तपाईंको हातको हत्केलामा व्हाट्सएप: तपाईं फोरेंसिक कलाकृतिहरू कहाँ र कसरी फेला पार्न सक्नुहुन्छ?

यदि तपाइँ विभिन्न अपरेटिङ सिस्टमहरूमा कुन प्रकारका व्हाट्सएप फोरेन्सिक कलाकृतिहरू अवस्थित छन् र तिनीहरू कहाँ फेला पार्न सकिन्छ भनेर जान्न चाहनुहुन्छ भने, यो तपाइँको लागि ठाउँ हो। यो लेख Group-IB कम्प्यूटर फोरेन्सिक प्रयोगशाला मा एक विशेषज्ञ को हो इगोर मिखाइलोभ व्हाट्सएप फोरेन्सिक्स र यन्त्रको विश्लेषणबाट के जानकारी प्राप्त गर्न सकिन्छ भन्ने बारे पोष्टहरूको एक श्रृंखला सुरु गर्दछ।

तुरुन्तै ध्यान दिनुहोस् कि विभिन्न अपरेटिङ सिस्टमहरूले विभिन्न प्रकारका WhatsApp कलाकृतिहरू भण्डारण गर्छन्, र यदि एक अनुसन्धानकर्ताले एउटा यन्त्रबाट निश्चित प्रकारका WhatsApp डाटा निकाल्न सक्छन् भने, यसको मतलब यो होइन कि समान प्रकारका डाटा अर्को यन्त्रबाट निकाल्न सकिन्छ। उदाहरणका लागि, यदि Windows OS चलिरहेको प्रणाली एकाइ हटाइयो भने, WhatsApp च्याटहरू सम्भवतः यसको डिस्कहरूमा फेला पर्दैन (iOS उपकरणहरूको ब्याकअप प्रतिलिपिहरू बाहेक, जुन समान ड्राइभहरूमा फेला पार्न सकिन्छ)। ल्यापटप र मोबाइल यन्त्रहरू जफत गर्ने आफ्नै विशेषताहरू हुनेछन्। यस बारे थप विवरणमा कुरा गरौं।

एन्ड्रोइड उपकरणमा WhatsApp कलाकृतिहरू

एन्ड्रोइड उपकरणबाट व्हाट्सएप कलाकृतिहरू निकाल्नको लागि, अनुसन्धानकर्तासँग सुपर प्रयोगकर्ता अधिकारहरू हुनुपर्दछ ('जरा') अनुसन्धान अन्तर्गत उपकरणमा वा अन्यथा उपकरणको भौतिक मेमोरी डम्प निकाल्न सक्षम हुनुहोस्, वा यसको फाइल प्रणाली (उदाहरणका लागि, विशेष मोबाइल उपकरणको सफ्टवेयर कमजोरीहरू प्रयोग गरेर)।

अनुप्रयोग फाइलहरू फोनको मेमोरीमा खण्डमा अवस्थित हुन्छन् जसमा प्रयोगकर्ता डेटा बचत हुन्छ। नियमको रूपमा, यो खण्ड नाम दिइएको छ 'userdata'। उपनिर्देशिकाहरू र कार्यक्रम फाइलहरू मार्गमा अवस्थित छन्: '/data/data/com.whatsapp/'.

एन्ड्रोइड ओएसमा WhatsApp फोरेन्सिक कलाकृतिहरू समावेश गर्ने मुख्य फाइलहरू डेटाबेसहरू हुन् 'wa.db' и 'msgstore.db'.

डाटाबेस मा 'wa.db' फोन नम्बर, डिस्प्ले नाम, टाइमस्ट्याम्पहरू, र व्हाट्सएपको लागि दर्ता गर्दा प्रदान गरिएको कुनै पनि अन्य जानकारी सहित WhatsApp प्रयोगकर्ताको पूर्ण सम्पर्क सूची समावेश गर्दछ। फाइल 'wa.db' बाटोमा अवस्थित: '/data/data/com.whatsapp/databases/' र निम्न संरचना छ:

डाटाबेसमा सबैभन्दा रोचक तालिकाहरू 'wa.db' अनुसन्धानकर्ता को लागी हो:

• 'wa_contacts'
  यो तालिकामा सम्पर्क जानकारी समावेश छ: WhatsApp सम्पर्क आईडी, स्थिति जानकारी, प्रयोगकर्ता प्रदर्शन नाम, टाइमस्ट्याम्प, आदि।

  तालिका उपस्थिति:

  
  तालिका संरचना

  क्षेत्रको नाम	मूल्य
  _id	रेकर्ड अनुक्रम संख्या (SQL तालिकामा)
  jid	WhatsApp सम्पर्क ID, ढाँचामा लेखिएको <phone number>@s.whatsapp.net
  हो_whatsapp_user	यदि सम्पर्क वास्तविक व्हाट्सएप प्रयोगकर्तासँग मेल खान्छ भने '1' समावेश गर्दछ, अन्यथा '0'
  स्थिति	सम्पर्क स्थितिमा प्रदर्शित पाठ समावेश गर्दछ
  status_timestamp	Unix Epoch Time (ms) ढाँचामा टाइमस्ट्याम्प समावेश गर्दछ
  नम्बर	सम्पर्कसँग सम्बन्धित फोन नम्बर
  raw_contact_id	सम्पर्क सिरियल नम्बर
  DISPLAY_NAME	सम्पर्क प्रदर्शन नाम
  फोन_प्रकार	फोन प्रकार
  फोन_लेबल	सम्पर्क नम्बरसँग सम्बन्धित लेबल
  unseen_msg_count	सन्देशहरूको संख्या जुन सम्पर्कद्वारा पठाइएको थियो तर प्राप्तकर्ताले पढेका थिएनन्
  photo_ts	Unix Epoch Time ढाँचामा टाइमस्ट्याम्प समावेश गर्दछ
  thumb_ts	Unix Epoch Time ढाँचामा टाइमस्ट्याम्प समावेश गर्दछ
  फोटो_आईडी_टाइमस्ट्याम्प	Unix Epoch Time (ms) ढाँचामा टाइमस्ट्याम्प समावेश गर्दछ
  दिइएको_नाम	फिल्ड मान प्रत्येक सम्पर्कको लागि 'display_name' सँग मेल खान्छ
  wa_name	WhatsApp सम्पर्क नाम (सम्पर्क प्रोफाइल मा निर्दिष्ट नाम प्रदर्शित छ)
  क्रमबद्ध_नाम	क्रमबद्ध कार्यहरूमा प्रयोग गरिएको सम्पर्क नाम
  उपनाम	व्हाट्सएपमा सम्पर्कको उपनाम (सम्पर्कको प्रोफाइलमा निर्दिष्ट गरिएको उपनाम प्रदर्शित हुन्छ)
  कम्पनी	कम्पनी (सम्पर्क प्रोफाइलमा निर्दिष्ट कम्पनी प्रदर्शित छ)
  शीर्षक	शीर्षक (सुश्री/श्री; सम्पर्क प्रोफाइलमा कन्फिगर गरिएको शीर्षक प्रदर्शित हुन्छ)
  अफसेट	पूर्वाग्रह

• 'sqlite_sequence'
  यो तालिकाले सम्पर्कहरूको संख्याको बारेमा जानकारी समावेश गर्दछ;
• 'android_metadata'
  यो तालिकाले व्हाट्सएप भाषा स्थानीयकरण बारे जानकारी समावेश गर्दछ।

डाटाबेस मा 'msgstore.db' पठाइएको सन्देशहरू बारे जानकारी समावेश गर्दछ, जस्तै सम्पर्क नम्बर, सन्देश पाठ, सन्देश स्थिति, टाइमस्ट्याम्पहरू, सन्देशहरूमा समावेश गरिएका स्थानान्तरण गरिएका फाइलहरूको विवरण, आदि। फाइल 'msgstore.db' बाटोमा अवस्थित: '/data/data/com.whatsapp/databases/' र निम्न संरचना छ:

फाइलमा सबैभन्दा रोचक तालिकाहरू 'msgstore.db' अनुसन्धानकर्ता को लागी हो:

• 'sqlite_sequence'
  यो तालिकाले यस डाटाबेसको बारेमा सामान्य जानकारी समावेश गर्दछ, जस्तै भण्डारण गरिएका सन्देशहरूको कुल संख्या, च्याटहरूको कुल संख्या, आदि।

  तालिका उपस्थिति:

  

• 'message_fts_content'
  पठाइएको सन्देशहरूको पाठ समावेश गर्दछ।

  तालिका उपस्थिति:

  

• 'सन्देशहरू'
  यो तालिकामा सम्पर्क नम्बर, सन्देश पाठ, सन्देश स्थिति, टाइमस्ट्याम्पहरू, सन्देशहरूमा समावेश गरिएका स्थानान्तरण गरिएका फाइलहरूको बारेमा जानकारी जस्ता जानकारीहरू समावेश छन्।

  तालिका उपस्थिति:

  
  तालिका संरचना

  क्षेत्रको नाम	मूल्य
  _id	रेकर्ड अनुक्रम संख्या (SQL तालिकामा)
  key_remote_jid	संचार साझेदारको व्हाट्सएप आईडी
  key_from_me	सन्देश दिशा: '0' - आगमन, '1' - बहिर्गमन
  key_id	अद्वितीय सन्देश पहिचानकर्ता
  स्थिति	सन्देश स्थिति: '0' - डेलिभर गरिएको, '4' - सर्भरमा पर्खिरहेको, '5' - गन्तव्यमा प्राप्त भएको, '6' - नियन्त्रण सन्देश, '13' - प्राप्तकर्ताद्वारा खोलिएको सन्देश (पढ्नुहोस्)
  आवश्यकता_धक्का	यदि यो प्रसारण सन्देश हो भने मान '2' छ, अन्यथा '0' समावेश गर्दछ
  डाटा	सन्देश पाठ (जब 'media_wa_type' प्यारामिटर '0' हुन्छ)
  टाइमस्ट्याम्प	Unix Epoch Time (ms) ढाँचामा टाइमस्ट्याम्प समावेश गर्दछ, मान उपकरण घडीबाट लिइएको हो।
  media_url	स्थानान्तरण गरिएको फाइलको URL समावेश गर्दछ (जब 'media_wa_type' प्यारामिटर '1', '2', '3' हुन्छ)
  media_mime_type	स्थानान्तरण गरिएको फाइलको MIME प्रकार (जब 'media_wa_type' प्यारामिटर '1', '2', '3' बराबर हुन्छ)
  media_wa_type	सन्देश प्रकार: '0' - पाठ, '1' - ग्राफिक फाइल, '2' - अडियो फाइल, '3' - भिडियो फाइल, '4' - सम्पर्क कार्ड, '5' - जियोडाटा
  media_size	स्थानान्तरण गरिएको फाइलको साइज (जब 'media_wa_type' प्यारामिटर '1', '2', '3' हुन्छ)
  media_name	स्थानान्तरण गरिएको फाइलको नाम (जब 'media_wa_type' प्यारामिटर '1', '2', '3' हुन्छ)
  media_caption	'media_wa_type' प्यारामिटर (जब 'media_wa_type' प्यारामिटर '1', '3' हुन्छ) को सम्बन्धित मानहरूको लागि 'अडियो', 'भिडियो' शब्दहरू समावेश गर्दछ।
  media_hash	HAS-64 एल्गोरिदम प्रयोग गरी गणना गरिएको ट्रान्समिट गरिएको फाइलको base256 एन्कोड गरिएको ह्यास (जब 'media_wa_type' प्यारामिटर '1', '2', '3' बराबर हुन्छ)
  media_duration	मिडिया फाइलको लागि सेकेन्डमा अवधि (जब 'media_wa_type' '1', '2', '3' हुन्छ)
  मूल	यदि यो प्रसारण सन्देश हो भने मान '2' छ, अन्यथा '0' समावेश गर्दछ
  अक्षांश	जियोडाटा: अक्षांश (जब 'media_wa_type' प्यारामिटर '5' हुन्छ)
  देशान्तरण	geodata: देशान्तर (जब 'media_wa_type' प्यारामिटर '5' हुन्छ)
  thumb_image	सेवा जानकारी
  remote_resource	प्रेषक आईडी (समूह च्याटका लागि मात्र)
  प्राप्त_टाइमस्ट्याम्प	प्राप्तिको समय, Unix Epoch Time (ms) ढाँचामा टाइमस्ट्याम्प समावेश गर्दछ, मान उपकरण घडीबाट लिइन्छ (जब 'key_from_me' प्यारामिटरमा '0', '-1' वा अन्य मान हुन्छ)
  send_timestamp	प्रयोग नगरिएको, सामान्यतया मान '-1' हुन्छ
  receipt_server_timestamp	केन्द्रीय सर्भर द्वारा प्राप्त समय, Unix Epoch Time (ms) ढाँचामा टाइमस्ट्याम्प समावेश गर्दछ, मान उपकरण घडीबाट लिइन्छ (जब 'key_from_me' प्यारामिटरमा '1', '-1' वा अन्य मान हुन्छ।
  receipt_device_timestamp	अर्को ग्राहकले सन्देश प्राप्त गरेको समय, युनिक्स एपोच टाइम (ms) ढाँचामा टाइमस्ट्याम्प समावेश गर्दछ, मान उपकरण घडीबाट लिइन्छ (जब 'key_from_me' प्यारामिटरमा '1', '-1' वा अर्को मान हुन्छ।
  read_device_timestamp	सन्देश खोल्ने (पढ्ने) समय, युनिक्स एपोच टाइम (एमएस) ढाँचामा टाइमस्ट्याम्प समावेश गर्दछ, मान उपकरण घडीबाट लिइन्छ।
  play_device_timestamp	सन्देश प्लेब्याक समय, Unix Epoch Time (ms) ढाँचामा टाइमस्ट्याम्प समावेश गर्दछ, मान उपकरण घडीबाट लिइन्छ
  प्राथमिक तथ्यांक	स्थानान्तरण गरिएको फाइलको थम्बनेल (जब 'media_wa_type' प्यारामिटर '1' वा '3' हुन्छ)
  प्राप्तकर्ता_गणना	प्राप्तकर्ताहरूको संख्या (प्रसारण सन्देशहरूको लागि)
  participant_hash	जियोडाटाको साथ सन्देशहरू प्रसारण गर्दा प्रयोग गरिन्छ
  तारांकित	प्रयोग भएको छैन
  quoted_row_id	अज्ञात, सामान्यतया मान '0' समावेश गर्दछ
  उल्लेख_jids	प्रयोग भएको छैन
  multicast_id	प्रयोग भएको छैन
  अफसेट	पूर्वाग्रह

  क्षेत्रहरूको यो सूची पूर्ण छैन। WhatsApp को बिभिन्न संस्करणहरु को लागी, केहि क्षेत्रहरु उपस्थित वा अनुपस्थित हुन सक्छ। थप रूपमा, क्षेत्रहरू उपस्थित हुन सक्छ 'media_enc_hash', 'सम्पादन_संस्करण', 'भुक्तानी_लेनदेन_आईडी' र यति।

• 'messages_thumbnails'
  यो तालिकामा स्थानान्तरण गरिएका छविहरू र टाइमस्ट्याम्पहरू बारे जानकारी समावेश छ। 'टाइमस्ट्याम्प' स्तम्भमा, समय युनिक्स एपोच टाइम (ms) ढाँचामा संकेत गरिएको छ।
• 'chat_list'
  यो तालिकाले च्याट बारे जानकारी समावेश गर्दछ।

  तालिका उपस्थिति:

  

साथै, एन्ड्रोइड चलिरहेको मोबाइल उपकरणमा व्हाट्सएप जाँच गर्दा, तपाईंले निम्न फाइलहरूमा ध्यान दिनुपर्छ:

• फाइल 'msgstore.db.cryptXX' (जहाँ XX ० देखि १२ सम्मको एक वा दुई अंक हो, उदाहरणका लागि, msgstore.db.crypt0)। व्हाट्सएप सन्देशहरूको इन्क्रिप्टेड ब्याकअप समावेश गर्दछ (ब्याकअप फाइल msgstore.db)। फाइल(हरू) 'msgstore.db.cryptXX' बाटोमा अवस्थित: '/data/media/0/WhatsApp/Databases/' (भर्चुअल एसडी कार्ड), '/mnt/sdcard/WhatsApp/Databases/ (भौतिक एसडी कार्ड)'।
• फाइल 'कुञ्जी'। एउटा क्रिप्टोग्राफिक कुञ्जी समावेश गर्दछ। बाटोमा अवस्थित: '/data/data/com.whatsapp/files/'। एन्क्रिप्टेड WhatsApp ब्याकअपहरू डिक्रिप्ट गर्न प्रयोग गरिन्छ।
• फाइल 'com.whatsapp_preferences.xml'। तपाईंको WhatsApp खाता प्रोफाइल बारे जानकारी समावेश गर्दछ। फाइल बाटोमा अवस्थित छ: '/data/data/com.whatsapp/shared_prefs/'.

  फाइल सामग्री टुक्रा

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• फाइल 'registration.RegisterPhone.xml'। WhatsApp खातासँग सम्बन्धित फोन नम्बर बारे जानकारी समावेश गर्दछ। फाइल बाटोमा अवस्थित छ: '/data/data/com.whatsapp/shared_prefs/'.

  फाइल सामग्री

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• फाइल 'axolotl.db'। खाता मालिक पहिचान गर्न आवश्यक क्रिप्टोग्राफिक कुञ्जीहरू र अन्य डेटा समावेश गर्दछ। बाटोमा अवस्थित: '/data/data/com.whatsapp/databases/'.
• फाइल 'chatsettings.db'। अनुप्रयोग कन्फिगरेसन जानकारी समावेश गर्दछ।
• फाइल 'wa.db'। सम्पर्क विवरणहरू समावेश छन्। एक धेरै रोचक (फरेन्सिक पक्षबाट) र जानकारीमूलक डाटाबेस। यसले मेटाइएका सम्पर्कहरूको बारेमा विस्तृत जानकारी समावेश गर्न सक्छ।

तपाईंले निम्न डाइरेक्टरीहरूमा पनि ध्यान दिन आवश्यक छ:

• निर्देशिका '/data/media/0/WhatsApp/Media/WhatsApp Images/'। ट्रान्सफर गरिएको ग्राफिक फाइलहरू समावेश गर्दछ।
• निर्देशिका '/data/media/0/WhatsApp/Media/WhatsApp भ्वाइस नोट्स/'। OPUS ढाँचा फाइलहरूमा भ्वाइस सन्देशहरू समावेश गर्दछ।
• निर्देशिका '/data/data/com.whatsapp/cache/Profile Pictures/'। ग्राफिक फाइलहरू - सम्पर्कहरूको छविहरू समावेश गर्दछ।
• निर्देशिका '/data/data/com.whatsapp/files/Avatars/'। ग्राफिक फाइलहरू समावेश गर्दछ - सम्पर्कहरूको थम्बनेल छविहरू। यी फाइलहरूमा '.j' विस्तार छ तर जेपीजी (JPG) छवि फाइलहरू हुन्।
• निर्देशिका '/data/data/com.whatsapp/files/Avatars/'। ग्राफिक फाइलहरू समावेश गर्दछ - खाता मालिकले अवतारको रूपमा सेट गरेको छवि र छविको थम्बनेल।
• निर्देशिका '/data/data/com.whatsapp/files/Logs/'। कार्यक्रम सञ्चालन लग (फाइल 'whatsapp.log') र कार्यक्रम सञ्चालन लगहरूको जगेडा प्रतिलिपिहरू (whatsapp-yyyy-mm-dd.1.log.gz ढाँचामा नामहरू भएका फाइलहरू) समावेश गर्दछ।

व्हाट्सएप लग फाइलहरू:

जर्नल टुक्रा2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [१:मुख्य] ​​पासवर्ड फाइल हराइरहेको वा पढ्न नसकिने
2017-01-10 09:37:09.782 LL_I D [1:main] तथ्याङ्क पाठ सन्देशहरू: 59 पठाइयो, 82 प्राप्त भयो / मिडिया सन्देशहरू: 1 पठाइयो (0 बाइट्स), 0 प्राप्त भयो (9850158 बाइट्स) / अफलाइन सन्देशहरू: 81 प्राप्त भयो ( 19522 msec औसत ढिलाइ) / सन्देश सेवा: 116075 बाइटहरू पठाइयो, 211729 बाइटहरू प्राप्त भयो / Voip कलहरू: 1 बहिर्गमन कलहरू, 0 आगमन कलहरू, 2492 बाइटहरू पठाइयो, 1530 बाइटहरू प्राप्त भयो / Google ड्राइभ: 0 बाइटहरू पठाइयो, 0 बाइटहरू प्राप्त भयो / Ro1524am बाइटहरू पठाइयो, 1826 बाइटहरू प्राप्त भयो / कुल डाटा: 118567 बाइटहरू पठाइयो, 10063417 बाइटहरू प्राप्त भयो
2017-01-10 09:37:09.785 LL_I D [1:main] media-stat-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/संस्करण 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | समय बित्यो: 8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage उपलब्ध:1,345,622,016 कुल:5,687,922,688

• निर्देशिका '/data/media/0/WhatsApp/Media/WhatsApp अडियो/'। प्राप्त अडियो फाइलहरू समावेश गर्दछ।
• निर्देशिका '/data/media/0/WhatsApp/Media/WhatsApp अडियो/Sent/'। पठाइएको अडियो फाइलहरू समावेश गर्दछ।
• निर्देशिका '/data/media/0/WhatsApp/Media/WhatsApp Images/'। परिणामस्वरूप ग्राफिक फाइलहरू समावेश गर्दछ।
• निर्देशिका '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'। पठाइएको ग्राफिक फाइलहरू समावेश गर्दछ।
• निर्देशिका '/data/media/0/WhatsApp/Media/WhatsApp Video/'। प्राप्त भिडियो फाइलहरू समावेश छन्।
• निर्देशिका '/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/'। पठाइएको भिडियो फाइलहरू समावेश गर्दछ।
• निर्देशिका '/data/media/0/WhatsApp/Media/WhatsApp प्रोफाइल फोटोहरू/'। WhatsApp खाताको मालिकसँग सम्बन्धित ग्राफिक फाइलहरू समावेश गर्दछ।
• तपाईको एन्ड्रोइड स्मार्टफोनमा मेमोरी स्पेस बचत गर्न, केहि व्हाट्सएप डाटा SD कार्डमा भण्डारण गर्न सकिन्छ। एसडी कार्डमा, रूट डाइरेक्टरीमा, त्यहाँ एउटा डाइरेक्टरी छ 'व्हाट्सएप', जहाँ यस कार्यक्रमको निम्न कलाकृतिहरू फेला पार्न सकिन्छ:

  

• निर्देशिका 'शेयर गर्नुहोस्' ('/mnt/sdcard/WhatsApp/.Share/')। अन्य व्हाट्सएप प्रयोगकर्ताहरूसँग साझेदारी गरिएका फाइलहरूको प्रतिलिपिहरू समावेश गर्दछ।
• निर्देशिका '. रद्दी टोकरी' ('/mnt/sdcard/WhatsApp/.trash/')। मेटाइएका फाइलहरू समावेश छन्।
• निर्देशिका 'डाटाबेस' ('/mnt/sdcard/WhatsApp/Databases/')। एन्क्रिप्टेड ब्याकअपहरू समावेश छन्। यदि फाइल अवस्थित छ भने तिनीहरू डिक्रिप्ट गर्न सकिन्छ 'कुञ्जी', विश्लेषण गरिएको यन्त्रको मेमोरीबाट निकालिएको।

  उपनिर्देशिकामा अवस्थित फाइलहरू 'डाटाबेस':

  

• निर्देशिका 'आधा' ('/mnt/sdcard/WhatsApp/Media/')। उपनिर्देशिकाहरू समावेश छन् 'वालपेपर', 'व्हाट्सएप अडियो', 'व्हाट्सएप छविहरू', 'व्हाट्सएप प्रोफाइल फोटोहरू', 'व्हाट्सएप भिडियो', 'व्हाट्सएप भ्वाइस नोट्स', जसमा प्राप्त र प्रसारित मल्टिमिडिया फाइलहरू (ग्राफिक्स फाइलहरू, भिडियो फाइलहरू, भ्वाइस सन्देशहरू, WhatsApp खाता मालिकको प्रोफाइलसँग सम्बन्धित फोटोहरू, वालपेपरहरू) समावेश छन्।
• निर्देशिका 'प्रोफाइल चित्रहरू' ('/mnt/sdcard/WhatsApp/Profile Pictures/')। WhatsApp खाता मालिकको प्रोफाइलसँग सम्बन्धित ग्राफिक फाइलहरू समावेश गर्दछ।
• कहिलेकाहीँ त्यहाँ SD कार्डमा डाइरेक्टरी उपस्थित हुन सक्छ 'फाइलहरू' ('/mnt/sdcard/WhatsApp/Files/')। यो डाइरेक्टरीले प्रोग्राम सेटिङहरू र प्रयोगकर्ता प्राथमिकताहरू भण्डारण गर्ने फाइलहरू समावेश गर्दछ।

मोबाइल उपकरणका केही मोडेलहरूमा डाटा भण्डारणका सुविधाहरू

एन्ड्रोइड ओएस चलाउने मोबाइल उपकरणका केही मोडेलहरूले व्हाट्सएप कलाकृतिहरूलाई फरक स्थानमा भण्डारण गर्न सक्छन्। यो मोबाइल उपकरणको प्रणाली सफ्टवेयर द्वारा आवेदन डाटा को भण्डारण ठाउँ मा परिवर्तन को कारण हो। उदाहरणका लागि, Xiaomi मोबाइल उपकरणहरूमा दोस्रो कार्यस्थान ("सेकेन्डस्पेस") सिर्जना गर्ने कार्य छ। जब यो प्रकार्य सक्रिय हुन्छ, डाटाको स्थान परिवर्तन हुन्छ। त्यसोभए, यदि एन्ड्रोइड ओएस चलिरहेको नियमित मोबाइल उपकरणमा प्रयोगकर्ता डाटा डाइरेक्टरीमा भण्डारण गरिन्छ '/data/user/0/' (जुन सामान्य सन्दर्भ हो '/data/data/'), त्यसपछि दोस्रो कार्यस्थानमा अनुप्रयोग डाटा डाइरेक्टरीमा भण्डारण गरिन्छ '/data/user/10/'। त्यो हो, फाइल स्थान को उदाहरण प्रयोग गरेर 'wa.db':

• एन्ड्रोइड ओएस चल्ने नियमित स्मार्टफोनमा: /data/user/0/com.whatsapp/databases/wa.db' (जुन बराबर छ '/data/data/com.whatsapp/databases/wa.db');
• Xiaomi स्मार्टफोनको दोस्रो कार्यक्षेत्रमा: '/data/user/10/com.whatsapp/databases/wa.db'.

iOS उपकरणमा WhatsApp कलाकृतिहरू

एन्ड्रोइड ओएसको विपरीत, आईओएसमा व्हाट्सएप अनुप्रयोग डाटा ब्याकअप प्रतिलिपि (iTunes ब्याकअप) मा स्थानान्तरण गरिन्छ। तसर्थ, यस अनुप्रयोगबाट डाटा निकाल्न फाइल प्रणाली निकाल्न वा अनुसन्धान अन्तर्गत उपकरणको भौतिक मेमोरी डम्प सिर्जना गर्न आवश्यक पर्दैन। धेरै सान्दर्भिक जानकारी डाटाबेसमा समावेश छ 'ChatStorage.sqlite', जुन बाटोमा अवस्थित छ: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (केही कार्यक्रमहरूमा यो मार्ग यस्तो देखिन्छ 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').

संरचना 'ChatStorage.sqlite':

'ChatStorage.sqlite' डाटाबेसमा सबैभन्दा जानकारीपूर्ण तालिकाहरू हुन् 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.

तालिका उपस्थिति 'ZWAMESSAGE':

तालिका 'ZWAMESSAGE' को संरचना

क्षेत्रको नाम	मूल्य
Z_PK	रेकर्ड अनुक्रम संख्या (SQL तालिकामा)
Z_ENT	तालिका पहिचानकर्ता, मान '9' छ
Z_OPT	अज्ञात, सामान्यतया '1' देखि '6' सम्मका मानहरू समावेश हुन्छन्
ZCHILDMESSAGESDELIVEREDCOUNT	अज्ञात, सामान्यतया मान '0' समावेश गर्दछ
ZCHILDMESSAGESPLAYEDCOUNT	अज्ञात, सामान्यतया मान '0' समावेश गर्दछ
ZCHILDMESSAGESREADCOUNT	अज्ञात, सामान्यतया मान '0' समावेश गर्दछ
ZDATAITEMVERSION	अज्ञात, सामान्यतया मान '3' समावेश गर्दछ, सायद पाठ सन्देश सूचक
ZDOCID	अज्ञात छ
ZENCRETRYCOUNT	अज्ञात, सामान्यतया मान '0' समावेश गर्दछ
ZFILTEREDRECIPIENTCOUNT	अज्ञात, सामान्यतया मानहरू '0', '2', '256' समावेश गर्दछ
ZISFROMME	सन्देश दिशा: '0' - आगमन, '1' - बहिर्गमन
ZMESSAGEERRORSTATUS	सन्देश प्रसारण स्थिति। यदि सन्देश पठाइयो/प्राप्त भयो भने, त्यसको मान '०' हुन्छ
ZMESSAGETYPE	पठाइने सन्देशको प्रकार
ZSORT	अज्ञात छ
ZSPOTLIGHSTATUS	अज्ञात छ
ZSTARRED	अज्ञात, प्रयोग गरिएको छैन
ZCHATSESSION	अज्ञात छ
ZGROUPMEMBER	अज्ञात, प्रयोग गरिएको छैन
ZLASTSESSION	अज्ञात छ
ZMEDIAITEM	अज्ञात छ
ZMESSAGEINFO	अज्ञात छ
ZPARENTMESSAGE	अज्ञात, प्रयोग गरिएको छैन
ZMESSAGEDATE	OS X Epoch Time ढाँचामा टाइमस्ट्याम्प
ZSENTDATE	OS X Epoch Time ढाँचामा सन्देश पठाइएको समय
ZFROMJID	व्हाट्सएप प्रेषक आईडी
ZMEDIASECTIONID	मिडिया फाइल पठाइएको वर्ष र महिना समावेश गर्दछ
ZPHASH	अज्ञात, प्रयोग गरिएको छैन
ZPUSHPAME	UTF-8 ढाँचामा मिडिया फाइल पठाउने सम्पर्कको नाम
ZSTANZID	अद्वितीय सन्देश पहिचानकर्ता
ZTEXT	सन्देश पाठ
ZTOJID	प्राप्तकर्ताको व्हाट्सएप आईडी
OFFSET	पूर्वाग्रह

तालिका उपस्थिति 'ZWAMEDIAITEM':

'ZWAMEDIAITEM' तालिकाको संरचना

क्षेत्रको नाम	मूल्य
Z_PK	रेकर्ड अनुक्रम संख्या (SQL तालिकामा)
Z_ENT	तालिका पहिचानकर्ता, मान '8' छ
Z_OPT	अज्ञात, सामान्यतया '1' देखि '3' सम्मका मानहरू समावेश हुन्छन्।
ZCLOUDSTATUS	यदि फाइल लोड गरिएको छ भने मान '4' समावेश गर्दछ।
ZFILESIZE	डाउनलोड गरिएका फाइलहरूको लागि फाइल लम्बाइ (बाइटमा) समावेश गर्दछ
ZMEDIAORIGIN	अज्ञात, सामान्यतया मान '0' हुन्छ
ZMOVIEDURATION	मिडिया फाइलको अवधि, pdf फाइलहरूको लागि कागजातको पृष्ठहरूको संख्या समावेश हुन सक्छ
ZMESSAGE	सिरियल नम्बर समावेश गर्दछ (संख्या 'Z_PK' स्तम्भमा संकेत गरिएको भन्दा फरक छ)
ZASPECTRATIO	पक्ष अनुपात, प्रयोग नगरिएको, सामान्यतया '०' मा सेट
ZHACCURACY	अज्ञात, सामान्यतया मान '0' हुन्छ
ZLATTITUDE	पिक्सेलमा चौडाइ
ZLONGTITUDE	पिक्सेलमा उचाइ
ZMEDIAURLDATE	OS X Epoch Time ढाँचामा टाइमस्ट्याम्प
ZAUTHORNAME	लेखक (कागजातहरूको लागि, फाइल नाम समावेश हुन सक्छ)
ZCOLLECTIONNAME	प्रयोग भएको छैन
ZMEDIALOCALPATH	यन्त्र फाइल प्रणालीमा फाइल नाम (पथ सहित)
ZMEDIAURL	URL जहाँ मिडिया फाइल अवस्थित थियो। यदि फाइल एक ग्राहकबाट अर्कोमा स्थानान्तरण गरिएको थियो भने, यो इन्क्रिप्ट गरिएको थियो र यसको विस्तारलाई हस्तान्तरण गरिएको फाइलको विस्तारको रूपमा संकेत गरिनेछ - .enc
ZTHUMBNAILLOCALPATH	यन्त्र फाइल प्रणालीमा फाइल थम्बनेलमा जाने बाटो
ZTITLE	फाइल हेडर
ZVCARDNAME	मिडिया फाइलको ह्यास; समूहमा फाइल स्थानान्तरण गर्दा, यसमा प्रेषक पहिचानकर्ता समावेश हुन सक्छ
ZVCARDSTRING	फाइलको प्रकारको बारेमा जानकारी समावेश गर्दछ (उदाहरणका लागि, छवि/jpeg); समूहमा फाइल स्थानान्तरण गर्दा, यसमा प्राप्तकर्ताको पहिचानकर्ता समावेश हुन सक्छ।
ZXMPPTHUMBPATH	यन्त्र फाइल प्रणालीमा फाइल थम्बनेलमा जाने बाटो
ZMEDIAKEY	अज्ञात, सायद गुप्तिकरण फाइल डिक्रिप्ट गर्न कुञ्जी समावेश गर्दछ।
ZMETADATA	प्रसारित सन्देशको मेटाडेटा
ओफसेट	पूर्वाग्रह

अन्य रोचक डाटाबेस तालिकाहरू 'ChatStorage.sqlite' हो:

• 'ZWAPROFILEPUSHNAME'। सम्पर्क नामसँग व्हाट्सएप आईडी मिल्छ;
• 'ZWAPROFILEPICTUREITEM'। सम्पर्क अवतारसँग व्हाट्सएप आईडी मिल्छ;
• 'Z_PRIMARYKEY'। तालिकाले यस डाटाबेसको बारेमा सामान्य जानकारी समावेश गर्दछ, जस्तै भण्डारण गरिएका सन्देशहरूको कुल संख्या, च्याटहरूको कुल संख्या, आदि।

साथै, iOS चलिरहेको मोबाइल उपकरणमा व्हाट्सएप जाँच गर्दा, तपाईंले निम्न फाइलहरूमा ध्यान दिनुपर्छ:

• फाइल 'BackedUpKeyValue.sqlite'। खाता मालिक पहिचान गर्न आवश्यक क्रिप्टोग्राफिक कुञ्जीहरू र अन्य डेटा समावेश गर्दछ। बाटोमा अवस्थित: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• फाइल 'ContactsV2.sqlite'। प्रयोगकर्ताको सम्पर्कहरू बारे जानकारी समावेश गर्दछ, जस्तै पूरा नाम, फोन नम्बर, सम्पर्क स्थिति (पाठ फारममा), WhatsApp ID, आदि। बाटोमा अवस्थित: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• फाइल 'उपभोक्ता_संस्करण'। स्थापना गरिएको WhatsApp अनुप्रयोगको संस्करण नम्बर समावेश गर्दछ। बाटोमा अवस्थित: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• फाइल 'current_wallpaper.jpg'। हालको WhatsApp पृष्ठभूमि वालपेपर समावेश गर्दछ। बाटोमा अवस्थित: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/। एप्लिकेसनको पुरानो संस्करणहरूले फाइल प्रयोग गर्दछ 'वालपेपर', जुन बाटोमा अवस्थित छ: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
• फाइल 'blockedcontacts.dat'। अवरुद्ध सम्पर्कहरू बारे जानकारी समावेश गर्दछ। बाटोमा अवस्थित: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• फाइल 'pw.dat'। एन्क्रिप्टेड पासवर्ड समावेश गर्दछ। बाटोमा अवस्थित: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
• फाइल 'net.whatsapp.WhatsApp.plist' (वा फाइल 'group.net.whatsapp.WhatsApp.shared.plist')। तपाईंको WhatsApp खाता प्रोफाइल बारे जानकारी समावेश गर्दछ। फाइल बाटोमा अवस्थित छ: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

'group.net.whatsapp.WhatsApp.shared.plist' फाइलको सामग्रीहरू
तपाईंले निम्न डाइरेक्टरीहरूमा पनि ध्यान दिन आवश्यक छ:

• निर्देशिका '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'। सम्पर्कहरू, समूहहरूको थम्बनेलहरू समावेश गर्दछ (विस्तारसँग फाइलहरू .थम्ब), सम्पर्क अवतारहरू, व्हाट्सएप खाता मालिक अवतार (फाइल 'Photo.jpg').
• निर्देशिका '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'। मल्टिमिडिया फाइलहरू र तिनीहरूको थम्बनेलहरू समावेश गर्दछ
• निर्देशिका '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'। कार्यक्रम सञ्चालन लग समावेश गर्दछ (फाइल 'calls.log') र कार्यक्रम सञ्चालन लगहरूको जगेडा प्रतिलिपिहरू (फाइल 'calls.backup.log').
• निर्देशिका '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'। स्टिकरहरू समावेश गर्दछ (ढाँचामा फाइलहरू '.webp').
• निर्देशिका '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'। कार्यक्रम सञ्चालन लगहरू समावेश गर्दछ।

विन्डोजमा व्हाट्सएप कलाकृतिहरू

विन्डोजमा व्हाट्सएप कलाकृतिहरू धेरै ठाउँहरूमा फेला पार्न सकिन्छ। सबै भन्दा पहिले, यी निष्पादन योग्य र सहायक प्रोग्राम फाइलहरू (Windows 8/10 का लागि) समावेश निर्देशिकाहरू हुन्:

• 'C: प्रोग्राम फाइलहरू (x86) व्हाट्सएप'
• 'C: प्रयोगकर्ताहरू% प्रयोगकर्ता प्रोफाइल% AppDataLocalWhatsApp'
• 'C:Users% User profile% AppDataLocalVirtualStore प्रोग्राम फाइलहरू (x86) WhatsApp'

सूचीमा 'C: प्रयोगकर्ताहरू% प्रयोगकर्ता प्रोफाइल% AppDataLocalWhatsApp' लग फाइल अवस्थित छ 'SquirrelSetup.log', जसमा अपडेटहरू जाँच गर्ने र प्रोग्राम स्थापना गर्ने बारे जानकारी समावेश छ।

सूचीमा 'C: Users% User profile% AppDataRoamingWhatsApp' त्यहाँ धेरै उपनिर्देशिकाहरू छन्:

फाइल 'main-process.log' WhatsApp कार्यक्रम को सञ्चालन बारे जानकारी समावेश गर्दछ।

उपनिर्देशिका 'डाटाबेस' फाइल समावेश गर्दछ 'Databases.db', तर यो फाइलले च्याट वा सम्पर्कहरू बारे कुनै जानकारी समावेश गर्दैन।

फोरेन्सिक दृष्टिकोणबाट सबैभन्दा रोचक निर्देशिकामा रहेका फाइलहरू हुन् 'क्यास'। यी मूलतः नाम गरिएका फाइलहरू हुन् 'f_*******' (जहाँ * ० देखि ९ सम्मको संख्या हो) जसमा एन्क्रिप्टेड मल्टिमिडिया फाइलहरू र कागजातहरू छन्, तर तिनीहरूका बीचमा गुप्तिकरण नगरिएका फाइलहरू पनि छन्। विशेष चासोका फाइलहरू हुन् 'data_0', 'data_1', 'data_2', 'data_3', एउटै उपनिर्देशिका मा स्थित। फाइलहरू 'data_0', 'data_1', 'data_3' ट्रान्समिटेड इन्क्रिप्टेड मल्टिमिडिया फाइलहरू र कागजातहरूमा बाह्य लिङ्कहरू समावेश गर्दछ।

फाइल 'data_1' मा समावेश जानकारीको उदाहरण
फाइल पनि 'data_3' ग्राफिक फाइलहरू समावेश हुन सक्छ।

फाइल 'data_2' सम्पर्क अवतारहरू समावेश गर्दछ (फाइल हेडरहरू खोजी गरेर पुनर्स्थापित गर्न सकिन्छ)।

फाइलमा समावेश अवतारहरू 'data_2':

तसर्थ, च्याटहरू आफैं कम्प्युटरको मेमोरीमा फेला पार्न सकिँदैन, तर तपाईंले फेला पार्न सक्नुहुन्छ:

• मल्टिमिडिया फाइलहरू;
• व्हाट्सएप मार्फत हस्तान्तरण गरिएका कागजातहरू;
• खाता मालिकको सम्पर्क बारे जानकारी।

MacOS मा WhatsApp कलाकृतिहरू

MacOS मा तपाईंले Windows OS मा पाइने जस्तै व्हाट्सएप कलाकृतिहरू फेला पार्न सक्नुहुन्छ।

कार्यक्रम फाइलहरू निम्न डाइरेक्टरीहरूमा अवस्थित छन्:

• 'C:ApplicationsWhatsApp.app'
• 'C:Applications._WhatsApp.app'
• 'C: प्रयोगकर्ताहरू% प्रयोगकर्ता प्रोफाइल% पुस्तकालय प्राथमिकताहरू'
• 'C:Users% User profile% LibraryLogsWhatsApp'
• 'C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState'
• 'C:Users% User profile% LibraryApplication Scripts'
• 'C:Users% User profile% LibraryApplication SupportCloudDocs'
• 'C:Users% User profile% LibraryApplication SupportWhatsApp.ShipIt'
• 'C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
• 'C:Users% User profile% Library Mobile Documents <text variable> WhatsApp Accounts'
  यस डाइरेक्टरीले उपनिर्देशिकाहरू समावेश गर्दछ जसका नामहरू WhatsApp खाताको मालिकसँग सम्बन्धित फोन नम्बरहरू हुन्।
• 'C:Users%User profile%LibraryCachesWhatsApp.ShipIt'
  यो डाइरेक्टरीले प्रोग्राम स्थापना गर्ने बारे जानकारी समावेश गर्दछ।
• 'C:Users% User profile% PicturesiPhoto Library.photolibraryMasters', 'C:Users% User profile% PicturesiPhoto Library.photolibraryThumbnails'
  यी डाइरेक्टरीहरूले कार्यक्रमको सेवा फाइलहरू समावेश गर्दछ, फोटोहरू र व्हाट्सएप सम्पर्कहरूको थम्बनेलहरू सहित।
• 'C:Users% User profile% LibraryCachesWhatsApp'
  यो डाइरेक्टरीले धेरै SQLite डाटाबेसहरू समावेश गर्दछ जुन डाटा क्यासिङका लागि प्रयोग गरिन्छ।
• 'C: Users% User profile% LibraryApplication SupportWhatsApp'
  यो डाइरेक्टरीले धेरै उपनिर्देशिकाहरू समावेश गर्दछ:

  
  सूचीमा 'C:Users% User profile% LibraryApplication SupportWhatsAppCache' त्यहाँ फाइलहरू छन् 'data_0', 'data_1', 'data_2', 'data_3' र नाम सहित फाइलहरू 'f_*******' (जहाँ * ० देखि ९ सम्मको संख्या हो)। यी फाइलहरूमा कुन जानकारी समावेश छ भन्ने जानकारीको लागि, Windows मा WhatsApp कलाकृतिहरू हेर्नुहोस्।

  सूचीमा 'C:Users% User profile% LibraryApplication SupportWhatsAppIndexedDB' मल्टिमिडिया फाइलहरू समावेश हुन सक्छ (फाइलहरूमा कुनै विस्तार छैन)।

  फाइल 'main-process.log' WhatsApp कार्यक्रम को सञ्चालन बारे जानकारी समावेश गर्दछ।

स्रोतहरू

1. एन्ड्रोइड स्मार्टफोनमा व्हाट्सएप मेसेन्जरको फोरेन्सिक विश्लेषण, कोसिमो एङ्गलानो, २०१४ द्वारा।
2. व्हाट्सएप फोरेन्सिक्स: अहमद प्रतामा, २०१४ द्वारा एन्ड्रोइड र आईओएस प्रयोग गर्ने डाटाको आधारमा डाटा उपलब्ध गराउने प्रणालीहरू।

यस श्रृंखलामा निम्न लेखहरूमा:

एन्क्रिप्टेड WhatsApp डाटाबेस को डिक्रिप्शनएउटा लेख जसले व्हाट्सएप इन्क्रिप्शन कुञ्जी कसरी उत्पन्न हुन्छ र यस अनुप्रयोगको इन्क्रिप्टेड डाटाबेसहरू कसरी डिक्रिप्ट गर्ने भनेर देखाउने व्यावहारिक उदाहरणहरू बारे जानकारी प्रदान गर्दछ।
क्लाउड भण्डारणबाट WhatsApp डाटा निकाल्दैएउटा लेख जसमा हामी तपाईलाई बताउनेछौं कि क्लाउडमा कुन व्हाट्सएप डाटा भण्डार गरिएको छ र क्लाउड भण्डारहरूबाट यो डाटा पुन: प्राप्त गर्ने विधिहरू वर्णन गर्दछौं।
व्हाट्सएप डेटा निकासी: व्यावहारिक उदाहरणहरूएउटा लेख जसले चरण-दर-चरण वर्णन गर्नेछ कुन प्रोग्रामहरू र कसरी विभिन्न उपकरणहरूबाट व्हाट्सएप डाटा निकाल्ने।

स्रोत: www.habr.com