WhatsApp на дланка: каде и како можете да најдете форензички артефакти?

Ако сакате да знаете какви видови на форензички артефакти WhatsApp постојат на различни оперативни системи и каде точно може да се најдат, тогаш ова е местото за вас. Оваа статија е од специјалист во Лабораторијата за компјутерска форензика Group-IB Игор Михајлов започнува серија на објави за форензиката на WhatsApp и какви информации може да се добијат од анализата на уредот.

Веднаш да забележиме дека различни оперативни системи складираат различни типови на артефакти на WhatsApp и ако истражувачот може да извлече одредени типови на податоци на WhatsApp од еден уред, тоа не значи дека слични типови на податоци може да се извлечат од друг уред. На пример, ако се отстрани системската единица со Windows OS, разговорите на WhatsApp веројатно нема да се најдат на неговите дискови (со исклучок на резервните копии на уредите со iOS, кои може да се најдат на истите дискови). Запленувањето на лаптопи и мобилни уреди ќе има свои карактеристики. Ајде да разговараме за ова подетално.

Артефакти на WhatsApp во уред со Android

Со цел да се извлечат артефакти WhatsApp од уред со Android, истражувачот мора да има права на суперкорисници („корен“) на уредот што се проучува или да може на друг начин да извлечете физичко складирање на меморијата на уредот или неговиот датотечен систем (на пример, користејќи софтверски пропусти на одреден мобилен уред).

Датотеките со апликации се наоѓаат во меморијата на телефонот во делот во кој се зачувуваат корисничките податоци. Како по правило, овој дел е именуван 'кориснички податоци'. Поддиректориумите и програмските датотеки се наоѓаат на патеката: '/data/data/com.whatsapp/'.

Главните датотеки што содржат форензички артефакти на WhatsApp во оперативниот систем Android се бази на податоци 'wa.db' и 'msgstore.db'.

Во базата на податоци 'wa.db' ја содржи комплетната листа со контакти на корисник на WhatsApp, вклучувајќи телефонски број, име на прикажување, временски печати и какви било други информации обезбедени додека се регистрирате за WhatsApp. Датотека 'wa.db' лоциран покрај патеката: '/data/data/com.whatsapp/databases/' и ја има следната структура:

Најинтересните табели во базата на податоци 'wa.db' за истражувачот се:

• 'wa_contacts'
  Оваа табела содржи информации за контакт: ИД за контакт на WhatsApp, информации за статусот, име на прикажување на корисникот, временски печати итн.

  Изглед на маса:

  
  Структура на табелата

  Име на теренот	Вредност
  _id	број на секвенца на запис (во табелата SQL)
  џид	ИД за контакт на WhatsApp, напишан во формат <телефонски број>@s.whatsapp.net
  is_whatsapp_user	содржи „1“ ако контактот одговара на вистински корисник на WhatsApp, „0“ во спротивно
  статус	го содржи текстот прикажан во статусот на контактот
  статус_временски печат	содржи временски печат во формат Unix Epoch Time (ms).
  број	телефонски број поврзан со контактот
  raw_contact_id	контакт сериски број
  име на екранот	име за прикажување на контакт
  телефон_тип	тип на телефон
  телефон_етикета	етикета поврзана со бројот за контакт
  unseen_msg_count	број на пораки кои биле испратени од контакт, но не биле прочитани од примачот
  photo_ts	содржи временски печат во формат Unix Epoch Time
  thumb_ts	содржи временски печат во формат Unix Epoch Time
  photo_id_timestamp	содржи временски печат во формат Unix Epoch Time (ms).
  дадено име	вредноста на полето се совпаѓа со „display_name“ за секој контакт
  wa_name	Име на контакт на WhatsApp (се прикажува името наведено во профилот на контактот)
  подредување_име	име на контакт што се користи во операциите за сортирање
  прекар	прекарот на контактот во WhatsApp (прекарот наведен во профилот на контактот се прикажува)
  Компанијата	компанија (се прикажува компанијата наведена во профилот на контактот)
  Наслов	наслов (г-ѓа/г.; се прикажува насловот конфигуриран во профилот за контакт)
  офсет	пристрасност

• 'sqlite_sequence'
  Оваа табела содржи информации за бројот на контакти;
• „android_metadata“
  Оваа табела содржи информации за локализацијата на јазикот WhatsApp.

Во базата на податоци 'msgstore.db' содржи информации за испратените пораки, како што се контакт број, текст на порака, статус на порака, временски печати, детали за пренесените датотеки вклучени во пораките итн. Датотека 'msgstore.db' лоциран покрај патеката: '/data/data/com.whatsapp/databases/' и ја има следната структура:

Најинтересните табели во датотеката 'msgstore.db' за истражувачот се:

• 'sqlite_sequence'
  Оваа табела содржи општи информации за оваа база на податоци, како што се вкупниот број на зачувани пораки, вкупниот број на разговори итн.

  Изглед на маса:

  

• 'message_fts_content'
  Го содржи текстот на испратените пораки.

  Изглед на маса:

  

• „пораки“
  Оваа табела содржи информации како што се контакт број, текст на порака, статус на порака, временски печати, информации за пренесените датотеки вклучени во пораките.

  Изглед на маса:

  
  Структура на табелата

  Име на теренот	Вредност
  _id	број на секвенца на запис (во табелата SQL)
  key_mote_jid	WhatsApp ID на партнер за комуникација
  клуч_од_мене	насока на пораката: „0“ – дојдовен, „1“ – појдовен
  key_id	единствен идентификатор на порака
  статус	статус на пораката: „0“ – испорачана, „4“ – чекање на серверот, „5“ – примена на дестинација, „6“ – контролна порака, „13“ – порака отворена од примачот (читај)
  потреба_притискање	има вредност „2“ ако е емитувана порака, инаку содржи „0“
  податоци	текст на пораката (кога параметарот „media_wa_type“ е „0“)
  временската ознака	содржи временски печат во формат Unix Epoch Time (ms), вредноста се зема од часовникот на уредот
  media_url	ја содржи URL-то на пренесената датотека (кога параметарот „media_wa_type“ е „1“, „2“, „3“)
  media_mime_type	MIME тип на пренесената датотека (кога параметарот „media_wa_type“ е еднаков на „1“, „2“, „3“)
  media_wa_type	тип на порака: '0' - текст, '1' - графичка датотека, '2' - аудио датотека, '3' - видео датотека, '4' - контакт картичка, '5' - геоподатоци
  медиумска_големина	големината на пренесената датотека (кога параметарот „media_wa_type“ е „1“, „2“, „3“)
  име на медиум	име на пренесената датотека (кога параметарот „media_wa_type“ е „1“, „2“, „3“)
  медиумски_наслов	Ги содржи зборовите „аудио“, „видео“ за соодветните вредности на параметарот „media_wa_type“ (кога параметарот „media_wa_type“ е „1“, „3“)
  media_hash	base64 кодиран хаш на пренесената датотека, пресметан со користење на алгоритмот HAS-256 (кога параметарот „media_wa_type“ е еднаков на „1“, „2“, „3“)
  времетраење на медиумите	времетраење во секунди за медиумската датотека (кога „media_wa_type“ е „1“, „2“, „3“)
  потекло	има вредност „2“ ако е емитувана порака, инаку содржи „0“
  географска ширина	геоподатоци: географска ширина (кога параметарот „media_wa_type“ е „5“)
  должина	геоподатоци: географска должина (кога параметарот „media_wa_type“ е „5“)
  thumb_image	информации за услугата
  далечински_ресурс	ID на испраќач (само за групни разговори)
  прими_временски печат	време на прием, содржи временски печат во формат Unix Epoch Time (ms), вредноста се зема од часовникот на уредот (кога параметарот „key_from_me“ има „0“, „-1“ или друга вредност)
  send_timestamp	не се користи, обично има вредност „-1“
  receipt_server_timestamp	времето добиено од централниот сервер, содржи временска ознака во формат Unix Epoch Time (ms), вредноста се зема од часовникот на уредот (кога параметарот „key_from_me“ има „1“, „-1“ или друга вредност
  receipt_device_timestamp	кога пораката е примена од друг претплатник, содржи временски печат во формат Unix Epoch Time (ms), вредноста се зема од часовникот на уредот (кога параметарот „key_from_me“ има „1“, „-1“ или друга вредност
  read_device_timestamp	време на отворање (читање) на пораката, содржи временски печат во формат Unix Epoch Time (ms), вредноста се зема од часовникот на уредот
  play_device_timestamp	време за репродукција на порака, содржи временски печат во формат Unix Epoch Time (ms), вредноста се зема од часовникот на уредот
  необработени_податоци	сликичка на пренесената датотека (кога параметарот „media_wa_type“ е „1“ или „3“)
  број на примачи	број на примачи (за емитувани пораки)
  учесник_хаш	се користи при пренос на пораки со геоподатоци
  глуми	не се користи
  quoted_row_id	непознато, обично ја содржи вредноста „0“
  споменати_џиди	не се користи
  multicast_id	не се користи
  офсет	пристрасност

  Оваа листа на полиња не е исцрпна. За различни верзии на WhatsApp, некои полиња може да бидат присутни или отсутни. Дополнително, може да има полиња „media_enc_hash“, 'edit_version', „payment_transaction_id“ итн

• „сликички_пораки“
  Оваа табела содржи информации за пренесените слики и временски печати. Во колоната „временски печат“, времето е означено во формат Unix Epoch Time (ms).
• 'chat_list'
  Оваа табела содржи информации за разговори.

  Изглед на маса:

  

Исто така, кога го испитувате WhatsApp на мобилен уред со Android, треба да обрнете внимание на следниве датотеки:

• датотека 'msgstore.db.cryptXX' (каде XX е една или две цифри од 0 до 12, на пример, msgstore.db.crypt12). Содржи шифрирана резервна копија на пораки на WhatsApp (резервна датотека msgstore.db). Датотека(и) 'msgstore.db.cryptXX' лоциран покрај патеката: '/data/media/0/WhatsApp/Databases/' (виртуелна SD картичка), '/mnt/sdcard/WhatsApp/Бази на податоци/ (физичка SD-картичка)'.
• датотека 'клуч'. Содржи криптографски клуч. Се наоѓа покрај патеката: '/data/data/com.whatsapp/files/'. Се користи за дешифрирање на шифрирани бекап на WhatsApp.
• датотека „com.whatsapp_preferences.xml“. Содржи информации за профилот на вашата сметка на WhatsApp. Датотеката се наоѓа на патеката: '/data/data/com.whatsapp/shared_prefs/'.

  Фрагмент од содржината на датотеката

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• датотека 'registration.RegisterPhone.xml'. Содржи информации за телефонскиот број поврзан со сметката WhatsApp. Датотеката се наоѓа на патеката: '/data/data/com.whatsapp/shared_prefs/'.

  Содржина на датотеката

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• датотека 'axolotl.db'. Содржи криптографски клучеви и други податоци кои се неопходни за да се идентификува сопственикот на сметката. Се наоѓа покрај патеката: '/data/data/com.whatsapp/databases/'.
• датотека 'chatsettings.db'. Содржи информации за конфигурацијата на апликацијата.
• датотека 'wa.db'. Содржи детали за контакт. Многу интересна (од форензички аспект) и информативна база на податоци. Може да содржи детални информации за избришаните контакти.

Исто така, треба да обрнете внимание на следниве директориуми:

• Директориум '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Содржи пренесени графички датотеки.
• Директориум '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. Содржи гласовни пораки во датотеки со формат .OPUS.
• Директориум '/data/data/com.whatsapp/cache/Profile Pictures/'. Содржи графички датотеки - слики од контакти.
• Директориум '/data/data/com.whatsapp/files/Avatars/'. Содржи графички датотеки - минијатурни слики на контакти. Овие датотеки имаат екстензија „.j“, но сепак се JPEG (JPG) датотеки со слики.
• Директориум '/data/data/com.whatsapp/files/Avatars/'. Содржи графички датотеки - слика и минијатура на сликата поставена како аватар од сопственикот на сметката.
• Директориум '/data/data/com.whatsapp/files/Logs/'. Содржи дневник за операции на програмата (датотека „whatsapp.log“) и резервни копии од дневници за операции на програмата (датотеки со имиња во формат whatsapp-yyyy-mm-dd.1.log.gz).

Датотеки за дневници на WhatsApp:

Фрагмент од дневник2017 01:10:09 LL_I D [37:WhatsApp Worker #09.757] известување за пропуштени повици/почетен број:524 временски печат:1
2017 01:10:09 LL_I D [37:WhatsApp Worker #09.758] известување за пропуштен повик/ажурирање откажа точно
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] датотека со лозинка недостасува или не е читлива
2017-01-10 09:37:09.782 LL_I D [1:main] статистика Текстуални пораки: 59 испратени, 82 примени / Медиумски пораки: 1 испратени (0 бајти), 0 примени (9850158 бајти) / Офлајн пораки: 81 примени ( 19522 msec просечно доцнење) / Услуга за пораки: испратени 116075 бајти, примени 211729 бајти / Voip повици: 1 појдовни повици, 0 дојдовни повици, испратени 2492 бајти, примени 1530 бајти / Google Drive: 0 испратени бајти, 0 примени бајти: 1524/1826 Roam испратени бајти, примени 118567 бајти / Вкупно податоци: 10063417 бајти испратени, XNUMX примени бајти
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/верзија 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | потрошено време: 8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage достапно:1,345,622,016 вкупно:5,687,922,688

• Директориум '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Ги содржи примените аудио датотеки.
• Директориум '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. Содржи испратени аудио датотеки.
• Директориум '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Ги содржи добиените графички датотеки.
• Директориум „/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/“. Содржи испратени графички датотеки.
• Директориум '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Содржи примени видео датотеки.
• Директориум '/data/media/0/WhatsApp/Media/WhatsApp Видео/Испратено/'. Содржи испратени видео датотеки.
• Директориум '/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/'. Содржи графички датотеки поврзани со сопственикот на сметката WhatsApp.
• За да заштедите простор на меморијата на вашиот паметен телефон со Android, некои податоци на WhatsApp може да се зачуваат на SD-картичка. На SD-картичката, во root директориумот, има директориум „WhatsApp“, каде што може да се најдат следните артефакти од оваа програма:

  

• Директориум '.Сподели' ('/mnt/sdcard/WhatsApp/.Share/'). Содржи копии од датотеки што се споделени со други корисници на WhatsApp.
• Директориум „ѓубре“ ('/mnt/sdcard/WhatsApp/.trash/'). Содржи избришани датотеки.
• Директориум „бази на податоци“ ('/mnt/sdcard/WhatsApp/Бази на податоци/'). Содржи шифрирани резервни копии. Тие можат да се дешифрираат ако датотеката е присутна 'клуч', извлечена од меморијата на анализираниот уред.

  Датотеки лоцирани во поддиректориум „бази на податоци“:

  

• Директориум 'Половина' ('/mnt/sdcard/WhatsApp/Media/'). Содржи поддиректориуми „Позадина“, „WhatsApp Audio“, „Слики на WhatsApp“, „Фотографии на профилот на WhatsApp“, „Видео на WhatsApp“, „Гласовни белешки на WhatsApp“, кои содржат примени и пренесени мултимедијални датотеки (графички датотеки, видео датотеки, гласовни пораки, фотографии поврзани со профилот на сопственикот на сметката WhatsApp, позадини).
• Директориум „Профилни слики“ ('/mnt/sdcard/WhatsApp/Профилни слики/'). Содржи графички датотеки поврзани со профилот на сопственикот на сметката WhatsApp.
• Понекогаш може да има директориум присутен на SD-картичката „датотеки“ ('/mnt/sdcard/WhatsApp/Files/'). Овој директориум содржи датотеки што ги чуваат програмските поставки и корисничките параметри.

Карактеристики на складирање податоци во некои модели на мобилни уреди

Некои модели на мобилни уреди со Android OS може да складираат артефакти на WhatsApp на друга локација. Ова се должи на промените во просторот за складирање на податоците од апликацијата од страна на системскиот софтвер на мобилниот уред. На пример, мобилните уреди на Xiaomi имаат функција за создавање втор работен простор („SecondSpace“). Кога оваа функција е активирана, локацијата на податоците се менува. Значи, ако во обичен мобилен уред што работи со Android OS, корисничките податоци се зачувани во директориумот '/data/user/0/' (што е упатување на вообичаеното '/податоци/податоци/'), потоа во вториот работен простор, податоците од апликацијата се зачувуваат во директориумот '/data/user/10/'. Тоа е, користејќи го примерот на локацијата на датотеката 'wa.db':

• во обичен паметен телефон со Android OS: /data/user/0/com.whatsapp/databases/wa.db' (што е еквивалентно „/data/data/com.whatsapp/databases/wa.db“);
• во вториот работен простор на паметниот телефон Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.

Артефакти на WhatsApp во уред со iOS

За разлика од Android OS, во iOS апликацијата WhatsApp, податоците се пренесуваат во резервна копија (резервна копија на iTunes). Затоа, извлекувањето податоци од оваа апликација не бара извлекување на датотечниот систем или создавање на физичка меморија за складирање на уредот што се испитува. Повеќето од релевантните информации се содржани во базата на податоци „ChatStorage.sqlite“, кој се наоѓа покрај патеката: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (во некои програми оваа патека се појавува како „AppDomainGroup-group.net.whatsapp.WhatsApp.shared“).

Структура „ChatStorage.sqlite“:

Најинформативните табели во базата на податоци „ChatStorage.sqlite“ се „ZWAMESSAGE“ и 'ZWAMEDIAITEM'.

Изглед на маса „ZWAMESSAGE“:

Структура на табелата „ZWAMESSAGE“

Име на теренот	Вредност
Z_PK	број на секвенца на запис (во табелата SQL)
Z_ENT	идентификатор на табелата, има вредност „9“
Z_OPT	непознато, обично содржи вредности од „1“ до „6“
ZCHILDMESSAGESDELIVEREDCOUNT	непознато, обично ја содржи вредноста „0“
ZCHILDMESSAGESPLAYEDCOUNT	непознато, обично ја содржи вредноста „0“
ZCHILDMESSAGESREADCOUNT	непознато, обично ја содржи вредноста „0“
ZDATAITEMVERSION	непознато, обично ја содржи вредноста „3“, веројатно индикатор за текстуална порака
ЗДОЦИД	непознат
ZENCRETRYCOUNT	непознато, обично ја содржи вредноста „0“
ZFILTEREDRECIPIENTCOUNT	непознато, обично ги содржи вредностите „0“, „2“, „256“
ZISFROMME	насока на пораката: „0“ – дојдовен, „1“ – појдовен
ZMESSAGEERRORSTATUS	статус на пренос на порака. Ако пораката е пратена/примена, тогаш таа има вредност „0“
ZMESSAGETYPE	тип на порака што се пренесува
ЗСОРТ	непознат
ЗСПОТЛИГСТАТУС	непознат
СО ЅВЕЗДА	непознат, не користен
ZCHATSESSION	непознат
ЗГРУПЕМБЕР	непознат, не користен
ЗЛАССЕСИЈА	непознат
ZMEDIAITEM	непознат
ZMESSAGEINFO	непознат
ZPARENT ПОРАКА	непознат, не користен
ZMESSAGEDATE	временски печат во формат на OS X Epoch Time
ZSENTDATE	време кога пораката била испратена во формат на OS X Epoch Time
ЗФРОМЈИД	ИД на испраќач на WhatsApp
ZMEDIASECTIONID	ги содржи годината и месецот кога е испратена медиумската датотека
ZPHASH	непознат, не користен
ЗПУШПАМЕ	име на контактот кој ја испратил медиумската датотека во формат UTF-8
ЗСТАНЗИД	единствен идентификатор на порака
ZTEXT	Текст на пораката
ЗТОЈИД	WhatsApp ID на примачот
Офсет	пристрасност

Изглед на маса 'ZWAMEDIAITEM':

Структура на табелата 'ZWAMEDIAITEM'

Име на теренот	Вредност
Z_PK	број на секвенца на запис (во табелата SQL)
Z_ENT	идентификатор на табелата, има вредност „8“
Z_OPT	непознато, обично содржи вредности од „1“ до „3“.
ЗКЛУДСТАТУС	ја содржи вредноста „4“ ако датотеката е вчитана.
ZFILESIZE	ја содржи должината на датотеката (во бајти) за преземените датотеки
ZMEDIAORIGIN	непознато, обично има вредност „0“
ЗМОВИЕДУРАЦИЈА	времетраењето на медиумската датотека, за pdf-датотеките може да го содржи бројот на страници на документот
ZMESSAGE	содржи сериски број (бројот е различен од оној наведен во колоната „Z_PK“)
ZASPECTRATIO	сооднос, не се користи, обично е поставен на „0“
ТОЧНОСТ	непознато, обично има вредност „0“
ЗЛАТУВАЊЕ	ширина во пиксели
ДОЛЖИНА	висина во пиксели
ZMEDIAURLDATE	временски печат во формат на OS X Epoch Time
ZAUTHORNAME	автор (за документи, може да го содржи името на датотеката)
ZCOLLECTIONNAME	не се користи
ZMEDIALOCALPATH	име на датотека (вклучувајќи ја патеката) во датотечен систем на уредот
ZMEDIAURL	УРЛ каде што се наоѓаше медиумската датотека. Ако датотеката била префрлена од еден претплатник на друг, таа била шифрирана и нејзината екстензија ќе биде означена како продолжување на пренесената датотека - .enc
ZTHUMBNAILLOCALPATH	патека до сликичката на датотеката во датотечен систем на уредот
ZTITLE	заглавие на датотеката
ZVCARDNAME	хаш на медиумската датотека; кога ја пренесувате датотеката во група, таа може да го содржи идентификаторот на испраќачот
ZVCARDSTRING	содржи информации за типот на датотеката што се пренесува (на пример, слика/jpeg); кога се пренесува датотека во група, може да го содржи идентификаторот на примачот
ZXMPPTHUMBPATH	патека до сликичката на датотеката во датотечен систем на уредот
ZMEDIAKEY	непознат, веројатно го содржи клучот за дешифрирање на шифрирана датотека.
ЗМЕТА ПОДАТОЦИ	метаподатоци на пренесената порака
Офсет	пристрасност

Други интересни табели со бази на податоци „ChatStorage.sqlite“ се:

• „ZWAPROFILEPUSHNAME“. Одговара на WhatsApp ID со име на контакт;
• 'ZWAPROFILEPICTUREITEM'. Одговара на WhatsApp ID со аватар за контакт;
• „Z_PRIMARYKEY“. Табелата содржи општи информации за оваа база на податоци, како што се вкупниот број на зачувани пораки, вкупниот број на разговори итн.

Исто така, кога го испитувате WhatsApp на мобилен уред со iOS, треба да обрнете внимание на следниве датотеки:

• датотека „BackedUpKeyValue.sqlite“. Содржи криптографски клучеви и други податоци кои се неопходни за да се идентификува сопственикот на сметката. Се наоѓа покрај патеката: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• датотека „ContactsV2.sqlite“. Содржи информации за контактите на корисникот, како полно име, телефонски број, статус на контакт (во текстуална форма), WhatsApp ID итн. Се наоѓа покрај патеката: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• датотека 'consumer_version'. Го содржи бројот на верзијата на инсталираната апликација WhatsApp. Се наоѓа покрај патеката: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• датотека 'current_wallpaper.jpg'. Ја содржи тековната позадина на WhatsApp во позадина. Се наоѓа покрај патеката: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Постарите верзии на апликацијата ја користат датотеката "позадина", кој се наоѓа покрај патеката: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
• датотека 'blockedcontacts.dat'. Содржи информации за блокирани контакти. Се наоѓа покрај патеката: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• датотека 'pw.dat'. Содржи шифрирана лозинка. Се наоѓа покрај патеката: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
• датотека „net.whatsapp.WhatsApp.plist“ (или датотека „group.net.whatsapp.WhatsApp.shared.plist“). Содржи информации за профилот на вашата сметка на WhatsApp. Датотеката се наоѓа на патеката: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

Содржина на датотеката „group.net.whatsapp.WhatsApp.shared.plist“
Исто така, треба да обрнете внимание на следниве директориуми:

• Директориум '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Содржи сликички на контакти, групи (датотеки со наставката . палец), аватари за контакт, аватар на сопственикот на сметката WhatsApp (датотека 'Photo.jpg').
• Директориум '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Содржи мултимедијални датотеки и нивни сликички
• Директориум '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Го содржи дневникот за работа на програмата (датотека 'calls.log') и резервни копии од дневниците за работа на програмата (датотека 'calls.backup.log').
• Директориум '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Содржи налепници (датотеки во формат „.webp“).
• Директориум '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. Содржи дневници за работа на програмата.

Артефакти на WhatsApp на Windows

Артефактите на WhatsApp на Windows може да се најдат на неколку места. Како прво, ова се директориуми што содржат извршни и помошни програмски датотеки (за Windows 8/10):

• „C:Програмски датотеки (x86)WhatsApp“
• „C:Корисници%Кориснички профил% AppDataLocalWhatsApp“
• „C:Корисници%Кориснички профил% Програмски датотеки AppDataLocalVirtualStore (x86)WhatsApp“

Во каталогот „C:Корисници%Кориснички профил% AppDataLocalWhatsApp“ лог датотеката се наоѓа 'SquirrelSetup.log', кој содржи информации за проверка на ажурирања и инсталирање на програмата.

Во каталогот „C:Корисници%Кориснички профил% AppDataRoamingWhatsApp“ Постојат неколку поддиректориуми:

датотека 'main-process.log' содржи информации за работата на програмата WhatsApp.

Поддиректориум „бази на податоци“ содржи датотека „Бази на податоци.db“, но оваа датотека не содржи никакви информации за разговори или контакти.

Најинтересни од форензичка гледна точка се датотеките лоцирани во директориумот 'Кеш'. Овие се во основа датотеки именувани 'f_*******' (каде * е број од 0 до 9) што содржи шифрирани мултимедијални датотеки и документи, но меѓу нив има и нешифрирани датотеки. Од особен интерес се датотеките „податоци_0“, „податоци_1“, „податоци_2“, „податоци_3“, кој се наоѓа во истиот поддиректориум. Датотеки „податоци_0“, „податоци_1“, „податоци_3“ содржи надворешни врски до пренесени шифрирани мултимедијални датотеки и документи.

Пример за информации содржани во датотеката „податоци_1“
Исто така поднесете „податоци_3“ може да содржи графички датотеки.

датотека „податоци_2“ содржи аватари за контакт (може да се обнови со пребарување по заглавија на датотеки).

Аватари содржани во датотеката „податоци_2“:

Така, самите разговори не можат да се најдат во меморијата на компјутерот, но можете да најдете:

• мултимедијални датотеки;
• документи пренесени преку WhatsApp;
• информации за контактите на сопственикот на сметката.

Артефакти на WhatsApp на MacOS

Во MacOS можете да најдете типови на артефакти на WhatsApp слични на оние што се наоѓаат во Windows OS.

Програмските датотеки се наоѓаат во следните директориуми:

• „C:ApplicationsWhatsApp.app“
• „C:Applications._WhatsApp.app“
• „C:Users%Кориснички профил%Preferences на библиотека“
• „C:Корисници%Кориснички профил%LibraryLogsWhatsApp“
• „C:Users%Кориснички профил%LibrarySaved Application StateWhatsApp.savedState“
• „C:Users%Кориснички профил%LibraryApplication Scripts“
• „C:Корисници%Кориснички профил%Поддршка за апликација за библиотекаCloudDocs“
• „В: Корисници% Кориснички профил% Поддршка на апликација за библиотекаWhatsApp.ShipIt“
• „C:Users%Кориснички профил%LibraryContainerscom.rockysandstudio.app-for-whatsapp“
• „C:Корисници%Кориснички профил% Мобилни документи библиотека <текст променлива> Сметки на WhatsApp“
  Овој директориум содржи поддиректориуми чии имиња се телефонски броеви поврзани со сопственикот на сметката WhatsApp.
• „C:Users%Кориснички профил%LibraryCachesWhatsApp.ShipIt“
  Овој директориум содржи информации за инсталирање на програмата.
• „C:Users%Кориснички профил%PicturesiPhoto Library.photolibraryMasters“, „C:Users%Кориснички профил%PicturesiPhoto Library.photolibraryThumbnails“
  Овие директориуми содржат услужни датотеки на програмата, вклучувајќи фотографии и сликички од контактите на WhatsApp.
• „C:Корисници%Кориснички профил%LibraryCachesWhatsApp“
  Овој директориум содржи неколку SQLite бази на податоци кои се користат за кеширање на податоци.
• „C:Корисници%Кориснички профил%Поддршка на апликација за библиотекаWhatsApp“
  Овој директориум содржи неколку поддиректориуми:

  
  Во каталогот „C: Корисници% Кориснички профил% Поддршка за апликација за библиотекаWhatsAppCache“ има датотеки „податоци_0“, „податоци_1“, „податоци_2“, „податоци_3“ и датотеки со имиња 'f_*******' (каде * е број од 0 до 9). За информации за тоа кои информации ги содржат овие датотеки, видете артефакти на WhatsApp на Windows.

  Во каталогот „C: Корисници% Кориснички профил% Поддршка на апликација за библиотекаWhatsAppIndexedDB“ може да содржи мултимедијални датотеки (датотеките немаат екстензии).

  датотека 'main-process.log' содржи информации за работата на програмата WhatsApp.

Извори

1. Форензичка анализа на WhatsApp Messenger на паметни телефони со Android, од Cosimo Anglano, 2014 година.
2. Форензика на Whatsapp: Експлораси систем на податоци и база на податоци за апликација за Android и iOS од Ахмад Пратама, 2014 година.

Во следните написи од оваа серија:

Дешифрирање на шифрирани бази на податоци на WhatsAppСтатија која ќе обезбеди информации за тоа како се генерира клучот за шифрирање WhatsApp и практични примери кои покажуваат како да се дешифрираат шифрираните бази на податоци на оваа апликација.
Извлекување податоци на WhatsApp од складирање облакСтатија во која ќе ви кажеме кои податоци на WhatsApp се зачувани во облаците и ќе ги опишеме методите за преземање на овие податоци од складишта на облак.
Извлекување податоци од WhatsApp: практични примериСтатија која чекор по чекор ќе опише какви програми и како да се извлечат податоци на WhatsApp од различни уреди.

Извор: www.habr.com