidian'ny telefaona ao amin'ny fizarana misy ny angona mpampiasa. Amin'ny maha-fitsipika, ity fizarana ity dia nomena anarana 'userdata'. Ny subdirectories sy ny rakitra programa dia hita eo amin'ny lalana: '/data/data/com.whatsapp/'.
Ny rakitra lehibe misy artifact forensic WhatsApp ao amin'ny Android OS dia angon-drakitra 'wa.db' ΠΈ 'msgstore.db'.
Ao amin'ny tahiry 'wa.db' misy ny lisitry ny fifandraisana feno amin'ny mpampiasa WhatsApp, ao anatin'izany ny laharan-telefaona, ny anarana aseho, ny famantaranandro ary ny fampahalalana hafa omena mandritra ny fisoratana anarana amin'ny WhatsApp. rakitra 'wa.db' hita teny an-dalana: '/data/data/com.whatsapp/databases/' ary manana izao rafitra manaraka izao:
Ny tabilao mahaliana indrindra amin'ny angon-drakitra 'wa.db' ho an'ny mpikaroka dia:
- 'wa_contacts'
Ity latabatra ity dia misy fampahalalana momba ny fifandraisana: id amin'ny WhatsApp, fampahalalana momba ny sata, anaran'ny mpampiasa, marika famantaranandro, sns.Fisehoan-databatra:
Firafitry ny latabatraAnaran'ny saha zava-dehibe _id firaketana ny laharana filaharana (ao amin'ny latabatra SQL) jid WhatsApp contact ID, voasoratra amin'ny endrika <nomer-telefaonina>@s.whatsapp.net is_whatsapp_user misy '1' raha mifanaraka amin'ny mpampiasa WhatsApp tena izy ny fifandraisana, raha tsy izany dia '0' sata misy ny lahatsoratra aseho ao amin'ny satan'ny fifandraisana status_timestamp misy mari-pamantarana amin'ny endrika Unix Epoch Time (ms). isa laharana finday mifandray amin'ny fifandraisana raw_contact_id laharana serial anarana isehoana anarana aseho amin'ny fifandraisana phone_type karazana finday phone_label etikety mifandray amin'ny laharan-tariby unseen_msg_count isan'ny hafatra nalefan'ny mpifandray nefa tsy novakian'ny mpandray sary_ts misy mari-pamantarana amin'ny endrika Unix Epoch Time ankihibe_ts misy mari-pamantarana amin'ny endrika Unix Epoch Time photo_id_timestamp misy mari-pamantarana amin'ny endrika Unix Epoch Time (ms). anarana nomena ny sandan'ny saha dia mifanandrify amin'ny 'display_name' ho an'ny fifandraisana tsirairay wa_name Anaran'ny fifandraisana WhatsApp (miseho ny anarana voalaza ao amin'ny mombamomba ny fifandraisana) sort_name anaran'ny fifandraisana ampiasaina amin'ny asa fanasokajiana anaram-bositra anaram-bositra ao amin'ny WhatsApp (aseho ny anaram-bositra voatondro ao amin'ny mombamomba ny fifandraisana) orinasa orinasa (ny orinasa voalaza ao amin'ny mombamomba ny fifandraisana dia aseho) lohateny title (Ms./Mr.; title configured in the contact profile is displayed) offset fitongilanana - 'sqlite_sequence'
Ity tabilao ity dia misy fampahalalana momba ny isan'ny fifandraisana; - 'android_metadata'
Ity tabilao ity dia misy fampahalalana momba ny toerana misy ny fiteny WhatsApp.
Ao amin'ny tahiry 'msgstore.db' misy fampahalalana momba ny hafatra nalefa, toy ny laharan'ny fifandraisana, ny lahatsoratra hafatra, ny toeran'ny hafatra, ny mari-pamantarana, ny antsipirian'ny rakitra nafindra ao anaty hafatra, sns. rakitra 'msgstore.db' hita teny an-dalana: '/data/data/com.whatsapp/databases/' ary manana izao rafitra manaraka izao:
Ny tabilao mahaliana indrindra amin'ny rakitra 'msgstore.db' ho an'ny mpikaroka dia:
- 'sqlite_sequence'
Ity tabilao ity dia ahitana fampahalalana ankapobeny momba ity angona ity, toy ny fitambaran'ny isan'ny hafatra voatahiry, ny fitambaran'ny chat, sns.Fisehoan-databatra:
- 'Message_fts_content'
Ahitana ny lahatsoratry ny hafatra nalefa.Fisehoan-databatra:
- 'hafatra'
Ity tabilao ity dia misy fampahalalana toy ny laharan'ny fifandraisana, lahatsoratra hafatra, toeran'ny hafatra, marika famantaranandro, fampahalalana momba ny rakitra nafindra ao anaty hafatra.Fisehoan-databatra:
Firafitry ny latabatraAnaran'ny saha zava-dehibe _id firaketana ny laharana filaharana (ao amin'ny latabatra SQL) key_remote_jid WhatsApp ID an'ny mpiara-miasa amin'ny fifandraisana key_from_me fitarihana hafatra: '0' - miditra, '1' - mivoaka key_id famantarana hafatra tokana sata toeran'ny hafatra: '0' - naterina, '4' - miandry amin'ny server, '5' - voaray amin'ny toerana haleha, '6' - hafatra mifehy, '13' - hafatra nosokafan'ny mpandray (vakio) mila_manosika manana ny sanda '2' raha hafatra fampitana izany, raha tsy izany dia misy '0' tahirin-kevitra lahatsoratra hafatra (rehefa '0' ny parameter 'media_wa_type') timestamp misy famantaranandro amin'ny endrika Unix Epoch Time (ms), alaina amin'ny famantaranandron'ny fitaovana ny sandany media_url misy ny URL an'ilay rakitra nafindra (raha ny paramètre 'media_wa_type' dia '1', '2', '3') media_mime_type Karazana MIME amin'ny rakitra nafindra (rehefa mitovy amin'ny '1', '2', '3' ny parameter 'media_wa_type') media_wa_type karazana hafatra: '0' - lahatsoratra, '1' - rakitra sary, '2' - rakitra audio, '3' - rakitra video, '4' - karatra fifandraisana, '5' - geodata media_size haben'ny rakitra nafindra (rehefa ny 'media_wa_type' dia '1', '2', '3') anarana_media anaran'ny rakitra nafindra (raha ny paramètre 'media_wa_type' dia '1', '2', '3') media_caption Misy teny hoe 'audio', 'video' ho an'ny sanda mifanaraka amin'ny paramètre 'media_wa_type' (raha ny 'media_wa_type' dia '1', '3') media_hash base64 misy tenifototra amin'ny rakitra alefa, kajy amin'ny alà lan'ny algorithm HAS-256 (rehefa mitovy amin'ny '1', '2', '3' ny parameter 'media_wa_type') media_dugay faharetan'ny segondra ho an'ny rakitra media (raha ny 'media_wa_type' dia '1', '2', '3') niaviany manana ny sanda '2' raha hafatra fampitana izany, raha tsy izany dia misy '0' Latitude geodata: latitude (rehefa '5' ny parameter 'media_wa_type') -jarahasina geodata: longitude (rehefa '5' ny parameter 'media_wa_type') thumb_image fampahalalana momba ny serivisy remote_resource ID mpandefa (ho an'ny chat vondrona ihany) voaray_timestamp fotoana fandraisana, misy famantaranandro amin'ny endrika Unix Epoch Time (ms), ny sanda dia alaina amin'ny famantaranandron'ny fitaovana (rehefa manana '0', '-1' na sanda hafa ny parameter 'key_from_me') send_timestamp tsy ampiasaina, matetika manana ny sanda '-1' receipt_server_timestamp fotoana voarain'ny mpizara foibe, misy marika famantaranandro amin'ny endrika Unix Epoch Time (ms), alaina amin'ny famantaranandron'ny fitaovana ny sanda (rehefa manana '1', '-1' na sanda hafa ny parameter 'key_from_me' receipt_device_timestamp amin'ny fotoana nandraisan'ny mpanjifa hafa ny hafatra, misy marika famantaranandro amin'ny endrika Unix Epoch Time (ms), ny sanda dia alaina amin'ny famantaranandron'ny fitaovana (rehefa manana '1', '-1' na sanda hafa ny parameter 'key_from_me' read_device_timestamp fotoana fanokafana (famakiana) ny hafatra, misy famantaranandro amin'ny endrika Unix Epoch Time (ms), alaina amin'ny famantaranandron'ny fitaovana ny sanda. nilalao_device_timestamp fotoana famerenan'ny hafatra, misy marika famantaranandro amin'ny endrika Unix Epoch Time (ms), alaina amin'ny famantaranandron'ny fitaovana ny sanda. raw_data thumbnail amin'ny rakitra nafindra (raha ny 'media_wa_type' dia '1' na '3') mpandray_isa isan'ny mpandray (ho an'ny hafatra alefa) mpandray anjara_hash ampiasaina rehefa mandefa hafatra amin'ny geodata nasiana kintana tsy ampiasaina quoted_row_id tsy fantatra, matetika misy ny sanda '0' mention_jids tsy ampiasaina multicast_id tsy ampiasaina offset fitongilanana Ity lisitry ny saha ity dia tsy feno. Ho an'ny dikan-teny samihafa amin'ny WhatsApp, mety hisy saha sasany na tsy eo. Ankoatr'izay, mety hisy saha 'media_enc_hash', 'edit_version', 'fandoavana_transaction_id' sy ny sisa.
- 'messages_thumbnails'
Ity tabilao ity dia misy fampahafantarana momba ny sary nafindra sy ny mari-potoana. Ao amin'ny tsanganana 'timestamp', ny fotoana dia aseho amin'ny endrika Unix Epoch Time (ms). - 'list_chat'
Ity tabilao ity dia misy fampahalalana momba ny chat.Fisehoan-databatra:
Ary koa, rehefa mandinika ny WhatsApp amin'ny fitaovana finday mandeha amin'ny Android ianao dia tokony handinika ireto rakitra manaraka ireto:
- rakitra 'msgstore.db.cryptXX' (raha ny XX dia isa iray na roa manomboka amin'ny 0 ka hatramin'ny 12, ohatra, msgstore.db.crypt12). Ahitana backup miafina amin'ny hafatra WhatsApp (rakitra backup msgstore.db). File(s) 'msgstore.db.cryptXX' hita teny an-dalana: '/data/media/0/WhatsApp/Databases/' (karatra SD virtoaly), '/mnt/sdcard/WhatsApp/Databases/ (karatra SD ara-batana)'.
- rakitra 'key'. Ahitana fanalahidy kriptografika. Eo amin'ny lalana: '/data/data/com.whatsapp/files/'. Ampiasaina amin'ny famongorana ny backup WhatsApp voatahiry.
- rakitra 'com.whatsapp_preferences.xml'. Ahitana fampahalalana momba ny mombamomba ny kaonty WhatsApp anao. Ny rakitra dia hita eo amin'ny lalana: '/data/data/com.whatsapp/shared_prefs/'.
Sombiny votoaty rakitra
<?xml version="1.0" encoding="ISO-8859-1"?> β¦ <string name="ph">9123456789</string> (Π½ΠΎΠΌΠ΅Ρ ΡΠ΅Π»Π΅ΡΠΎΠ½Π°, Π°ΡΡΠΎΡΠΈΠΈΡΠΎΠ²Π°Π½Π½ΡΠΉ Ρ Π°ΠΊΠΊΠ°ΡΠ½ΡΠΎΠΌ WhatsApp) β¦ <string name="version">2.17.395</string> (Π²Π΅ΡΡΠΈΡ WhatsApp) β¦ <string name="my_current_status">Hey there! I am using WhatsApp.</string> (ΡΠΎΠΎΠ±ΡΠ΅Π½ΠΈΠ΅, ΠΎΡΠΎΠ±ΡΠ°ΠΆΠ°Π΅ΠΌΠΎΠ΅ Π² ΡΡΠ°ΡΡΡΠ΅ Π°ΠΊΠΊΠ°ΡΠ½ΡΠ°) β¦ <string name="push_name">Alex</string> (ΠΈΠΌΡ Π²Π»Π°Π΄Π΅Π»ΡΡΠ° Π°ΠΊΠΊΠ°ΡΠ½ΡΠ°) β¦ - rakitra 'registration.RegisterPhone.xml'. Ahitana fampahalalana momba ny laharan-telefaona mifandray amin'ny kaonty WhatsApp. Ny rakitra dia hita eo amin'ny lalana: '/data/data/com.whatsapp/shared_prefs/'.
Ny votoatin'ny rakitra
<?xml version="1.0" encoding="ISO-8859-1"?> <map> <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string> <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/> <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/> <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string> <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/> <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string> <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string> </map> - rakitra 'axolotl.db'. Ahitana fanalahidy kriptografika sy angona hafa ilaina hamantarana ny tompon'ny kaonty. Eo amin'ny lalana: '/data/data/com.whatsapp/databases/'.
- rakitra 'chatsettings.db'. Ahitana fampahafantarana momba ny fanefena ny fampiharana.
- rakitra 'wa.db'. Ahitana antsipirihan'ny fifandraisana. Tena mahaliana (avy amin'ny lafiny forensika) sy angon-drakitra misy fampahalalana. Mety misy fampahalalana amin'ny antsipiriany momba ny fifandraisana voafafa.
Ilainao koa ny mandinika ireto lahatahiry manaraka ireto:
- lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Ahitana rakitra sary nafindra.
- lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. Ahitana hafatra am-peo amin'ny rakitra endrika .OPUS.
- lahatahiry '/data/data/com.whatsapp/cache/Sary sary/'. Ahitana rakitra sary - sarin'ny fifandraisana.
- lahatahiry '/data/data/com.whatsapp/files/Avatars/'. Ahitana rakitra sary - sarin-tsarimihetsika amin'ny fifandraisana. Ireo rakitra ireo dia manana fanitarana '.j' fa na izany aza dia rakitra sary JPEG (JPG).
- lahatahiry '/data/data/com.whatsapp/files/Avatars/'. Ahitana rakitra sary - sary sy thumbnail amin'ny sary napetraka ho avatar avy amin'ny tompon'ny kaonty.
- lahatahiry '/data/data/com.whatsapp/files/Logs/'. Ahitana ny diarin'ny fampandehanan-draharaha (rakitra 'whatsapp.log') sy ny dika mitovy amin'ny diarin'ny fampandehanan-draharaha (rakitra misy anarana amin'ny endrika whatsapp-yyyy-mm-dd.1.log.gz).
WhatsApp Log Files:
Sombin-gazety2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] tsy hita antso fampilazana/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] fampandrenesana/fanavaozana tsy hita dia nanafoana marina
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] rakitra tenimiafina tsy hita na tsy azo vakina
2017-01-10 09:37:09.782 LL_I D [1:main] statistics Text Messages: 59 nalefa, 82 voaray / Media Messages: 1 nalefa (0 bytes), 0 voaray (9850158 bytes) / Offline Messages: 81 voaray ( 19522 msec salan'isa fahatarana) / Message Service: 116075 bytes alefa, 211729 bytes voaray / Voip Calls: 1 outgoing calls, 0 incoming calls, 2492 bytes sent, 1530 bytes voaray / Google Drive: 0 bytes alefa, 0 bytes 1524: Roaming bytes nalefa, 1826 bytes voaray / Total Data: 118567 octets nalefa, 10063417 octets voaray
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | fotoana lany:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage misy:1,345,622,016 total:5,687,922,688
- lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Ahitana ireo raki-peo voaray.
- lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Audio/Nalefa/'. Ahitana rakitra audio nalefa.
- lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Ahitana ireo rakitra sary vokarina.
- lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Sary/Nalefa/'. Ahitana rakitra sary nalefa.
- lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Ahitana rakitra video voaray.
- lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Video/Nalefa/'. Ahitana rakitra video nalefa.
- lahatahiry '/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/'. Ahitana rakitra sary mifandray amin'ny tompon'ny kaonty WhatsApp.
- Mba hitsitsiana toerana fitadidiana amin'ny findainao Android, ny angon-drakitra WhatsApp sasany dia azo tehirizina amin'ny karatra SD. Ao amin'ny karatra SD, ao amin'ny lahatahiry fototra, misy lahatahiry 'Whatsapp', izay ahitana ireto artifact manaraka ireto amin'ity programa ity:
- lahatahiry '.Mizara' ('/mnt/sdcard/WhatsApp/.Share/'). Misy dika mitovy amin'ny rakitra nozaraina tamin'ireo mpampiasa WhatsApp hafa.
- lahatahiry '.fako' ('/mnt/sdcard/WhatsApp/.trash/'). Ahitana rakitra voafafa.
- lahatahiry 'Databases' ('/mnt/sdcard/WhatsApp/Databases/'). Ahitana backup miafina. Izy ireo dia azo decrypted raha misy ny rakitra 'key', nalaina avy amin'ny fitadidiana ny fitaovana nodinihina.
Files hita ao amin'ny subdirectory 'Databases':
- lahatahiry 'Asasaka' ('/mnt/sdcard/WhatsApp/Media/'). Misy subdirectories 'WallPaper', 'WhatsApp Audio', 'Sary WhatsApp', 'Sary mombamomba ny WhatsApp', 'Video WhatsApp', 'WhatsApp Voice Notes', izay misy rakitra multimedia voaray sy ampitaina (rakitra sary, rakitra video, hafatra an-peo, sary mifandray amin'ny mombamomba ny tompon'ny kaonty WhatsApp, wallpaper).
- lahatahiry 'Sary momba ny mombamomba' ('/mnt/sdcard/WhatsApp/Sary mombamomba/'). Ahitana rakitra sary mifandray amin'ny mombamomba ny tompon'ny kaonty WhatsApp.
- Indraindray dia mety misy lahatahiry hita ao amin'ny karatra SD 'rakitra' ('/mnt/sdcard/WhatsApp/Files/'). Ity lahatahiry ity dia misy rakitra mitahiry ny fandrindrana fandaharana sy ny safidin'ny mpampiasa.
Toetran'ny fitahirizana angon-drakitra amin'ny maodely sasany amin'ny fitaovana finday
Ny modely sasany amin'ny fitaovana finday mandeha amin'ny Android OS dia mety mitahiry ny artifact WhatsApp amin'ny toerana hafa. Izany dia noho ny fiovan'ny toerana fitahirizana ny angon-drakitra fampiharana ataon'ny rindrambaikon'ny rafitra amin'ny fitaovana finday. Ohatra, ny fitaovana finday Xiaomi dia manana fiasa amin'ny famoronana toeram-piasana faharoa ("SecondSpace"). Rehefa mavitrika ity asa ity dia miova ny toerana misy ny angona. Noho izany, raha ao amin'ny fitaovana finday mahazatra mihazakazaka Android OS mpampiasa angona dia voatahiry ao amin'ny lahatahiry '/data/user/0/' (izay fanondroana ny mahazatra '/data/data/'), avy eo dia voatahiry ao amin'ny lahatahiry ny angon-drakitra fampiharana espace faharoa '/data/user/10/'. Izany hoe, mampiasa ny ohatra ny toerana misy ny rakitra 'wa.db':
- amin'ny finday mahazatra mandeha Android OS: /data/user/0/com.whatsapp/databases/wa.db' (izay mitovy '/data/data/com.whatsapp/databases/wa.db');
- ao amin'ny toeram-piasana faharoa an'ny finday Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.
WhatsApp artifacts amin'ny fitaovana iOS
Tsy toy ny Android OS, ao amin'ny iOS WhatsApp fampiharana angon-drakitra dia nafindra tany amin'ny backup kopia (iTunes backup). Noho izany, ny fakana angona avy amin'ity fampiharana ity dia tsy mitaky ny fanesorana ny rafitra fichier na ny famoronana fanariam-pahatsiarovana ara-batana amin'ny fitaovana anaovana fanadihadiana. Ny ankamaroan'ny fampahalalana mifandraika dia voarakitra ao amin'ny angon-drakitra 'ChatStorage.sqlite', izay hita eo amin'ny lalana: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (amin'ny programa sasany dia miseho toy ny 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').
rafitra 'ChatStorage.sqlite':
Ny latabatra fampahafantarana indrindra ao amin'ny angon-drakitra 'ChatStorage.sqlite' dia 'ZWAMESSAGE' ΠΈ 'ZWAMEDIAIITEM'.
Fisehoan-databatra 'ZWAMESSAGE':
Ny rafitry ny latabatra 'ZWAMESSAGE'
| Anaran'ny saha | zava-dehibe |
|---|---|
| Z_PK | firaketana ny laharana filaharana (ao amin'ny latabatra SQL) |
| Z_ENT | identifier latabatra, manana ny sanda '9' |
| Z_OPT | tsy fantatra, matetika misy sanda manomboka amin'ny '1' hatramin'ny '6' |
| ZCHILDMESSAGESDELIVEREDCOUNT | tsy fantatra, matetika misy ny sanda '0' |
| ZCHILDMESSAGESPLAYEDCOUNT | tsy fantatra, matetika misy ny sanda '0' |
| ZCHILDMESSAGESREADCOUNT | tsy fantatra, matetika misy ny sanda '0' |
| ZDATAITEMVERSION | tsy fantatra, matetika misy ny sanda '3', angamba famantarana hafatra an-tsoratra |
| ZDOCID | tsy fantatra |
| ZENCRETRYCOUNT | tsy fantatra, matetika misy ny sanda '0' |
| ZFILTEREDRECIPIENTCOUNT | tsy fantatra, matetika misy ny sanda '0', '2', '256' |
| ZISFROMME | fitarihana hafatra: '0' - miditra, '1' - mivoaka |
| ZMESSAGEERRORSATUS | sata fampitana hafatra. Raha alefa/voaray ny hafatra dia manana sanda '0' |
| ZMESSAGETYPE | karazana hafatra ampitaina |
| ZSORT | tsy fantatra |
| ZSPOTLIGHSTATUS | tsy fantatra |
| ZSTARRED | tsy fantatra, tsy ampiasaina |
| ZCHATSESSION | tsy fantatra |
| ZGROUPMEMBER | tsy fantatra, tsy ampiasaina |
| ZLASTSESSION | tsy fantatra |
| ZMEDIAIITEM | tsy fantatra |
| ZMESSAGEINFO | tsy fantatra |
| ZPARENTMESSAGE | tsy fantatra, tsy ampiasaina |
| ZMESSAGEDATE | timestamp amin'ny endrika OS X Epoch Time |
| ZSENTDATE | fotoana nandefasana ny hafatra tamin'ny endrika OS X Epoch Time |
| ZFROMJID | WhatsApp Sender ID |
| ZMEDIASECTIONID | misy ny taona sy volana nandefasana ny rakitra media |
| ZPHASH | tsy fantatra, tsy ampiasaina |
| ZPUSHPAME | anaran'ny mpifandray nandefa ny rakitra media amin'ny endrika UTF-8 |
| ZSTANZID | famantarana hafatra tokana |
| ZTEXT | Hafatra hafatra |
| ZTOJID | WhatsApp ID an'ny mpandray |
| offset | fitongilanana |
Fisehoan-databatra 'ZWAMEDIAIITEM':
Firafitry ny latabatra 'ZWAMEDIAITEM'
| Anaran'ny saha | zava-dehibe |
|---|---|
| Z_PK | firaketana ny laharana filaharana (ao amin'ny latabatra SQL) |
| Z_ENT | identifier latabatra, manana ny sanda '8' |
| Z_OPT | tsy fantatra, matetika misy sanda manomboka amin'ny '1' hatramin'ny '3'. |
| ZCLOUDSTATUS | misy ny sanda '4' raha misy ny rakitra. |
| ZFILESIZE | misy ny halavan'ny rakitra (amin'ny bytes) ho an'ny rakitra alaina |
| ZMEDIAORIGIN | tsy fantatra, matetika manana sanda '0' |
| ZMOVIEDURATION | ny faharetan'ny rakitra media, ho an'ny rakitra pdf dia mety ahitana ny isan'ny pejy amin'ny antontan-taratasy |
| ZMESSAGE | misy laharan-tariby (tsy mitovy amin'ilay voalaza ao amin'ny tsanganana 'Z_PK' ny isa) |
| ZASPECTRATIO | aspect ratio, tsy ampiasaina, matetika atao amin'ny '0' |
| ZHACCURACY | tsy fantatra, matetika manana sanda '0' |
| ZLATTITUDE | sakany amin'ny pixel |
| ZLONGTITUDE | haavony amin'ny pixel |
| ZMEDIAURLDATE | timestamp amin'ny endrika OS X Epoch Time |
| ZAUTHORNAME | mpanoratra (ho an'ny antontan-taratasy, mety misy ny anaran'ny rakitra) |
| ZCOLLECTIONNAME | tsy ampiasaina |
| ZMEDIALOCALPATH | anaran-drakitra (anisan'izany ny lalana) ao amin'ny rafi-drakitra fitaovana |
| ZMEDIAURL | Ny URL nisy ny rakitra media. Raha misy rakitra iray nafindra avy amin'ny mpanjifa iray mankany amin'ny iray hafa, dia nafenina izany ary ny fanitarana azy dia haseho ho fanitarana ny rakitra nafindra - .enc |
| ZTHUMBNAILLOCALPATH | lalana mankany amin'ny thumbnail rakitra ao amin'ny rafitra fichier fitaovana |
| ZTITLE | lohatenin-drakitra |
| ZVCARDNAME | tenifototra amin'ny rakitra media; rehefa mamindra ny rakitra amin'ny vondrona iray dia mety misy ny mpamaritra mpandefa azy |
| ZVCARDSTRING | misy fampahafantarana momba ny karazana rakitra afindra (ohatra, sary/jpeg); rehefa mamindra rakitra amin'ny vondrona iray, dia mety misy famantarana ny mpandray |
| ZXMPPTHUMBPATH | lalana mankany amin'ny thumbnail rakitra ao amin'ny rafitra fichier fitaovana |
| ZMEDIAKEY | tsy fantatra, azo inoana fa misy ny fanalahidin'ny famafana ny rakitra miafina. |
| ZMETADATA | metadata amin'ny hafatra alefa |
| offset | fitongilanana |
latabatra database mahaliana hafa 'ChatStorage.sqlite' dia:
- 'ZWAPROFILEPUSHNAME'. Mifanaraka amin'ny WhatsApp ID miaraka amin'ny anarana mifandray;
- 'ZWAPROFILEPICTUREITEM'. Mifanaraka amin'ny WhatsApp ID miaraka amin'ny avatar fifandraisana;
- 'Z_PRIMARYKEY'. Ny tabilao dia ahitana fampahalalana ankapobeny momba ity tahiry ity, toy ny fitambaran'ny isan'ny hafatra voatahiry, ny totalin'ny chat, sns.
Ary koa, rehefa mandinika ny WhatsApp amin'ny fitaovana finday mihazakazaka iOS ianao dia tokony handinika ireto rakitra manaraka ireto:
- rakitra 'BackedUpKeyValue.sqlite'. Ahitana fanalahidy kriptografika sy angona hafa ilaina hamantarana ny tompon'ny kaonty. Eo amin'ny lalana: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- rakitra 'ContactsV2.sqlite'. Ahitana fampahalalana momba ny fifandraisan'ny mpampiasa, toy ny anarana feno, laharan-telefaona, sata mifandray (amin'ny endrika lahatsoratra), ID WhatsApp, sns. Eo amin'ny lalana: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- rakitra 'version_consumer'. Ahitana ny laharan'ny dikan-ny fampiharana WhatsApp napetraka. Eo amin'ny lalana: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- rakitra 'current_wallpaper.jpg'. Ahitana ny wallpaper background WhatsApp ankehitriny. Eo amin'ny lalana: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Ny dikan-teny tranainy amin'ny fampiharana dia mampiasa ny rakitra 'wallpaper', izay hita eo amin'ny lalana: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
- rakitra 'blockedcontacts.dat'. Ahitana fampahalalana momba ny fifandraisana voasakana. Eo amin'ny lalana: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
- rakitra 'pw.dat'. Ahitana tenimiafina voafehy. Eo amin'ny lalana: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
- rakitra 'net.whatsapp.WhatsApp.plist' (na rakitra 'group.net.whatsapp.WhatsApp.shared.plist'). Ahitana fampahalalana momba ny mombamomba ny kaonty WhatsApp anao. Ny rakitra dia hita eo amin'ny lalana: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.
Ny votoatin'ny rakitra 'group.net.whatsapp.WhatsApp.shared.plist'
Ilainao koa ny mandinika ireto lahatahiry manaraka ireto:
- lahatahiry '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Misy thumbnails amin'ny fifandraisana, vondrona (rakitra misy ny fanitarana .ankihibe), fifandraisana avatar, avatar tompon'ny kaonty WhatsApp (file 'Photo.jpg').
- lahatahiry '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Ahitana rakitra multimedia sy ny thumbnails
- lahatahiry '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Ahitana ny log de operation program (file 'calls.log') ary kopia backup amin'ny diarin'ny fiasan'ny programa (file 'calls.backup.log').
- lahatahiry '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Misy stickers (rakitra amin'ny endrika '.webp').
- lahatahiry '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. Ahitana diarin'ny fiasan'ny programa.
WhatsApp artifacts amin'ny Windows
Ny artifacts WhatsApp amin'ny Windows dia hita any amin'ny toerana maro. Voalohany indrindra, ireto ny lahatahiry misy rakitra programa azo tanterahana sy fanampiny (ho an'ny Windows 8/10):
- 'C: Program Files (x86) WhatsApp'
- 'C:Users%User profile% AppDataLocalWhatsApp'
- 'C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp'
Ao amin'ny katalaogy 'C:Users%User profile% AppDataLocalWhatsApp' misy ny rakitra log 'SquirrelSetup.log', izay misy fampahalalana momba ny fanamarinana ny fanavaozana sy ny fametrahana ny programa.
Ao amin'ny katalaogy 'C:Users%User profile% AppDataRoamingWhatsApp' Misy subdirectory maromaro:
rakitra 'main-process.log' misy fampahalalana momba ny fiasan'ny programa WhatsApp.
Subdirectory 'database' misy rakitra 'Databases.db', fa ity rakitra ity dia tsy misy fampahalalana momba ny chat na fifandraisana.
Ny mahaliana indrindra amin'ny fomba fijery forensika dia ny rakitra hita ao amin'ny lahatahiry 'Cache'. Ireo dia rakitra nomena anarana 'f_*******' (izay * dia isa 0 ka hatramin'ny 9) misy rakitra sy antontan-taratasy multimedia misy encryption, saingy misy rakitra tsy voafehin'izy ireo ihany koa. Ny tena mahaliana dia ny rakitra 'data_0', 'data_1', 'data_2', 'data_3', hita ao amin'ny subdirectory mitovy. rakitra 'data_0', 'data_1', 'data_3' mirakitra rohy ivelany mankany amin'ireo rakitra sy antontan-taratasy multimedia voarakotra.
Ohatra amin'ny fampahalalana voarakitra ao amin'ny rakitra 'data_1'
File koa 'data_3' mety misy rakitra sary.
rakitra 'data_2' misy avatar mifandray (azo averina amin'ny alΓ lan'ny fikarohana amin'ny lohatenin'ny rakitra).
Avatar voarakitra ao amin'ny rakitra 'data_2':
Noho izany, ny chat dia tsy hita ao amin'ny fitadidian'ny solosaina, fa afaka mahita ianao:
- rakitra multimedia;
- antontan-taratasy nalefa tamin'ny WhatsApp;
- fampahafantarana momba ny fifandraisan'ny tompon'ny kaonty.
WhatsApp artifacts amin'ny MacOS
Ao amin'ny MacOS dia afaka mahita karazana artifact WhatsApp mitovy amin'ny hita ao amin'ny Windows OS ianao.
Ny rakitra programa dia hita ao amin'ireto lahatahiry manaraka ireto:
- 'C: ApplicationsWhatsApp.app'
- 'C: Applications._WhatsApp.app'
- 'C:Users%User profile%LibraryPreferences'
- 'C:Users%User profile%LibraryLogsWhatsApp'
- 'C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState'
- 'C:Users%User profile%LibraryApplication Scripts'
- 'C:Users%User profile%LibraryApplication SupportCloudDocs'
- 'C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt'
- 'C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
- 'C: Users% User profile% Library Mobile Documents <text variable> Kaonty WhatsApp'
Ity lahatahiry ity dia misy zana-tohatra misy nomeraon-telefaona mifandray amin'ny tompon'ny kaonty WhatsApp ny anarany. - 'C:Users%User profile%LibraryCachesWhatsApp.ShipIt'
Ity lahatahiry ity dia misy fampahalalana momba ny fametrahana ny programa. - 'C:Users%User profile%PicturesiPhoto Library.photolibraryMasters', 'C:Users%User profile%PicturesiPhoto Library.photolibraryThumbnails'
Ireo lahatahiry ireo dia misy rakitra serivisy amin'ny programa, ao anatin'izany ny sary sy ny thumbnails amin'ny fifandraisana WhatsApp. - 'C:Users%User profile%LibraryCachesWhatsApp'
Ity lahatahiry ity dia misy angona SQLite maromaro ampiasaina amin'ny caching data. - 'C:Users%User profile%LibraryApplication SupportWhatsApp'
Ity lahatahiry ity dia misy subdirectories maromaro:
Ao amin'ny katalaogy 'C:Users%User profile%LibraryApplication SupportWhatsAppCache' misy rakitra 'data_0', 'data_1', 'data_2', 'data_3' ary rakitra misy anarana 'f_*******' (izay * dia isa 0 hatramin'ny 9). Raha mila fanazavana momba ny mombamomba ireo rakitra ireo dia jereo ny WhatsApp Artifacts amin'ny Windows.Ao amin'ny katalaogy 'C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB' mety misy rakitra multimedia (tsy misy fanitarana ny rakitra).
rakitra 'main-process.log' misy fampahalalana momba ny fiasan'ny programa WhatsApp.
loharanom-baovao
- Famakafakana forensika momba ny WhatsApp Messenger amin'ny finday Android, nataon'i Cosimo Anglano, 2014.
- Whatsapp Forensics: Eksplorasi rafitra rakitra sy data fototra amin'ny fampiharana Android sy iOS nataon'i Ahmad Pratama, 2014.
Ao amin'ny lahatsoratra manaraka amin'ity andiany ity:
Decryption ny angon-drakitra WhatsApp encryptedLahatsoratra izay hanome fampahalalana momba ny fomba namoronana ny fanalahidin'ny encryption WhatsApp sy ohatra azo ampiharina mampiseho ny fomba famongorana ny angon-drakitra voafehin'ity fampiharana ity.
Fanala ny angona WhatsApp avy amin'ny fitahirizana rahonaLahatsoratra izay hilazanay aminao ny angon-drakitra WhatsApp voatahiry ao anaty rahona ary mamaritra ny fomba hamerenana ireo angona avy amin'ny fitahirizana rahona.
Fitrandrahana angona WhatsApp: Ohatra azo ampiharinaLahatsoratra izay hamaritra tsikelikely ny programa sy ny fomba hanesorana ny angona WhatsApp amin'ny fitaovana isan-karazany.
Source: www.habr.com