Агар шумо хоҳед, ки бидонед, ки кадом намудҳои артефактҳои судии WhatsApp дар системаҳои гуногуни оператсионӣ мавҷуданд ва онҳоро маҳз дар куҷо пайдо кардан мумкин аст, пас шумо дар ин ҷо ҳастед. Бо ин макола мутахассиси лабораторияи криминалистии компютерии Group-IB Игорь Михайлов як силсила мақолаҳоро дар бораи тафтишоти судии WhatsApp ва аз таҳлили дастгоҳ чӣ гуна маълумот гирифтан мумкин аст мекушояд.
Мо фавран қайд мекунем, ки намудҳои гуногуни артефактҳои WhatsApp дар системаҳои гуногуни оператсионӣ нигоҳ дошта мешаванд ва агар муҳаққиқ метавонад намудҳои муайяни маълумоти WhatsApp-ро аз як дастгоҳ истихроҷ кунад, ин маънои онро надорад, ки намудҳои шабеҳи маълумотро аз дастгоҳи дигар истихроҷ кардан мумкин аст. Масалан, агар як воҳиди системавӣ, ки дар Windows кор мекунад, хориҷ карда шавад, пас эҳтимолан чатҳои WhatsApp дар дискҳои он пайдо намешаванд (истисно нусхаҳои эҳтиётии дастгоҳҳои iOS мебошад, ки дар ҳамон дискҳо пайдо мешаванд). Ҳангоми мусодираи ноутбукҳо ва дастгоҳҳои мобилӣ, баъзе хусусиятҳо мавҷуданд. Биёед дар ин бора муфассалтар гап занем.
Артефактҳои Whatsapp дар дастгоҳи Android
Барои аз дастгоҳи Android истихроҷи артефактҳои WhatsApp, муҳаққиқ бояд имтиёзҳои реша дошта бошад ('реша') дар дастгоҳе, ки мавриди таҳқиқ қарор дорад, ё қодир ба таври дигар партовҳои физикии хотираи дастгоҳ ё системаи файлии онро (масалан, бо истифода аз осебпазирии нармафзор дар дастгоҳи мушаххаси мобилӣ) истихроҷ кунед.
Файлҳои барнома дар хотираи телефон дар қисмате ҷойгир шудаанд, ки маълумоти корбар захира карда мешавад. Одатан, ин бахш ном дорад 'маълумоти корбар'. Зеркаталогҳо ва файлҳои барнома дар роҳ ҷойгир шудаанд: '/data/data/com.whatsapp/'.
Файлҳои асосӣ, ки дорои артефактҳои криминалистии WhatsApp дар OS Android мебошанд, пойгоҳи додаҳо мебошанд 'wa.db' и 'msgstore.db'.
Дар базаи маълумот 'wa.db' дорои рӯйхати пурраи тамосҳои корбар дар WhatsApp, аз ҷумла рақами телефон, номи намоиш, тамғаҳои вақт ва ҳама гуна маълумоти дигаре, ки ҳангоми сабти ном дар WhatsApp пешниҳод карда мешаванд. Файл 'wa.db' дар қад-қади роҳ ҷойгир шудааст: '/data/data/com.whatsapp/databases/' ва дорои сохтори зерин:
Ҷадвалҳои ҷолибтарин дар пойгоҳи додаҳо 'wa.db' барои муҳаққиқ инҳоянд:
- 'wa_contacts'
Ин ҷадвал дорои маълумоти тамос аст: ID тамоси whatsapp, маълумоти вазъ, номи намоиши корбар, тамғаҳои вақт ва ғайра.Намуди ҷадвал:
Сохтори ҷадвалНоми майдон арзиши _id рақами сабт (дар ҷадвали SQL) ҷид ID тамоси WhatsApp, ки дар формати <рақами телефон>@s.whatsapp.net навишта шудааст истифодабарандаи_whatsapp аст дорои '1' аст, агар тамос корбари воқеии WhatsApp бошад, дар акси ҳол '0' њолати дорои матни дар ҳолати тамос нишон додашуда ҳолати_вақт дорои тамғаи вақт дар формати Unix Epoch Time (ms) мебошад шумора рақами телефоне, ки бо тамос алоқаманд аст raw_contact_id рақами тамос бозтоби ном номи намоиши тамос навъи телефон навъи телефон нишони телефон нишонае, ки бо рақами тамос алоқаманд аст _шумораи_хабарҳо шумораи паёмҳое, ки аз ҷониби мухотиб фиристода шудаанд, вале аз ҷониби қабулкунанда хонда нашудаанд photo_ts дорои тамғаи вақт дар формати Unix Epoch Time мебошад ангуштони ангушт дорои тамғаи вақт дар формати Unix Epoch Time мебошад photo_id_tamp дорои тамғаи вақт дар формати Unix Epoch Time (ms) мебошад Ном арзиши майдон ба 'display_name' барои ҳар як тамос мувофиқат мекунад ва_ном Номи тамоси Whatsapp (номро дар профили мухотиб нишон медиҳад) навъ_ном номи тамос, ки дар амалиёти ҷудокунӣ истифода мешавад Номаълум лақаби WhatsApp-и тамос (лақаби дар профили мухотибон нишондодашударо нишон медиҳад) ширкат ширкат (ширкатеро, ки дар профили мухотиб номбар шудааст, нишон медиҳад) ном унвон (Хонум/Ҷаноб; унвонеро, ки дар профили мухотиб танзим шудааст, нишон медиҳад) фарсуда ғаразнок - 'sqlite_sequence'
Дар ин ҷадвал маълумот дар бораи шумораи мухотибон мавҷуд аст; - 'android_metdata'
Дар ин ҷадвал маълумот дар бораи маҳаллисозии забони WhatsApp мавҷуд аст.
Дар базаи маълумот 'msgstore.db' дорои маълумот дар бораи паёмҳои интиқолшуда, аз қабили рақами тамос, матни паём, ҳолати паём, тамғаҳои вақт, маълумот дар бораи файлҳои интиқолшуда, ки ба паёмҳо дохил мешаванд ва ғ. Файл 'msgstore.db' дар қад-қади роҳ ҷойгир шудааст: '/data/data/com.whatsapp/databases/' ва дорои сохтори зерин:
Ҷадвалҳои ҷолибтарин дар файл 'msgstore.db' барои муҳаққиқ инҳоянд:
- 'sqlite_sequence'
Ин ҷадвал маълумоти умумиро дар бораи ин пойгоҳи додаҳо дар бар мегирад, ба монанди шумораи умумии паёмҳои захирашуда, шумораи умумии чатҳо ва ғайра.Намуди ҷадвал:
- 'message_fts_content'
Матни паёмҳои ирсолшударо дар бар мегирад.Намуди ҷадвал:
- "паёмҳо"
Дар ин ҷадвал маълумотҳо ба монанди рақами тамос, матни паём, ҳолати паём, тамғаҳои вақт, маълумот дар бораи файлҳои интиқолшуда, ки ба паёмҳо дохил мешаванд, иборат аст.Намуди ҷадвал:
Сохтори ҷадвалНоми майдон арзиши _id рақами сабт (дар ҷадвали SQL) key_remote_jid Whatsapp ID шарики муошират калид_аз_ман самти паём: '0' - даромад, '1' - содиротӣ key_id идентификатори ягонаи паём њолати Ҳолати паём: '0' - расонида шуд, '4' - интизорӣ дар сервер, '5' - дар ҷои таъинот гирифта шуд, '6' - паёми назоратӣ, '13' - паёми аз ҷониби қабулкунанда кушодашуда (хондан) лозим_пуш '2' аст, агар он паёми пахши бошад, дар акси ҳол '0' маълумот матни паём (вақте ки 'media_wa_type' '0' бошад) нусхаи дорои тамғаи вақт дар формати Unix Epoch Time (ms) буда, арзиш аз соати дастгоҳ гирифта мешавад media_url дорои URL-и файли интиқолшаванда мебошад (вақте ки параметри 'media_wa_type' '1', '2', '3' бошад) media_mime_type Навъи MIME файли интиқолшуда (вақте ки параметри 'media_wa_type' ба '1', '2', '3' баробар бошад) media_wa_type навъи паём: '0' - матн, '1' - файли графикӣ, '2' - файли аудио, '3' - файли видео, '4' - корти тамос, '5' - маълумот медиа_андоза андозаи файлро интиқол диҳед (вақте ки 'media_wa_type' '1', '2', '3' бошад) media_name номи файле, ки интиқол дода мешавад (вақте ки 'media_wa_type' '1', '2', '3' бошад) media_сарлавҳа Калимаҳои 'audio', 'video' барои арзишҳои мувофиқи параметри 'media_wa_type' дорад (вақте ки параметри 'media_wa_type' ба '1', '3' баробар аст) media_hash хэши рамзгузоришудаи base64 файли интиқолшуда бо истифода аз алгоритми HAS-256 ҳисоб карда мешавад (вақте ки параметри 'media_wa_type' ба '1', '2', '3' баробар аст) ВАО_давом давомнокӣ дар сония барои файли медиавӣ (вақте ки 'media_wa_type' '1', '2', '3' бошад) пайдоиш '2' аст, агар он паёми пахши бошад, дар акси ҳол '0' элита маълумотҳои геодезӣ: арз (вақте ки 'media_wa_type' '5' аст) дарозӣ Маълумоти ҷуғрофӣ: тӯл (вақте ки 'media_wa_type' '5' аст) тасвири ангушт маълумоти хадамот манбаи_ дурдаст ID ирсолкунанда (танҳо дар сӯҳбатҳои гурӯҳӣ) мӯҳри қабулшуда вақти қабул, дорои тамғаи вақт дар формати Unix Epoch Time (ms) мебошад, арзиш аз соати дастгоҳ гирифта мешавад (вақте ки параметри 'key_from_me' '0', '-1' ё арзиши дигар аст) мӯҳр_фиристед истифода намешавад, одатан ба '-1' муқаррар карда мешавад тамғаи_сервери_вақт вақте, ки сервери марказӣ гирифтааст, дорои тамғаи вақт дар формати Unix Epoch Time (ms) мебошад, арзиш аз соати дастгоҳ гирифта мешавад (вақте ки параметри 'key_from_me' '1', '-1' ё арзиши дигар аст мӯҳри қабули_дастгоҳ вақти қабули паём аз ҷониби муштарии дигар, дорои тамғаи вақт дар формати Unix Epoch Time (ms) мебошад, арзиш аз соати дастгоҳ гирифта мешавад (вақте ки параметри 'key_from_me' '1', '-1' ё арзиши дигар дорад тамғаи_дастгоҳи_хондан вақти кушодани (хондан) паём, дорои тамғаи вақт дар формати Unix Epoch Time (ms) мебошад, арзиш аз соати дастгоҳ гирифта мешавад тамғаи_device_play_device вақти бозикунии паём, дорои тамғаи вақт дар формати Unix Epoch Time (ms) мебошад, арзиш аз соати дастгоҳ гирифта мешавад хом_маълумот эскизи файли интиқолшуда (вақте ки параметри 'media_wa_type' ба '1' ё '3' баробар аст) шумораи_гирандагон шумораи қабулкунандагон (барои паёмҳои пахш) иштирокчӣ_хаш ҳангоми фиристодани паёмҳо бо геомаълумот истифода мешавад ситора истифода бурда намешавад иқтибос_сатри_id номаълум, одатан дорои арзиши '0' зикршуда истифода бурда намешавад multicast_id истифода бурда намешавад фарсуда ғаразнок Ин рӯйхати соҳаҳо мукаммал нест. Барои версияҳои гуногуни WhatsApp, баъзе майдонҳо метавонанд мавҷуд бошанд ё набошанд. Майдонҳои иловагӣ метавонанд мавҷуд бошанд 'media_enc_hash', 'edit_version', 'payment_transaction_id' ва ғайра.
- 'messages_thumbnails'
Ин ҷадвал маълумот дар бораи тасвирҳои интиқолшуда ва тамғаҳои вақтро дар бар мегирад. Сутуни "тамгаи вақт" вақтро дар формати Unix Epoch Time (ms) нишон медиҳад. - 'chat_list'
Дар ин ҷадвал маълумот дар бораи чатҳо мавҷуд аст.Намуди ҷадвал:
Инчунин, ҳангоми баррасии WhatsApp дар дастгоҳи мобилии Android, шумо бояд ба файлҳои зерин диққат диҳед:
- файл 'msgstore.db.cryptXX' (ки XX як ё ду рақам аз 0 то 12 аст, масалан, msgstore.db.crypt12). дорои нусхаи эҳтиётии рамзшудаи паёмҳои WhatsApp (файл msgstore.db). Файл (ё файлҳо) 'msgstore.db.cryptXX' дар қад-қади роҳ ҷойгир шудааст: '/data/media/0/WhatsApp/Майдонҳо/' (корти SD виртуалӣ), '/mnt/sdcard/WhatsApp/Майдонҳо/ (корти SD ҷисмонӣ)'.
- файл 'калид'. Калиди криптографиро дар бар мегирад. Дар роҳ ҷойгир шудааст: '/data/data/com.whatsapp/files/'. Барои кушодани рамзҳои эҳтиётии WhatsApp истифода мешавад.
- файл 'com.whatsapp_preferences.xml'. Маълумот дар бораи профили ҳисоби WhatsApp дорад. Файл дар роҳ ҷойгир аст: '/data/data/com.whatsapp/shared_prefs/'.
Фрагменти мундариҷаи файл
<?xml version="1.0" encoding="ISO-8859-1"?> … <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp) … <string name="version">2.17.395</string> (версия WhatsApp) … <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта) … <string name="push_name">Alex</string> (имя владельца аккаунта) … - файл 'registration.RegisterPhone.xml'. Маълумот дар бораи рақами телефони марбут ба ҳисоби WhatsApp дорад. Файл дар роҳ ҷойгир аст: '/data/data/com.whatsapp/shared_prefs/'.
Мундариҷаи файл
<?xml version="1.0" encoding="ISO-8859-1"?> <map> <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string> <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/> <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/> <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string> <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/> <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string> <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string> </map> - файл 'axolotl.db'. Калидҳои криптографӣ ва дигар маълумотро дар бар мегирад, ки барои муайян кардани соҳиби ҳисоб заруранд. Дар роҳ ҷойгир шудааст: '/data/data/com.whatsapp/databases/'.
- файл 'chatsettings.db'. Маълумоти конфигуратсияи барномаро дар бар мегирад.
- файл 'wa.db'. Маълумоти тамосро дар бар мегирад. Хеле ҷолиб (дар ҷанбаи криминалистӣ) ва пойгоҳи иттилоотӣ. Маълумоти муфассалро дар бораи алоқаҳои ҳазфшуда дар он пайдо кардан мумкин аст.
Шумо инчунин бояд ба директорияҳои зерин диққат диҳед:
- директорӣ '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Файлҳои графикии боршударо дар бар мегирад.
- директорӣ '/data/media/0/WhatsApp/Media/WhatsApp Notes/'. Паёмҳои овозиро дар файлҳои формати .OPUS дарбар мегирад.
- директорӣ '/data/data/com.whatsapp/cache/Profile Pictures/'. дорои файлҳои графикӣ - тасвирҳои мухотибон.
- директорӣ '/data/data/com.whatsapp/files/Avatars/'. Файлҳои графикиро дар бар мегирад - тасвирҳои ангораи мухотибон. Ин файлҳо тамдиди '.j' доранд, аммо ба ҳар ҳол файлҳои тасвирии JPEG (JPG) мебошанд.
- директорӣ '/data/data/com.whatsapp/files/Avatars/'. Файлҳои графикиро дар бар мегирад - тасвир ва ангораи тасвири ҳамчун аватар аз ҷониби соҳиби ҳисоб муқарраршуда.
- директорӣ '/data/data/com.whatsapp/files/Logs/'. Сабти амалиёти барнома (файли 'whatsapp.log') ва нусхаҳои эҳтиётии гузоришҳои амалиёти барномаро (файлҳо бо номҳо дар формати whatsapp-yyyy-mm-dd.1.log.gz) дар бар мегирад.
Файлҳои сабти Whatsapp:
Порча аз маҷалла2017-01-10 09:37:09.757 LL_I D [524: Корманди WhatsApp #1] огоҳиномаи занги беҷавоб/шумораи ибтидоӣ: 0 тамғаи вақт: 0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Корманд №1] беҷавобшуда огоҳинома/навсозӣ бекор кардан дуруст аст
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1: асосӣ] файли парол нест ё хонданашаванда
2017-01-10 09:37:09.782 LL_I D [1:main] омори Паёмҳои матнӣ: 59 фиристода, 82 қабул / Паёмҳои ВАО: 1 фиристода (0 байт), 0 гирифта (9850158 байт) / Паёмҳои офлайнӣ: 81 қабул ( Таъхири миёна 19522 мсек) / Хадамоти паём: 116075 байт фиристода шуд, 211729 байт қабул шуд / Зангҳои Voip: 1 занги баромад, 0 занги даромад, 2492 байт фиристода, 1530 байт қабул / Google Drive: 0 байт фиристода, 0 байт қабул / Roam байт фиристода шуд, 1524 байт гирифта шуд / Ҳамагӣ маълумот: 1826 байт фиристода шуд, 118567 байт гирифта шуд
2017-01-10 09:37:09.785 LL_I D [1: асосӣ] ВАО-давлат-менеҷер/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:асосӣ] барнома-оғоз/ start/timemer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/нест кардани дурӯғ
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/нест кардани дурӯғ
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/версияи 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1: асосӣ] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:маин] msgstore/canquery/таймер/стоп: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | вақти сарфшуда: 8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Корманд №3] менеҷери медиа-давлатӣ/навсозии-медиа-давлатӣ/захираи дохилӣ дастрас: 1,345,622,016 умумӣ: 5,687,922,688
- директорӣ '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Файлҳои аудиоии қабулшударо дар бар мегирад.
- директорӣ '/data/media/0/WhatsApp/Media/WhatsApp Audio/Fented/'. Файлҳои аудиоии фиристодашударо дар бар мегирад.
- директорӣ '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Файлҳои графикии қабулшударо дар бар мегирад.
- директорӣ '/data/media/0/WhatsApp/Media/WhatsApp Тасвирҳо/Фиристоданд/'. Файлҳои графикии боршударо дар бар мегирад.
- директорӣ '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Файлҳои видеоии қабулшударо дар бар мегирад.
- директорӣ '/data/media/0/WhatsApp/Media/WhatsApp Видео/Ирсол/'. Файлҳои видеоии боршударо дар бар мегирад.
- директорӣ '/data/media/0/WhatsApp/Media/Аксҳои профили WhatsApp/'. Он дорои файлҳои тасвирии бо соҳиби ҳисоби WhatsApp алоқаманд аст.
- Барои сарфа кардани ҷой дар смартфони Android-и худ, баъзе маълумоти WhatsApp-ро дар корти SD нигоҳ доштан мумкин аст. Дар корти SD, дар феҳристи реша, директория мавҷуд аст 'WhatsApp'Дар он ҷо осори зерини ин барномаро ёфтан мумкин аст:
- директорӣ '. Мубодила' ('/mnt/sdcard/WhatsApp/.Share/'). Он дорои нусхаҳои файлҳое мебошад, ки бо корбарони дигари WhatsApp мубодила шудаанд.
- директорӣ '.партов' ('/mnt/sdcard/Whatsapp/.trash/'). Файлҳои ҳазфшударо дар бар мегирад.
- директорӣ "базаҳои додаҳо" ('/mnt/sdcard/WhatsApp/Майдонҳо/'). Нусхаҳои эҳтиётии рамзшударо дар бар мегирад. Агар файл мавҷуд бошад, онҳоро метавон рамзкушоӣ кард 'калид', аз хотираи дастгоҳи таҳлилшуда гирифта шудааст.
Файлҳо дар зеркаталог "базаҳои додаҳо":
- директорӣ 'Ним' ('/mnt/sdcard/WhatsApp/Media/'). Зеркаталогҳоро дарбар мегирад "Коғази деворӣ", 'Аудио WhatsApp', 'Тасвирҳои WhatsApp', 'Аксҳои профили WhatsApp', 'видео дар whatsapp', ' Қайдҳои овозии WhatsApp', ки дорои файлҳои мултимедиявии қабулшуда ва интиқолшуда (файлҳои графикӣ, файлҳои видео, паёмҳои овозӣ, аксҳои марбут ба профили соҳиби ҳисоби WhatsApp, обои) мебошанд.
- директорӣ "Тасвирҳои профил" ('/mnt/sdcard/WhatsApp/Тасвирҳои профил/'). Он дорои файлҳои тасвирии бо профили соҳиби ҳисоби WhatsApp алоқаманд аст.
- Баъзан метавонад дар корти SD феҳрист мавҷуд бошад 'файлҳо' ('/mnt/sdcard/WhatsApp/Files/'). Ин феҳрист дорои файлҳое мебошад, ки танзимоти барнома ва афзалиятҳои корбарро нигоҳ медоранд.
Хусусиятҳои нигоҳдории маълумот дар баъзе моделҳои дастгоҳҳои мобилӣ
Баъзе моделҳои дастгоҳҳои мобилии Android метавонанд артефактҳои WhatsApp-ро дар ҷои дигар нигоҳ доранд. Ин ба он вобаста аст, ки фазои нигоҳдории додаҳои барнома аз ҷониби нармафзори системаи дастгоҳи мобилӣ тағир дода мешавад. Ҳамин тавр, масалан, дар дастгоҳҳои мобилии Xiaomi функсияи эҷоди фазои кории дуюм вуҷуд дорад («SecondSpace»). Вақте ки ин функсия фаъол карда мешавад, ҷойгиршавии маълумот иваз карда мешавад. Ҳамин тавр, агар дар дастгоҳи мобилии муқаррарии OS Android кор кунад, маълумоти корбар дар феҳрист нигоҳ дошта мешавад '/data/user/0/' (ки ин истинод ба маъмул аст '/маълумот/маълумот/'), пас дар фазои кории дуюм, маълумоти барнома дар директория нигоҳ дошта мешавад '/data/user/10/'. Яъне, масалан, ҷойгиршавии файл 'wa.db':
- дар смартфони муқаррарии OS Android: /data/user/0/com.whatsapp/databases/wa.db' (ки ба он баробар аст '/data/data/com.whatsapp/database/wa.db');
- дар фазои дуюми смартфони Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.
Артефактҳои Whatsapp дар дастгоҳи iOS
Баръакси OS Android, дар iOS, маълумоти WhatsApp ба нусхаи эҳтиётӣ (iTunes нусхабардорӣ) интиқол дода мешавад. Аз ин рӯ, истихроҷи маълумот аз ин барнома истихроҷи системаи файлӣ ё эҷоди партови хотираи физикии дастгоҳи мавриди таҳқиқро талаб намекунад. Аксарияти маълумоти дахлдор дар базаи маълумот мавҷуд аст 'ChatStorage.sqlite', ки дар қад-қади роҳ ҷойгир аст: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (дар баъзе барномаҳо ин роҳ ҳамчун 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').
сохтори 'ChatStorage.sqlite':
Маълумоти бештар дар базаи 'ChatStorage.sqlite' ҷадвалҳо мебошанд 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.
Намуди ҷадвал 'ZWAMESSAGE':
Сохтори ҷадвали 'ZWAMESSAGE'
| Номи майдон | арзиши |
|---|---|
| Z_PK | рақами сабт (дар ҷадвали SQL) |
| Z_ENT | идентификатори ҷадвал, арзиши '9' |
| Z_OPT | номаълум, одатан дорои арзишҳои аз '1' то '6' |
| ZCHILDMESSAGESDELIVEREDCOUNT | номаълум, одатан дорои арзиши '0' |
| ZCHILDMESSAGESPLAYEDCOUNT | номаълум, одатан дорои арзиши '0' |
| ZCHILDMESSAGESREADCOUNT | номаълум, одатан дорои арзиши '0' |
| ZDATAITEMVERSION | номаълум, одатан '3', эҳтимолан нишондиҳандаи паёми матнӣ |
| ЗДОЦИД | номаълум аст |
| ZENCRETRYCOUNT | номаълум, одатан дорои арзиши '0' |
| ZFILTEREDRECIPIENTCOUNT | номаълум, одатан дорои арзишҳои '0', '2', '256' |
| ZISFROMME | самти паём: '0' - даромад, '1' - содиротӣ |
| ZMESSAGEERRORSTATUS | ҳолати интиқоли паём. Агар паём фиристода шавад/қабул карда шавад, он дорои арзиши '0' |
| ZMESSAGETYPE | навъи паём |
| ZSORT | номаълум аст |
| ZSPOTLIGHSTATUS | номаълум аст |
| ZSTARRED | номаълум, истифода нашудааст |
| ЗЧАЦЕССИЯ | номаълум аст |
| ZGROUPMEMBER | номаълум, истифода нашудааст |
| ZLASSESSION | номаълум аст |
| ZMEDIAITEM | номаълум аст |
| ZMESSAGEINFO | номаълум аст |
| ZPARENTMESSAGE | номаълум, истифода нашудааст |
| ZMESSAGEDATE | тамғаи вақт дар формати OS X Epoch Time |
| ZSENTDATE | вақти фиристодани паём дар формати OS X Epoch Time |
| ЗФРОМЖИД | ID ирсолкунандаи whatsapp |
| ZMEDIASECTIONID | сол ва моҳи файли медиа фиристодашударо дар бар мегирад |
| ZPHASH | номаълум, истифода нашудааст |
| ZPUSHPAME | номи мухотиб, ки файли медиаро дар формати UTF-8 фиристодааст |
| ЗСТАНЗИД | идентификатори ягонаи паём |
| Ztext | Матни паём |
| ЗТОЧИД | Рақами WhatsApp-и қабулкунанда |
| OFFSET | ғаразнок |
Намуди ҷадвал 'ZWAMEDIAITEM':
Сохтори ҷадвал 'ZWAMEDIAITEM'
| Номи майдон | арзиши |
|---|---|
| Z_PK | рақами сабт (дар ҷадвали SQL) |
| Z_ENT | идентификатори ҷадвал, арзиши '8' |
| Z_OPT | номаълум, одатан дорои арзишҳо аз '1' то '3'. |
| ZCLOUDSTATUS | дорои арзиши '4' аст, агар файл бор карда шавад. |
| ZFILESIZE | дорои дарозии файл (бо байт) барои файлҳои боршуда |
| ZMEDIAORIGIN | номаълум, одатан '0' |
| ZMOVIEDURATION | давомнокии файли медиавӣ, барои файлҳои pdf он метавонад шумораи саҳифаҳои ҳуҷҷатро дар бар гирад |
| ZMESSAGE | дорои рақами пайдарпайӣ (рақам аз рақаме, ки дар сутуни 'Z_PK' нишон дода шудааст, фарқ мекунад) |
| ЗАСПЕКТРАЦИЯ | таносуби тараф, истифода намешавад, одатан ба '0' муқаррар карда мешавад |
| ЗАКУРАТ | номаълум, одатан '0' |
| ЗЛАТТИТУД | паҳнои дар пиксел |
| ЗДУЗОРЙ | баландӣ дар пиксел |
| ZMEDIAURLDATE | тамғаи вақт дар формати OS X Epoch Time |
| ЗАВТОРНОМ | муаллиф (барои ҳуҷҷатҳо метавонад номи файлро дар бар гирад) |
| ZCOLLECTIONNAME | истифода бурда намешавад |
| ZMEDIALOCALPATH | номи файл (бо роҳ) дар системаи файлии дастгоҳ |
| ZMEDIAURL | URL, ки дар он файли медиа ҷойгир шудааст. Агар файл аз як муштарӣ ба муштарии дигар интиқол дода шуда бошад, он рамзгузорӣ шудааст ва васеъшавии он ҳамчун васеъшавии файли интиқолшуда нишон дода мешавад - .enc |
| ZTHUMBNAILLOCALPATH | роҳ ба ангораи файл дар системаи файлии дастгоҳ |
| ZTITLE | сарлавҳаи файл |
| ZVCARDNAME | хэши файли медиавӣ, ҳангоми интиқоли файл ба гурӯҳ, он метавонад идентификатори ирсолкунандаро дар бар гирад |
| ZVCARDSTRING | дорои маълумот дар бораи навъи файли интиқолшаванда (масалан, image/jpeg); ҳангоми интиқоли файл ба гурӯҳ, он метавонад идентификатори қабулкунандаро дар бар гирад |
| ZXMPPTHUMBPATH | роҳ ба ангораи файл дар системаи файлии дастгоҳ |
| ЗМЕДИЯКЕЙ | номаълум, эҳтимол дорои калиди рамзкушоӣ кардани файли рамзгузоришуда мебошад. |
| ЗМЕТАДАТА | метамаълумоти паём |
| Фармоиш | ғаразнок |
Дигар ҷадвалҳои ҷолиби пойгоҳи додаҳо 'ChatStorage.sqlite' инҳоянд:
- 'ZWAPROFILEPUSHNAME'. Ба ID WhatsApp бо номи мухотиб мувофиқат мекунад;
- 'ZWAPROFILEPICTUREITEM'. Ба ID WhatsApp бо аватари мухотиб мувофиқат мекунад;
- 'Z_PRIMARYKEY'. Дар ҷадвал маълумоти умумӣ дар бораи ин базаи маълумот мавҷуд аст, ба монанди шумораи умумии паёмҳои захирашуда, шумораи умумии чатҳо ва ғайра.
Инчунин, ҳангоми тафтиши WhatsApp дар дастгоҳи мобилии iOS, шумо бояд ба файлҳои зерин диққат диҳед:
- файл 'BackedUpKeyValue.sqlite'. Калидҳои криптографӣ ва дигар маълумотро дар бар мегирад, ки барои муайян кардани соҳиби ҳисоб заруранд. Дар роҳ ҷойгир шудааст: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- файл 'ContactsV2.sqlite'. Он дорои маълумот дар бораи алоқаҳои корбар, аз қабили номи пурра, рақами телефон, ҳолати тамос (ҳамчун матн), ID WhatsApp ва ғайра. Дар роҳ ҷойгир шудааст: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- файл 'consumer_version'. Рақами версияи барномаи насбшудаи WhatsApp-ро дар бар мегирад. Дар роҳ ҷойгир шудааст: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- файл 'current_wallpaper.jpg'. Обои заминавии WhatsApp-ро дар бар мегирад. Дар роҳ ҷойгир шудааст: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Версияҳои кӯҳнаи барнома файлро истифода мебаранд 'обои', ки дар қад-қади роҳ ҷойгир аст: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
- файл 'blockedcontacts.dat'. Он дорои маълумот дар бораи алоқаҳои басташуда. Дар роҳ ҷойгир шудааст: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
- файл 'pw.dat'. Пароли рамзшударо дар бар мегирад. Дар роҳ ҷойгир шудааст: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
- файл 'net.whatsapp.whatsapp.plist' (ё файл 'group.net.whatsapp.whatsapp.shared.plist'). Маълумот дар бораи профили ҳисоби WhatsApp дорад. Файл дар роҳ ҷойгир аст: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.
Мундариҷаи файли 'group.net.whatsapp.WhatsApp.shared.plist'
Шумо инчунин бояд ба директорияҳои зерин диққат диҳед:
- директорӣ '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Ангораи мухотибон, гурӯҳҳоро дар бар мегирад (файлҳо бо тамдиди .рум), аватарҳои тамос, аватари соҳиби ҳисоби WhatsApp (файл 'Photo.jpg').
- директорӣ '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Файлҳои мултимедиявӣ ва эскизи онҳоро дар бар мегирад
- директорӣ '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Сабти амалиёти барномаро дар бар мегирад (файл 'calls.log') ва нусхаҳои эҳтиётии гузоришҳои амалиёти барнома (file 'calls.backup.log').
- директорӣ '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Дар таркибашон стикерҳо (файлҳо дар '.webp').
- директорӣ '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. Сабтҳои барномаро дар бар мегирад.
Артефактҳои Whatsapp дар Windows
Артефактҳои WhatsApp-ро дар Windows дар чанд ҷой пайдо кардан мумкин аст. Пеш аз ҳама, инҳо директорияҳое мебошанд, ки файлҳои иҷрошаванда ва ёрирасони барномаро доранд (барои Windows 8/10):
- 'C: Файлҳои Барнома (x86) WhatsApp'
- 'C:Истифодабарандагон%Профили корбар%AppDataLocalWhatsApp'
- 'C:Истифодабарандагон%Профили корбар% Файлҳои Барномаи AppDataLocalVirtualStore (x86)WhatsApp'
Дар каталог 'C:Истифодабарандагон%Профили корбар%AppDataLocalWhatsApp' файли log ҷойгир аст 'SquirrelSetup.log', ки дорои маълумот дар бораи тафтиши навсозӣ ва насби барнома мебошад.
Дар каталог 'C:Истифодабарандагон%Профили корбар%AppDataRoamingWhatsApp' якчанд зеркаталогҳо вуҷуд доранд:
файл 'main-process.log' дорои маълумот дар бораи фаъолияти WhatsApp.
Зеркаталог "базаҳои додаҳо" файлро дар бар мегирад 'databases.db', аммо ин файл ягон маълумот дар бораи чатҳо ё мухотибон надорад.
Аз нуқтаи назари криминалистӣ ҷолибтарин файлҳое мебошанд, ки дар директория ҷойгиранд 'Кэш'. Асосан, ин файлҳо бо номҳо мебошанд 'f_********' (ки * рақами аз 0 то 9 аст), ки дорои файлҳои медиавӣ ва ҳуҷҷатҳои рамзгузоришуда, вале дар байни онҳо файлҳои рамзнашуда низ мавҷуданд. Файлҳои таваҷҷӯҳи махсус 'data_0', 'data_1', 'data_2', 'data_3'дар ҳамон зеркаталог ҷойгир шудааст. Файлҳо 'data_0', 'data_1', 'data_3' дорои истинодҳои беруна ба файлҳо ва ҳуҷҷатҳои мултимедиявии рамзгузоришуда.
Намунаи иттилооте, ки дар файли 'data_1' мавҷуд аст
Инчунин файл 'data_3' метавонад дорои файлҳои графикӣ бошад.
файл 'data_2' дорои аватарҳои тамос (бо роҳи ҷустуҷӯи унвонҳои файл барқарор кардан мумкин аст).
Аватарҳои дар файл мавҷудбуда 'data_2':
Ҳамин тариқ, чатҳоро дар хотираи компютер пайдо кардан мумкин нест, аммо шумо метавонед пайдо кунед:
- файлҳои мултимедиявӣ;
- ҳуҷҷатҳое, ки тавассути WhatsApp интиқол дода мешаванд;
- маълумот барои тамос бо соҳиби ҳисоб.
Артефактҳои Whatsapp дар MacOS
Дар MacOS, шумо метавонед намудҳои артефактҳои WhatsApp-ро ба онҳое, ки дар Windows пайдо шудаанд, пайдо кунед.
Файлҳои барнома дар директорияҳои зерин ҷойгиранд:
- 'C:ApplicationsWhatsApp.app'
- 'C:Applications._WhatsApp.app'
- 'C: Истифодабарандагон% Профили корбар% LibraryPreferences'
- 'C:Истифодабарандагон%Профили корбар%LibraryLogsWhatsApp'
- 'C:Истифодабарандагон%Профили корбар%КитобхонаиЗаҳшуда Ариза ҲолатиWhatsApp.savedState'
- 'C:Истифодабарандагон%Профили корбар%LibraryApplicationScripts'
- 'C:Истифодабарандагон%Профили корбар%LibraryApplication SupportCloudDocs'
- 'C:Истифодабарандагон%Профили корбар%LibraryApplication SupportWhatsApp.ShipIt'
- 'C:Истифодабарандагон%Профили корбар%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
- 'C:Истифодабарандагон% Профили корбар% Ҳуҷҷатҳои мобилии Китобхонаи <тағйирёбандаи матн> Ҳисобҳои WhatsApp'
Ин феҳрист зеркаталогҳоро дар бар мегирад, ки номашон рақамҳои телефони марбут ба соҳиби ҳисоби WhatsApp мебошанд. - 'C:Истифодабарандагон%Профили корбар%LibraryCachesWhatsApp.ShipIt'
Ин феҳрист маълумот дар бораи насби барномаро дар бар мегирад. - 'C:Истифодабарандагон%Профили корбар%Тасвирҳо iPhoto Library.photolibraryMasters', 'C:Истифодабарандагон%Профили корбар%Тасвирҳо iPhoto Library.photolibraryThumbnails'
Ин феҳристҳо дорои файлҳои хидматрасонии барнома, аз ҷумла аксҳо ва эскизи тамосҳои WhatsApp мебошанд. - 'C:Истифодабарандагон%Профили корбар%LibraryCachesWhatsApp'
Ин феҳрист дорои якчанд пойгоҳи додаҳои SQLite мебошад, ки барои кэшкунии додаҳо истифода мешаванд. - 'C: Истифодабарандагон% Профили корбар% LibraryApplication SupportWhatsApp'
Ин директория якчанд зеркаталогҳоро дар бар мегирад:
Дар каталог 'C:Истифодабарандагон%Профили корбар%Китобхона ДастгирииApplicationWhatsAppCache' файлҳо мавҷуданд 'data_0', 'data_1', 'data_2', 'data_3' ва файлҳои номбаршуда 'f_********' (дар он * рақами байни 0 ва 9 аст). Барои маълумот дар бораи он, ки ин файлҳо кадом маълумотро дар бар мегиранд, ба Артефактҳои WhatsApp дар Windows нигаред.Дар каталог 'C:Истифодабарандагон%Профили корбар%Китобхона ДастгирииApplicationWhatsAppIndexedDB' метавонад дорои файлҳои мултимедиявӣ бошад (файлҳо васеъшавӣ надоранд).
файл 'main-process.log' дорои маълумот дар бораи фаъолияти WhatsApp.
Манбаъҳои иттилоот
- Таҳлили судии WhatsApp Messenger дар смартфонҳои Android, аз ҷониби Cosimo Anglano, 2014.
- Криминалистикаи Whatsapp: Эксплоратсияи системаи иттилоотӣ дар асоси маълумот ва барномаҳои Android ва iOS аз ҷониби Аҳмад Пратама, 2014.
Дар мақолаҳои зерин дар ин силсила:
Рамзкунии махзани махзани WhatsApp рамзкунонидашудаМақолае, ки дар бораи чӣ гуна тавлид шудани калиди рамзгузории WhatsApp маълумот медиҳад ва мисолҳои амалӣ нишон медиҳад, ки чӣ гуна рамзкушоӣ кардани асосҳои рамзгузоришудаи ин барномаро нишон медиҳанд.
Маълумоти WhatsApp аз анбори абрӣ хориҷ кунедМақолае, ки дар он мо шарҳ медиҳем, ки маълумоти WhatsApp дар абрҳо нигоҳ дошта мешавад ва усулҳои истихроҷи ин маълумотро аз анбори абр тавсиф мекунад.
Истихроҷи маълумот дар WhatsApp: Намунаҳои амалӣМақола, ки қадам ба қадам тавсиф мекунад, ки кадом барномаҳо ва чӣ гуна истихроҷи маълумоти WhatsApp аз дастгоҳҳои гуногун.
Манбаъ: will.com