Хэрэв та өөр өөр үйлдлийн системүүд дээр ямар төрлийн WhatsApp шүүх эмнэлгийн олдворууд байдаг, яг хаанаас олж болохыг мэдэхийг хүсвэл энэ нь танд зориулагдсан газар юм. Энэ нийтлэлийг Групп-IB компьютерийн шүүх шинжилгээний лабораторийн мэргэжилтний бичсэн Игорь Михайлов WhatsApp-ийн криминалистикийн талаархи цуврал нийтлэлүүдийг эхлүүлж, төхөөрөмжид дүн шинжилгээ хийснээр ямар мэдээлэл олж авах боломжтой.
Янз бүрийн үйлдлийн системүүд өөр өөр төрлийн WhatsApp олдворуудыг хадгалдаг бөгөөд хэрэв судлаач нэг төхөөрөмжөөс WhatsApp-ийн тодорхой төрлийн өгөгдлийг гаргаж чадвал энэ нь ижил төрлийн өгөгдлийг өөр төхөөрөмжөөс гаргаж авах боломжтой гэсэн үг биш гэдгийг нэн даруй тэмдэглэе. Жишээлбэл, хэрэв Windows үйлдлийн системтэй системийн нэгжийг устгавал WhatsApp чат нь түүний дискнээс олдохгүй байх магадлалтай (ижил хөтчүүдээс олж болох iOS төхөөрөмжүүдийн нөөц хуулбарыг эс тооцвол). Зөөврийн компьютер болон хөдөлгөөнт төхөөрөмжийг хураах нь өөрийн гэсэн шинж чанартай байх болно. Энэ талаар илүү дэлгэрэнгүй ярилцъя.
Android төхөөрөмж дээрх WhatsApp олдворууд
Android төхөөрөмжөөс WhatsApp-ын олдворуудыг гаргаж авахын тулд судлаач супер хэрэглэгчийн эрхтэй байх ёстой ("үндэс") мөрдөн байцаалтын шатанд байгаа төхөөрөмж дээр эсвэл төхөөрөмж эсвэл түүний файлын системийн физик санах ойг задлах боломжтой (жишээлбэл, тодорхой хөдөлгөөнт төхөөрөмжийн програм хангамжийн сул талыг ашиглан).
Хэрэглээний файлууд нь утасны санах ойд хэрэглэгчийн мэдээллийг хадгалах хэсэгт байрладаг. Дүрмээр бол энэ хэсгийг нэрлэсэн "хэрэглэгчийн өгөгдөл". Дэд сангууд болон програмын файлууд нь зам дагуу байрладаг. '/data/data/com.whatsapp/'.
Android үйлдлийн систем дэх WhatsApp шүүх эмнэлгийн олдворуудыг агуулсан гол файлууд нь мэдээллийн сан юм 'wa.db' и 'msgstore.db'.
Мэдээллийн санд 'wa.db' Утасны дугаар, дэлгэцийн нэр, цагийн тэмдэг болон WhatsApp-д бүртгүүлэх явцад өгсөн бусад мэдээлэл зэрэг WhatsApp хэрэглэгчийн бүрэн холбоо барих жагсаалтыг агуулдаг. Файл 'wa.db' зам дагуу байрладаг: '/data/data/com.whatsapp/databases/' бөгөөд дараах бүтэцтэй байна.
Өгөгдлийн сангийн хамгийн сонирхолтой хүснэгтүүд 'wa.db' судлаачийн хувьд:
- 'wa_contacts'
Энэ хүснэгтэд холбоо барих мэдээллийг агуулна: WhatsApp холбоо барих ID, статусын мэдээлэл, хэрэглэгчийн дэлгэцийн нэр, цагийн тэмдэг гэх мэт.Хүснэгтийн харагдах байдал:
Хүснэгтийн бүтэцТалбайн нэр үнэ цэнэ _id бичлэгийн дарааллын дугаар (SQL хүснэгтэд) жид WhatsApp холбоо барих ID, <утасны дугаар>@s.whatsapp.net форматаар бичигдсэн бол_whatsapp_хэрэглэгч Хэрэв харилцагч нь WhatsApp-ын бодит хэрэглэгчтэй тохирч байвал "1", өөрөөр хэлбэл "0"-г агуулна байдал холбоо барих төлөвт харуулсан текстийг агуулна статус_цаг хугацааны тэмдэг Unix Epoch Time (ms) форматтай цагийн тэмдэг агуулсан тоо харилцахтай холбоотой утасны дугаар raw_contact_id холбоо барих серийн дугаар DISPLAY_NAME харилцах дэлгэцийн нэр утасны_төрөл утасны төрөл утасны_шошго холбоо барих дугаартай холбоотой шошго үл үзэгдэх мессежийн_тоо харилцагчийн илгээсэн боловч хүлээн авагч уншаагүй мессежийн тоо photo_ts Unix Epoch Time формат дахь цагийн тэмдэг агуулсан эрхий хуруу Unix Epoch Time формат дахь цагийн тэмдэг агуулсан photo_id_цаг хугацааны тамга Unix Epoch Time (ms) форматтай цагийн тэмдэг агуулсан өөрийн нэр талбарын утга нь харилцагч бүрийн "дэлгэцийн_нэр"-тэй тохирч байна нэр WhatsApp холбоо барих нэр (харилцагчийн профайл дээр заасан нэр гарч ирнэ) эрэмбэлэх_нэр ангилах үйл ажиллагаанд хэрэглэгддэг холбоо барих нэр хоч нэр WhatsApp дахь харилцагчийн хоч (харилцагчийн профайл дээр заасан хоч гарч ирнэ) Тус компани компани (харилцагчийн профайл дээр заасан компани харагдана) нэр гарчиг (Хатагтай/Ноён; харилцагчийн профайлд тохируулсан гарчиг харагдана) офсет хэвийсэн байдал - 'sqlite_sequence'
Энэ хүснэгтэд харилцагчдын тооны талаарх мэдээллийг агуулсан болно; - 'android_метадта'
Энэ хүснэгтэд WhatsApp хэлний нутагшуулах талаархи мэдээллийг агуулсан болно.
Мэдээллийн санд 'msgstore.db' Холбоо барих дугаар, мессежийн текст, мессежийн төлөв, цагийн тэмдэг, мессежид орсон шилжүүлсэн файлуудын дэлгэрэнгүй мэдээлэл гэх мэт илгээсэн мессежийн талаарх мэдээллийг агуулдаг. Файл 'msgstore.db' зам дагуу байрладаг: '/data/data/com.whatsapp/databases/' бөгөөд дараах бүтэцтэй байна.
Файлын хамгийн сонирхолтой хүснэгтүүд 'msgstore.db' судлаачийн хувьд:
- 'sqlite_sequence'
Энэ хүснэгтэд хадгалагдсан нийт мессежийн тоо, нийт чатын тоо гэх мэт энэ мэдээллийн сангийн талаарх ерөнхий мэдээллийг агуулсан болно.Хүснэгтийн харагдах байдал:
- 'message_fts_content'
Илгээсэн мессежийн текстийг агуулна.Хүснэгтийн харагдах байдал:
- "мессеж"
Энэ хүснэгт нь холбоо барих дугаар, мессежийн текст, мессежийн төлөв, цагийн тэмдэг, мессежид орсон шилжүүлсэн файлуудын талаарх мэдээллийг агуулна.Хүснэгтийн харагдах байдал:
Хүснэгтийн бүтэцТалбайн нэр үнэ цэнэ _id бичлэгийн дарааллын дугаар (SQL хүснэгтэд) түлхүүрийн_алсын_жид Харилцааны түншийн WhatsApp ID надаас_түлхүүр мессежийн чиглэл: '0' - ирж байгаа, '1' - гарч байгаа түлхүүрийн дугаар өвөрмөц мессеж танигч байдал мессежийн төлөв: '0' – хүргэсэн, ‘4’ – сервер дээр хүлээж байгаа, ‘5’ – очих газар хүлээн авсан, ‘6’ – хяналтын мессеж, ‘13’ – хүлээн авагчийн нээсэн мессеж (уншсан) шаардлагатай_түлхэх Хэрэв энэ нь өргөн нэвтрүүлгийн мессеж бол '2' утгатай, эс бөгөөс '0'-г агуулна. мэдээ мессежийн текст ('media_wa_type' параметр '0' байх үед) TIMESTAMP Unix Epoch Time (ms) форматтай цагийн тэмдэг агуулсан бөгөөд утгыг төхөөрөмжийн цагаас авсан болно media_url шилжүүлсэн файлын URL-г агуулна ('media_wa_type' параметр нь '1', '2', '3' байх үед) media_mime_type Шилжүүлсэн файлын MIME төрөл ('media_wa_type' параметр нь '1', '2', '3'-тэй тэнцүү байх үед) media_wa_type мессежийн төрөл: '0' - текст, '1' - график файл, '2' - аудио файл, '3' - видео файл, '4' - харилцах карт, '5' - гео өгөгдөл хэвлэл мэдээллийн_хэмжээ шилжүүлсэн файлын хэмжээ ('media_wa_type' параметр нь '1', '2', '3' байх үед) хэвлэл мэдээллийн_нэр шилжүүлсэн файлын нэр ('media_wa_type' параметр нь '1', '2', '3' байх үед) медиа_гарчиг 'media_wa_type' параметрийн харгалзах утгуудын хувьд 'аудио', 'видео' гэсэн үгсийг агуулна ('media_wa_type' параметр нь '1', '3' байх үед) media_hash HAS-64 алгоритмыг ашиглан тооцоолсон дамжуулагдсан файлын base256 кодлогдсон хэш ('media_wa_type' параметр нь '1', '2', '3'-тэй тэнцүү байх үед) хэвлэл мэдээллийн_хугацаа медиа файлын үргэлжлэх хугацаа ('media_wa_type' нь '1', '2', '3' байх үед) Гарал үүсэл Хэрэв энэ нь өргөн нэвтрүүлгийн мессеж бол '2' утгатай, эс бөгөөс '0'-г агуулна. өргөрөг газарзүйн өгөгдөл: өргөрөг ('media_wa_type' параметр '5' байх үед) уртраг газарзүйн өгөгдөл: уртраг ('media_wa_type' параметр '5' байх үед) эрхий хурууны зураг үйлчилгээний мэдээлэл алсын_нөөц Илгээгчийн ID (зөвхөн групп чатын хувьд) хүлээн авсан_цаг хугацааны тэмдэг хүлээн авсан цаг нь Unix Epoch Time (ms) форматтай цагийн тэмдэг агуулсан бөгөөд утгыг төхөөрөмжийн цагнаас авна ('key_from_me' параметр нь '0', '-1' эсвэл өөр утгатай үед) илгээх_цаг хугацааны тэмдэг ашиглагдаагүй, ихэвчлэн '-1' утгатай байна хүлээн авах_серверийн_цаг хугацааны тэмдэг төв сервер хүлээн авсан цаг нь Unix Epoch Time (ms) форматтай цагийн тэмдэг агуулсан, утгыг төхөөрөмжийн цагнаас авдаг ('key_from_me' параметр нь '1', '-1' эсвэл өөр утгатай үед) хүлээн авах_төхөөрөмжийн_цаг хугацааны тэмдэг мессежийг өөр захиалагч хүлээн авсан цаг, Unix Epoch Time (ms) форматтай цагийн тэмдэг агуулсан, утгыг төхөөрөмжийн цагнаас авдаг ('key_from_me' параметр нь '1', '-1' эсвэл өөр утгатай үед) Унших_төхөөрөмжийн_цаг хугацааны тэмдэг Мессежийг нээх (унших) цаг нь Unix Epoch Time (ms) форматтай цагийн тэмдэг агуулсан бөгөөд утгыг төхөөрөмжийн цагнаас авдаг. тоглуулсан_төхөөрөмжийн_цаг мессежийг тоглуулах хугацаа нь Unix Epoch Time (ms) форматтай цагийн тэмдэг агуулсан бөгөөд утгыг төхөөрөмжийн цагаас авсан болно түүхий_өгөгдөл шилжүүлсэн файлын өнгөц зураг ('media_wa_type' параметр '1' эсвэл '3' байх үед) хүлээн авагчийн_тоо хүлээн авагчдын тоо (мэдээлэл дамжуулах) оролцогчийн_хэш геомэдээлэл бүхий мессежийг дамжуулахад ашигладаг одтой болсон ашиглагдаагүй иш татсан_мөр_id үл мэдэгдэх, ихэвчлэн '0' утгыг агуулдаг дурдсан_жид ашиглагдаагүй multicast_id ашиглагдаагүй офсет хэвийсэн байдал Энэ талбаруудын жагсаалт нь бүрэн гүйцэд биш юм. WhatsApp-ийн өөр хувилбаруудын хувьд зарим талбарууд байгаа эсвэл байхгүй байж болно. Үүнээс гадна талбарууд байж болно 'media_enc_hash', "засварлах_хувилбар", 'төлбөрийн_гүйлгээний_id' гэх мэт.
- 'messages_thumbnails'
Энэ хүснэгтэд шилжүүлсэн зураг болон цагийн тэмдгийн талаарх мэдээллийг агуулна. "Цагийн тэмдэг" баганад цагийг Unix Epoch Time (ms) форматаар зааж өгсөн болно. - 'чат_жагсаалт'
Энэ хүснэгтэд чатын тухай мэдээлэл багтсан болно.Хүснэгтийн харагдах байдал:
Мөн Android үйлдлийн системтэй гар утасны төхөөрөмж дээр WhatsApp-г шалгахдаа дараах файлуудад анхаарлаа хандуулах хэрэгтэй.
- файл 'msgstore.db.cryptXX' (ХХ нь 0-ээс 12 хүртэлх нэг эсвэл хоёр оронтой, жишээлбэл, msgstore.db.crypt12). WhatsApp мессежийн шифрлэгдсэн нөөцлөлтийг агуулсан (нөөш файл msgstore.db). Файл(ууд) 'msgstore.db.cryptXX' зам дагуу байрладаг: '/data/media/0/WhatsApp/өгөгдлийн сан/' (виртуал SD карт), '/mnt/sdcard/WhatsApp/Мэдээллийн сан/ (биет SD карт)'.
- файл 'түлхүүр'. Криптограф түлхүүрийг агуулна. Зам дагуу байрладаг: '/data/data/com.whatsapp/files/'. Шифрлэгдсэн WhatsApp нөөцлөлтийг тайлахад ашигладаг.
- файл 'com.whatsapp_preferences.xml'. Таны WhatsApp дансны профайлын талаарх мэдээллийг агуулна. Файл нь зам дагуу байрладаг: '/data/data/com.whatsapp/shared_prefs/'.
Файлын агуулгын фрагмент
<?xml version="1.0" encoding="ISO-8859-1"?> … <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp) … <string name="version">2.17.395</string> (версия WhatsApp) … <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта) … <string name="push_name">Alex</string> (имя владельца аккаунта) … - файл 'registration.RegisterPhone.xml'. WhatsApp данстай холбоотой утасны дугаарын талаарх мэдээллийг агуулна. Файл нь зам дагуу байрладаг: '/data/data/com.whatsapp/shared_prefs/'.
Файлын агуулга
<?xml version="1.0" encoding="ISO-8859-1"?> <map> <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string> <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/> <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/> <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string> <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/> <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string> <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string> </map> - файл 'axolotl.db'. Бүртгэл эзэмшигчийг тодорхойлоход шаардлагатай криптограф түлхүүр болон бусад өгөгдлийг агуулна. Зам дагуу байрладаг: '/data/data/com.whatsapp/databases/'.
- файл 'chatsettings.db'. Програмын тохиргооны мэдээллийг агуулна.
- файл 'wa.db'. Холбоо барих мэдээллийг агуулна. Маш сонирхолтой (шүүхийн эмнэлгийн талаас) болон мэдээллийн сан. Энэ нь устгасан харилцагчдын талаарх дэлгэрэнгүй мэдээллийг агуулж болно.
Та мөн дараах лавлахуудад анхаарлаа хандуулах хэрэгтэй.
- Лавлах '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Шилжүүлсэн график файлуудыг агуулна.
- Лавлах '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. .OPUS форматтай файлууд дахь дуут мессежийг агуулна.
- Лавлах '/data/data/com.whatsapp/cache/Profile Pictures/'. График файлууд - харилцагчдын зургийг агуулдаг.
- Лавлах '/data/data/com.whatsapp/files/Avatars/'. График файлуудыг агуулдаг - харилцагчдын өнгөц зураг. Эдгээр файлууд нь '.j' өргөтгөлтэй боловч JPEG (JPG) зургийн файлууд юм.
- Лавлах '/data/data/com.whatsapp/files/Avatars/'. График файлуудыг агуулна - данс эзэмшигчийн аватар болгон тохируулсан зураг болон зургийн өнгөц зураг.
- Лавлах '/data/data/com.whatsapp/files/Logs/'. Програмын үйлдлийн бүртгэл ('whatsapp.log' файл) болон програмын үйлдлийн бүртгэлийн нөөц хуулбар (whatsapp-yyyy-mm-dd.1.log.gz форматтай файлууд) агуулна.
WhatsApp бүртгэлийн файлууд:
Сэтгүүлийн хэсэг2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Ажилтан №1] алдсан дуудлагын мэдэгдэл/эхлэлийн тоо:0 цагийн тэмдэг:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] алдсан дуудлагын мэдэгдэл/шинэчлэлтийг цуцлах үнэн
2017-01-10 09:37:09.768 LL_I D [1:үндсэн] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:үндсэн] нууц үгийн файл дутуу эсвэл унших боломжгүй
2017-01-10 09:37:09.782 LL_I D [1:main] статистик Текст мессеж: 59 илгээсэн, 82 хүлээн авсан / Хэвлэл мэдээллийн мессеж: 1 илгээсэн (0 байт), 0 хүлээн авсан (9850158 байт) / Офлайн мессеж: 81 хүлээн авсан ( 19522 мсек дундаж саатал) / Мессежийн үйлчилгээ: 116075 байт илгээсэн, 211729 байт хүлээн авсан / Voip дуудлага: 1 гарсан дуудлага, 0 ирсэн дуудлага, 2492 байт илгээсэн, 1530 байт хүлээн авсан / Google Drive: 0 байт илгээсэн, 0 байт хүлээн авсан / Roam: 1524 илгээсэн байт, 1826 байт хүлээн авсан / Нийт өгөгдөл: 118567 байт илгээсэн, 10063417 байт хүлээн авсан
2017-01-10 09:37:09.785 LL_I D [1:үндсэн] медиа-төрийн менежер/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:үндсэн] програмыг эхлүүлэх/эхлүүлэх/таймер/зогсоох: 24
2017-01-10 09:37:09.811 LL_I D [1:үндсэн] msgstore/chealth
2017-01-10 09:37:09.817 LL_I D [1:үндсэн] msgstore/checkhealth/journal/худал устгах
2017-01-10 09:37:09.818 LL_I D [1:үндсэн] msgstore/checkhealth/буцах/худал устгах
2017-01-10 09:37:09.818 LL_I D [1:үндсэн] msgstore/checkdb/data/data/com.whatsapp/database/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:үндсэн] msgstore/checkdb/1-р хувилбар
2017-01-10 09:37:09.839 LL_I D [1:үндсэн] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:үндсэн] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:үндсэн] msgstore/canquery/timemer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:үндсэн] msgstore/canquery 517 | зарцуулсан цаг: 8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] медиа-төрийн менежер/refresh-media-state/дотоод санах ой: 1,345,622,016 нийт: 5,687,922,688
- Лавлах '/data/media/0/WhatsApp/Media/WhatsApp Аудио/'. Хүлээн авсан аудио файлуудыг агуулна.
- Лавлах '/data/media/0/WhatsApp/Media/WhatsApp Аудио/Илгээсэн/'. Илгээсэн аудио файлуудыг агуулна.
- Лавлах '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Үүссэн график файлуудыг агуулна.
- Лавлах '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. Илгээсэн график файлуудыг агуулна.
- Лавлах '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Хүлээн авсан видео файлуудыг агуулна.
- Лавлах '/data/media/0/WhatsApp/Media/WhatsApp Видео/Илгээсэн/'. Илгээсэн видео файлуудыг агуулна.
- Лавлах '/data/media/0/WhatsApp/Media/WhatsApp профайлын зураг/'. WhatsApp акаунтын эзэмшигчтэй холбоотой график файлуудыг агуулна.
- Android ухаалаг гар утсандаа санах ойн зай хэмнэхийн тулд WhatsApp-ын зарим өгөгдлийг SD картанд хадгалах боломжтой. SD карт дээр, үндсэн директорт лавлах байдаг 'WhatsApp', энэ хөтөлбөрийн дараах олдворуудыг эндээс олж болно:
- Лавлах '.Хуваалцах' ('/mnt/sdcard/WhatsApp/.Share/'). WhatsApp-ын бусад хэрэглэгчидтэй хуваалцсан файлуудын хуулбарыг агуулна.
- Лавлах '.хогийн сав' ('/mnt/sdcard/WhatsApp/.tsh/'). Устгасан файлуудыг агуулна.
- Лавлах "Мэдээллийн сан" ('/mnt/sdcard/WhatsApp/Өгөгдлийн сан/'). Шифрлэгдсэн нөөцлөлтүүдийг агуулсан. Хэрэв файл байгаа бол тэдгээрийг тайлж болно 'түлхүүр', дүн шинжилгээ хийсэн төхөөрөмжийн санах ойноос гаргаж авсан.
Дэд директорт байрлах файлууд "Мэдээллийн сан":
- Лавлах 'хагас' ('/mnt/sdcard/WhatsApp/Media/'). Дэд сангуудыг агуулна "ханын цаас", 'WhatsApp Аудио', 'WhatsApp зураг', 'WhatsApp профайл зураг', "WhatsApp видео", 'WhatsApp дуут тэмдэглэл', хүлээн авсан болон дамжуулсан мультимедиа файлуудыг (график файлууд, видео файлууд, дуут мессеж, WhatsApp данс эзэмшигчийн профайлтай холбоотой зураг, ханын зураг) агуулсан.
- Лавлах "Профайл зураг" ('/mnt/sdcard/WhatsApp/Профайл зураг/'). WhatsApp данс эзэмшигчийн профайлтай холбоотой график файлуудыг агуулна.
- Заримдаа SD карт дээр лавлах байж болно 'файлууд' ('/mnt/sdcard/WhatsApp/Files/'). Энэ директор нь програмын тохиргоо болон хэрэглэгчийн тохиргоог хадгалах файлуудыг агуулна.
Мобайл төхөөрөмжийн зарим загварт өгөгдөл хадгалах онцлогууд
Андройд үйлдлийн системтэй гар утасны зарим загварууд WhatsApp-ын олдворуудыг өөр байршилд хадгалж болно. Энэ нь хөдөлгөөнт төхөөрөмжийн системийн программ хангамжийн програмын мэдээллийн хадгалах зайд өөрчлөлт орсонтой холбоотой юм. Жишээлбэл, Xiaomi гар утасны төхөөрөмжүүд нь хоёр дахь ажлын талбар ("SecondSpace") үүсгэх функцтэй байдаг. Энэ функц идэвхжсэн үед өгөгдлийн байршил өөрчлөгдөнө. Тиймээс, хэрэв Android үйлдлийн системтэй ердийн хөдөлгөөнт төхөөрөмжид хэрэглэгчийн мэдээлэл лавлахад хадгалагддаг '/өгөгдөл/хэрэглэгч/0/' (энэ нь ердийн зүйлийн лавлагаа юм '/өгөгдөл/өгөгдөл/'), дараа нь хоёр дахь ажлын талбарт програмын өгөгдөл лавлахад хадгалагдана '/өгөгдөл/хэрэглэгч/10/'. Энэ нь файлын байршлын жишээг ашиглах явдал юм 'wa.db':
- Android үйлдлийн системтэй энгийн ухаалаг гар утсанд: /data/user/0/com.whatsapp/database/wa.db' (энэ нь тэнцүү юм '/data/data/com.whatsapp/database/wa.db');
- Xiaomi ухаалаг гар утасны хоёр дахь ажлын талбарт: '/data/user/10/com.whatsapp/database/wa.db'.
iOS төхөөрөмж дээрх WhatsApp олдворууд
Android үйлдлийн системээс ялгаатай нь iOS-д WhatsApp програмын өгөгдлийг нөөц хуулбар руу (iTunes нөөц) шилжүүлдэг. Тиймээс, энэ програмаас өгөгдлийг задлахад файлын системийг задлах эсвэл шалгаж буй төхөөрөмжийн физик санах ойн хаягдал үүсгэх шаардлагагүй. Холбогдох мэдээллийн ихэнх нь мэдээллийн санд байдаг 'ChatStorage.sqlite'зам дагуу байрладаг: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (зарим программ дээр энэ зам гарч ирнэ 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').
бүтэц 'ChatStorage.sqlite':
'ChatStorage.sqlite' мэдээллийн сангийн хамгийн мэдээлэлтэй хүснэгтүүд нь 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.
Ширээний харагдах байдал 'ZWAMESSAGE':
'ZWAMESSAGE' хүснэгтийн бүтэц
| Талбайн нэр | үнэ цэнэ |
|---|---|
| Z_PK | бичлэгийн дарааллын дугаар (SQL хүснэгтэд) |
| Z_ENT | хүснэгт танигч нь '9' утгатай байна |
| Z_OPT | үл мэдэгдэх, ихэвчлэн '1'-ээс '6' хүртэлх утгыг агуулна |
| ZCHILDMESSAGESDELIVEREDCOUNT | үл мэдэгдэх, ихэвчлэн '0' утгыг агуулдаг |
| ZCHILDMESSAGESPLAYEDCOUNT | үл мэдэгдэх, ихэвчлэн '0' утгыг агуулдаг |
| ZCHILDMESSAGESREADCOUNT | үл мэдэгдэх, ихэвчлэн '0' утгыг агуулдаг |
| ZDATAITEMVERSION | үл мэдэгдэх, ихэвчлэн '3' утгыг агуулж байдаг, магадгүй текст мессеж заагч |
| ZDOCID | үл мэдэгдэх |
| ZENCRETRYCOUNT | үл мэдэгдэх, ихэвчлэн '0' утгыг агуулдаг |
| ZFILTEREDRECIPIENTCOUNT | үл мэдэгдэх, ихэвчлэн '0', '2', '256' утгуудыг агуулна |
| ZISFROMME | мессежийн чиглэл: '0' - ирж байгаа, '1' - гарч байгаа |
| ZMESSAGEERRORSTATUS | мессеж дамжуулах төлөв. Хэрэв мессеж илгээсэн/хүлээн авсан бол '0' утгатай байна. |
| ZMESSAGETYPE | дамжуулж буй мессежийн төрөл |
| ZSORT | үл мэдэгдэх |
| ZSPOTLIGHSTATUS | үл мэдэгдэх |
| ZSTARRED | үл мэдэгдэх, ашиглагдаагүй |
| ZCHATSESSION | үл мэдэгдэх |
| ZGROUPMEMBER | үл мэдэгдэх, ашиглагдаагүй |
| ЗЛАСТСЕССОН | үл мэдэгдэх |
| ZMEDIAITEM | үл мэдэгдэх |
| ZMESSAGEINFO | үл мэдэгдэх |
| ZPARENTMESSAGE | үл мэдэгдэх, ашиглагдаагүй |
| ZMESSAGEDATE | OS X Epoch Time формат дахь цагийн тэмдэг |
| ZSENTDATE | мессежийг OS X Epoch Time форматаар илгээсэн цаг |
| ЗФРОМЖИД | WhatsApp илгээгчийн ID |
| ZMEDIASECTIONID | медиа файлыг илгээсэн жил, сарыг агуулна |
| ZPHASH | үл мэдэгдэх, ашиглагдаагүй |
| ZPUSHPAME | медиа файлыг UTF-8 форматаар илгээсэн харилцагчийн нэр |
| ЗСТАНЗИД | өвөрмөц мессеж танигч |
| ZTEXT | Мессежийн текст |
| ЗТОЖИД | Хүлээн авагчийн WhatsApp ID |
| OFFFSET | хэвийсэн байдал |
Ширээний харагдах байдал 'ZWAMEDIAITEM':
'ZWAMEDIAITEM' хүснэгтийн бүтэц
| Талбайн нэр | үнэ цэнэ |
|---|---|
| Z_PK | бичлэгийн дарааллын дугаар (SQL хүснэгтэд) |
| Z_ENT | хүснэгт танигч нь '8' утгатай байна |
| Z_OPT | үл мэдэгдэх, ихэвчлэн '1'-ээс '3' хүртэлх утгыг агуулна. |
| ZCLOUDSTATUS | Хэрэв файл ачаалагдсан бол '4' утгыг агуулна. |
| ZFILESIZE | татаж авсан файлуудын файлын уртыг (байтаар) агуулна |
| ZMEDIAORIGIN | үл мэдэгдэх, ихэвчлэн '0' утгатай байна |
| ZMOVIEDURATION | медиа файлын үргэлжлэх хугацаа, pdf файлын хувьд баримт бичгийн хуудасны тоог агуулж болно |
| ZMESSAGE | серийн дугаар агуулсан (тоо нь 'Z_PK' баганад заасан дугаараас өөр байна) |
| ЗАСПЕКТРАЦИО | харьцаа, ашиглагдаагүй, ихэвчлэн "0" гэж тохируулсан |
| ЗАХУРАТ | үл мэдэгдэх, ихэвчлэн '0' утгатай байна |
| ЗАЛУУН | пикселээр өргөн |
| ЗУРТАГТ | пикселээр өндөр |
| ZMEDIAURLDATE | OS X Epoch Time формат дахь цагийн тэмдэг |
| ZAUTHORNAME | зохиогч (баримт бичгийн хувьд файлын нэрийг агуулж болно) |
| ZCOLLECTIONNAME | ашиглагдаагүй |
| ZMEDIALOCALPATH | төхөөрөмжийн файлын систем дэх файлын нэр (замыг оруулаад). |
| ZMEDIAURL | Медиа файл байрладаг URL. Хэрэв файлыг нэг захиалагчаас нөгөөд шилжүүлсэн бол энэ нь шифрлэгдсэн бөгөөд түүний өргөтгөлийг шилжүүлсэн файлын өргөтгөл гэж зааж өгөх болно - .enc |
| ZTHUMBNAILLOCALPATH | төхөөрөмжийн файлын систем дэх файлын өнгөц зураг руу очих зам |
| ZTITLE | файлын толгой хэсэг |
| ZVCARDNAME | медиа файлын хэш; файлыг бүлэгт шилжүүлэх үед энэ нь илгээгчийн танигчийг агуулж болно |
| ZVCARDSTRING | шилжүүлж буй файлын төрлийн талаарх мэдээллийг агуулсан (жишээ нь, зураг/jpeg); файлыг бүлэгт шилжүүлэх үед хүлээн авагчийн танигчийг агуулж болно. |
| ZXMPPTHUMBPATH | төхөөрөмжийн файлын систем дэх файлын өнгөц зураг руу очих зам |
| ZMEDIAKEY | үл мэдэгдэх, магадгүй шифрлэгдсэн файлын кодыг тайлах түлхүүр агуулагдаж байна. |
| ZMETADATA | дамжуулсан мессежийн мета өгөгдөл |
| Offset | хэвийсэн байдал |
Бусад сонирхолтой мэдээллийн сангийн хүснэгтүүд 'ChatStorage.sqlite' Тэдгээр нь:
- 'ZWAPROFILEPUSHNAME'. WhatsApp ID-г харилцагчийн нэртэй тохирно;
- 'ZWAPROFILEPICTUREITEM'. WhatsApp ID-тай холбоо барих аватартай тохирно;
- 'Z_PRIMARYKEY'. Хүснэгтэнд хадгалагдсан нийт мессежийн тоо, нийт чатын тоо гэх мэт энэ мэдээллийн сангийн талаарх ерөнхий мэдээллийг агуулсан болно.
Мөн iOS үйлдлийн системтэй гар утасны төхөөрөмж дээр WhatsApp-г шалгахдаа дараах файлуудад анхаарлаа хандуулах хэрэгтэй.
- файл 'BackedUpKeyValue.sqlite'. Бүртгэл эзэмшигчийг тодорхойлоход шаардлагатай криптограф түлхүүр болон бусад өгөгдлийг агуулна. Зам дагуу байрладаг: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- файл 'ContactsV2.sqlite'. Бүтэн нэр, утасны дугаар, холбоо барих статус (текст хэлбэрээр), WhatsApp ID гэх мэт хэрэглэгчийн харилцагчдын талаарх мэдээллийг агуулна. Зам дагуу байрладаг: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- файл 'хэрэглэгчийн_хувилбар'. Суулгасан WhatsApp програмын хувилбарын дугаарыг агуулна. Зам дагуу байрладаг: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- файл 'current_wallpaper.jpg'. Одоогийн WhatsApp дэвсгэр ханын зургийг агуулсан. Зам дагуу байрладаг: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Програмын хуучин хувилбарууд нь файлыг ашигладаг "ханын зураг"зам дагуу байрладаг: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
- файл 'blockedcontacts.dat'. Блоклогдсон харилцагчдын талаарх мэдээллийг агуулна. Зам дагуу байрладаг: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
- файл 'pw.dat'. Шифрлэгдсэн нууц үг агуулсан. Зам дагуу байрладаг: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
- файл 'net.whatsapp.WhatsApp.plist' (эсвэл файл 'group.net.whatsapp.WhatsApp.shared.plist'). Таны WhatsApp дансны профайлын талаарх мэдээллийг агуулна. Файл нь зам дагуу байрладаг: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.
'group.net.whatsapp.WhatsApp.shared.plist' файлын агуулга
Та мөн дараах лавлахуудад анхаарлаа хандуулах хэрэгтэй.
- Лавлах '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Харилцагчид, бүлгүүдийн өнгөц зургийг (өргөтгөлтэй файлууд) агуулна эрхий хуруу), холбоо барих аватарууд, WhatsApp данс эзэмшигчийн аватар (файл 'Photo.jpg').
- Лавлах '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Мультимедиа файлууд болон тэдгээрийн өнгөц зургийг агуулсан
- Лавлах '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Програмын үйл ажиллагааны бүртгэлийг агуулна (файл 'calls.log') болон програмын үйлдлийн бүртгэлийн нөөц хуулбар (файл 'calls.backup.log').
- Лавлах '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Наалт агуулсан (формат дахь файлууд '.webp').
- Лавлах '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. Програмын үйлдлийн бүртгэлийг агуулна.
Windows дээрх WhatsApp олдворууд
Windows дээрх WhatsApp олдворуудыг хэд хэдэн газраас олж болно. Юуны өмнө эдгээр нь гүйцэтгэх болон туслах програмын файлуудыг агуулсан сангууд юм (Windows 8/10-д зориулсан):
- 'C:Program Files (x86)WhatsApp'
- 'C:Хэрэглэгчид%Хэрэглэгчийн профайл% AppDataLocalWhatsApp'
- 'C:Хэрэглэгчид%Хэрэглэгчийн профайл% AppDataLocalVirtualStore програмын файлууд (x86)WhatsApp'
Каталог дээр 'C:Хэрэглэгчид%Хэрэглэгчийн профайл% AppDataLocalWhatsApp' бүртгэлийн файл байрладаг 'SquirrelSetup.log', шинэчлэлтүүдийг шалгах, програмыг суулгах талаархи мэдээллийг агуулсан.
Каталог дээр 'C:Хэрэглэгчид%Хэрэглэгчийн профайл% AppDataRoamingWhatsApp' Хэд хэдэн дэд лавлахууд байдаг:
файл 'main-process.log' WhatsApp програмын үйл ажиллагааны талаархи мэдээллийг агуулдаг.
Дэд лавлах 'мэдээллийн сан' файл агуулж байна 'Databases.db', гэхдээ энэ файлд чат болон харилцагчдын талаарх мэдээлэл байхгүй байна.
Шүүх эмнэлгийн үүднээс хамгийн сонирхолтой нь лавлахад байгаа файлууд юм "Кэш". Эдгээр нь үндсэндээ нэртэй файлууд юм 'f_********' (энд * нь 0-ээс 9 хүртэлх тоо) шифрлэгдсэн мультимедиа файлууд болон баримт бичгүүдийг агуулдаг боловч тэдгээрийн дунд шифрлэгдээгүй файлууд бас байдаг. Файлууд нь онцгой анхаарал татаж байна 'өгөгдөл_0', 'өгөгдөл_1', 'өгөгдөл_2', 'өгөгдөл_3', ижил дэд директорт байрладаг. Файлууд 'өгөгдөл_0', 'өгөгдөл_1', 'өгөгдөл_3' дамжуулагдсан шифрлэгдсэн мультимедиа файл, баримт бичгийн гадаад холбоосыг агуулна.
'data_1' файлд агуулагдах мэдээллийн жишээ
Мөн файл 'өгөгдөл_3' график файл агуулж болно.
файл 'өгөгдөл_2' холбоо барих аватаруудыг агуулдаг (файлын толгой хэсгээс хайх замаар сэргээх боломжтой).
Файлд агуулагдсан аватарууд 'өгөгдөл_2':
Тиймээс чат нь өөрөө компьютерийн санах ойд олдохгүй, гэхдээ та дараахь зүйлийг олох боломжтой.
- мультимедиа файлууд;
- WhatsApp-ээр дамжуулсан баримт бичиг;
- данс эзэмшигчийн харилцагчдын талаарх мэдээлэл.
MacOS дээрх WhatsApp олдворууд
MacOS дээр та Windows үйлдлийн системд байдагтай төстэй WhatsApp олдворуудын төрлийг олж болно.
Програмын файлууд нь дараах директоруудад байрлана.
- 'C:ApplicationsWhatsApp.app'
- 'C:Applications._WhatsApp.app'
- 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%Номын сангийн тохиргоо'
- 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibraryLogsWhatsApp'
- 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibrarySaved Application StateWhatsApp.savedState'
- 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibraryApplication Scripts'
- 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibraryApplication SupportCloudDocs'
- 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibraryApplication SupportWhatsApp.ShipIt'
- 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
- 'C:Хэрэглэгчид%Хэрэглэгчийн профайл% Номын сангийн гар утасны баримт бичиг <текст хувьсагч> WhatsApp бүртгэлүүд'
Энэ лавлах нь WhatsApp данс эзэмшигчтэй холбоотой утасны дугаар болох дэд сангуудыг агуулдаг. - 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibraryCachesWhatsApp.ShipIt'
Энэ лавлах нь програмыг суулгах талаархи мэдээллийг агуулдаг. - 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%PicturesiPhoto Library.photolibraryMasters', 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%PicturesiPhoto Library.photolibraryThumbnails'
Эдгээр сангууд нь WhatsApp-ын харилцагчдын зураг, өнгөц зургийг багтаасан програмын үйлчилгээний файлуудыг агуулдаг. - 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibraryCachesWhatsApp'
Энэ сан нь өгөгдлийг кэш хийхэд ашигладаг хэд хэдэн SQLite мэдээллийн санг агуулдаг. - 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibraryApplication SupportWhatsApp'
Энэ лавлах нь хэд хэдэн дэд санг агуулдаг:
Каталог дээр 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibraryApplication SupportWhatsAppCache' файлууд байдаг 'өгөгдөл_0', 'өгөгдөл_1', 'өгөгдөл_2', 'өгөгдөл_3' болон нэр бүхий файлууд 'f_********' (энд * нь 0-ээс 9 хүртэлх тоо). Эдгээр файлд ямар мэдээлэл агуулагдаж байгаа талаар мэдээлэл авахыг хүсвэл Windows дээрх WhatsApp олдворуудыг үзнэ үү.Каталог дээр 'C:Хэрэглэгчид%Хэрэглэгчийн профайл%LibraryApplication SupportWhatsAppIndexedDB' мультимедиа файлуудыг агуулж болно (файлуудад өргөтгөл байхгүй).
файл 'main-process.log' WhatsApp програмын үйл ажиллагааны талаархи мэдээллийг агуулдаг.
Эх сурвалжууд
- Android ухаалаг гар утсан дээрх WhatsApp Messenger-ийн шүүх эмнэлгийн шинжилгээ, Cosimo Anglano, 2014 он.
- Whatsapp Forensics: Ахмад Пратама, 2014 он, Android болон iOS үйлдлийн системд суурилсан мэдээллийн систем.
Энэ цувралын дараах нийтлэлүүдэд:
Шифрлэгдсэн WhatsApp мэдээллийн сангийн шифрийг тайлахWhatsApp шифрлэлтийн түлхүүрийг хэрхэн үүсгэдэг тухай мэдээлэл, энэ програмын шифрлэгдсэн мэдээллийн санг хэрхэн тайлахыг харуулсан практик жишээг агуулсан нийтлэл.
Клоуд сангаас WhatsApp-ын өгөгдлийг гаргаж байнаЭнэ нийтлэлд бид WhatsApp-ийн өгөгдөл үүлэнд юу хадгалагдаж байгааг танд хэлэх бөгөөд үүлэн хадгалах сангаас энэ өгөгдлийг сэргээх аргуудыг тайлбарлах болно.
WhatsApp-ын өгөгдөл олборлолт: Практик жишээнүүдЯмар программууд, янз бүрийн төхөөрөмжөөс WhatsApp-ийн өгөгдлийг хэрхэн гаргаж авах талаар алхам алхмаар тайлбарлах нийтлэл.
Эх сурвалж: www.habr.com