ווהאַצאַפּפּ אין דיין דלאָניע: ווו און ווי קענען איר געפֿינען פאָרענסיק אַרטאַפאַקץ?

אויב איר ווילן צו וויסן וואָס טייפּס פון ווהאַצאַפּפּ פאָרענסיק אַרטאַפאַקץ עקסיסטירן אויף פאַרשידענע אָפּערייטינג סיסטעמען און ווו פּונקט זיי קענען זיין געפֿונען, דאָס איז דער אָרט פֿאַר איר. דער אַרטיקל איז פֿון אַ מומכע אין די גרופע-יב קאָמפּיוטער פאָרענסיקס לאַבאָראַטאָריע יגאָר מיכאַילאָוו הייבט אַ סעריע פון ​​​​הודעות וועגן ווהאַצאַפּפּ פאָרענסיקס און וואָס אינפֿאָרמאַציע קענען זיין באקומען פון אַנאַלייזינג די מיטל.

לאָמיר גלייך טאָן אַז פאַרשידענע אָפּערייטינג סיסטעמען קראָם פאַרשידענע טייפּס פון ווהאַצאַפּפּ אַרטאַפאַקץ, און אויב אַ פאָרשער קענען עקסטראַקט זיכער טייפּס פון ווהאַצאַפּפּ דאַטן פון איין מיטל, דאָס טוט נישט מיינען אַז ענלעך טייפּס פון דאַטן קענען זיין יקסטראַקטיד פון אן אנדער מיטל. פֿאַר בייַשפּיל, אויב אַ סיסטעם אַפּאַראַט מיט Windows אַס איז אַוועקגענומען, ווהאַצאַפּפּ טשאַץ וועט מיסטאָמע נישט זיין געפֿונען אויף זיין דיסקס (מיט די ויסנעם פון באַקאַפּ קאפיעס פון יאָס דעוויסעס, וואָס קענען זיין געפֿונען אויף די זעלבע דרייווז). די פאַרכאַפּונג פון לאַפּטאַפּס און רירעוודיק דעוויסעס וועט האָבן זייַן אייגענע קעראַקטעריסטיקס. זאל ס רעדן וועגן דעם אין מער דעטאַל.

ווהאַצאַפּפּ אַרטאַפאַקץ אין אַנדרויד מיטל

אין סדר צו עקסטראַקט ווהאַצאַפּפּ אַרטאַפאַקץ פון אַן אַנדרויד מיטל, דער פאָרשער מוזן האָבן סופּערוסער רעכט ('וואָרצל') אויף די מיטל אונטער ויספאָרשונג אָדער קענען אַנדערש עקסטראַקט אַ גשמיות זיקאָרן דאַמפּ פון די מיטל, אָדער זיין טעקע סיסטעם (למשל, ניצן ווייכווארג וואַלנעראַביליטיז פון אַ ספּעציפיש רירעוודיק מיטל).

אַפּפּליקאַטיאָן טעקעס זענען ליגן אין די טעלעפאָן זיקאָרן אין דער אָפּטיילונג אין וואָס באַניצער דאַטן זענען געראטעוועט. ווי אַ הערשן, דעם אָפּטיילונג איז געהייסן 'באַניצער דאַטן'. סובדירעקטאָריעס און פּראָגראַם טעקעס זענען ליגן אויף דעם דרך: '/data/data/com.whatsapp/'.

די הויפּט טעקעס וואָס אַנטהאַלטן ווהאַצאַפּפּ פאָרענסיק אַרטאַפאַקץ אין די אַנדרויד אַס זענען דאַטאַבייסיז 'wa.db' и 'msgstore.db'.

אין די דאַטאַבייס 'wa.db' כּולל די גאַנץ קאָנטאַקט רשימה פון אַ ווהאַצאַפּפּ באַניצער, אַרייַנגערעכנט טעלעפאָן נומער, אַרויסווייַזן נאָמען, צייט סטאַמפּס און קיין אנדערע אינפֿאָרמאַציע צוגעשטעלט בשעת רעדזשיסטערינג פֿאַר ווהאַצאַפּפּ. טעקע 'wa.db' ליגן אויף דעם דרך: '/data/data/com.whatsapp/databases/' און האט די פאלגענדע סטרוקטור:

די מערסט טשיקאַווע טישן אין די דאַטאַבייס 'wa.db' פֿאַר די פאָרשער זענען:

• 'וואַ_קאָנטאַקטן'
  דער טיש כּולל קאָנטאַקט אינפֿאָרמאַציע: ווהאַצאַפּפּ קאָנטאַקט שייַן, סטאַטוס אינפֿאָרמאַציע, באַניצער אַרויסווייַזן נאָמען, צייט סטאַמפּס, עטק.

  טיש אויסזען:

  
  טיש סטרוקטור

  פעלד נאָמען	ווערט
  _יד	רעקאָרד סיקוואַנס נומער (אין SQL טיש)
  jid	ווהאַצאַפּפּ קאָנטאַקט שייַן, געשריבן אין דעם פֿאָרמאַט <טעלעפאָן נומער>@s.whatsapp.net
  is_whatsapp_user	כּולל '1' אויב דער קאָנטאַקט קאָראַספּאַנדז צו אַ פאַקטיש ווהאַצאַפּפּ באַניצער, '0' אַנדערש
  מאַצעוו	כּולל די טעקסט געוויזן אין די קאָנטאַקט סטאַטוס
  status_timestamp	כּולל אַ טימעסטאַמפּ אין Unix Epoch Time (ms) פֿאָרמאַט
  נומער	טעלעפאָן נומער פֿאַרבונדן מיט דעם קאָנטאַקט
  raw_contact_id	קאָנטאַקט סיריאַל נומער
  display_name	קאָנטאַקט אַרויסווייַזן נאָמען
  טעלעפאָנירן_טיפּ	טעלעפאָן טיפּ
  טעלעפאָנירן_לאַבעל	פירמע פֿאַרבונדן מיט די קאָנטאַקט נומער
  unseen_msg_count	נומער פון אַרטיקלען וואָס זענען געשיקט דורך אַ קאָנטאַקט אָבער זענען נישט לייענען דורך די באַקומער
  פאָטאָ_ץ	כּולל אַ צייט סטאַמפּ אין Unix Epoch Time פֿאָרמאַט
  thumb_ts	כּולל אַ צייט סטאַמפּ אין Unix Epoch Time פֿאָרמאַט
  photo_id_timestamp	כּולל אַ טימעסטאַמפּ אין Unix Epoch Time (ms) פֿאָרמאַט
  געגעבענע נאמען	פעלד ווערט גלייַכן 'display_name' פֿאַר יעדער קאָנטאַקט
  וואַ_נאָמען	ווהאַצאַפּפּ קאָנטאַקט נאָמען (דער נאָמען ספּעסיפיעד אין די קאָנטאַקט פּראָפיל איז געוויזן)
  סאָרט_נאָמען	קאָנטאַקט נאָמען געניצט אין סאָרט אַפּעריישאַנז
  צונעמעניש	קאָנטאַקט ס ניקקנאַמע אין ווהאַצאַפּפּ (די ניקקנאַמע ספּעסיפיעד אין דעם קאָנטאַקט ס פּראָפיל איז געוויזן)
  געזעלשאַפט	פירמע (די פירמע ספּעסיפיעד אין די קאָנטאַקט פּראָפיל איז געוויזן)
  טיטל	טיטל (מיז / מר; טיטל קאַנפיגיערד אין די קאָנטאַקט פּראָפיל איז געוויזן)
  פאָטאָ	פאָרורטייל

• 'סקליט_סעקוואַנס'
  דער טיש כּולל אינפֿאָרמאַציע וועגן די נומער פון קאָנטאַקטן;
• 'android_metadata'
  דער טיש כּולל אינפֿאָרמאַציע וועגן לאָוקאַלאַזיישאַן פון WhatsApp שפּראַך.

אין די דאַטאַבייס 'msgstore.db' כּולל אינפֿאָרמאַציע וועגן געשיקט אַרטיקלען, אַזאַ ווי קאָנטאַקט נומער, אָנזאָג טעקסט, אָנזאָג סטאַטוס, טימעסטאַמפּס, דעטאַילס פון טראַנספערד טעקעס אַרייַנגערעכנט אין אַרטיקלען, עטק. טעקע 'msgstore.db' ליגן אויף דעם דרך: '/data/data/com.whatsapp/databases/' און האט די פאלגענדע סטרוקטור:

די מערסט טשיקאַווע טישן אין דער טעקע 'msgstore.db' פֿאַר די פאָרשער זענען:

• 'סקליט_סעקוואַנס'
  דער טיש כּולל גענעראַל אינפֿאָרמאַציע וועגן דעם דאַטאַבייס, אַזאַ ווי די גאַנץ נומער פון אַרטיקלען סטאָרד, די גאַנץ נומער פון טשאַץ, אאז"ו ו.

  טיש אויסזען:

  

• 'message_fts_content'
  כּולל די טעקסט פון געשיקט אַרטיקלען.

  טיש אויסזען:

  

• 'הודעות'
  דער טיש כּולל אינפֿאָרמאַציע אַזאַ ווי קאָנטאַקט נומער, אָנזאָג טעקסט, אָנזאָג סטאַטוס, טימעסטאַמפּס, אינפֿאָרמאַציע וועגן טראַנספערד טעקעס אַרייַנגערעכנט אין אַרטיקלען.

  טיש אויסזען:

  
  טיש סטרוקטור

  פעלד נאָמען	ווערט
  _יד	רעקאָרד סיקוואַנס נומער (אין SQL טיש)
  key_remote_jid	ווהאַצאַפּפּ שייַן פון קאָמוניקאַציע שוטעף
  key_from_me	אָנזאָג ריכטונג: '0' - ינקאַמינג, '1' - אַוטגאָוינג
  key_id	יינציק אָנזאָג ידענטיפיער
  מאַצעוו	אָנזאָג סטאַטוס: '0' - איבערגעגעבן, '4' - ווארטן אויף די סערווער, '5' - באקומען אין דעסטיניישאַן, '6' - קאָנטראָל אָנזאָג, '13' - אָנזאָג געעפנט דורך די באַקומער (לייענען)
  need_push	האט די ווערט '2' אויב עס איז אַ בראָדקאַסט אָנזאָג, אַנדערש כּולל '0'
  דאַטע	אָנזאָג טעקסט (ווען 'media_wa_type' פּאַראַמעטער איז '0')
  טימעסטאַמפּ	כּולל אַ צייט סטאַמפּ אין Unix Epoch Time (ms) פֿאָרמאַט, די ווערט איז גענומען פון די מיטל זייגער
  media_url	כּולל די URL פון די טראַנספערד טעקע (ווען די 'media_wa_type' פּאַראַמעטער איז '1', '2', '3')
  media_mime_type	MIME טיפּ פון די טראַנספערד טעקע (ווען די 'media_wa_type' פּאַראַמעטער איז גלייַך צו '1', '2', '3')
  media_wa_type	אָנזאָג טיפּ: '0' - טעקסט, '1' - גראַפיק טעקע, '2' - אַודיאָ טעקע, '3' - ווידעא טעקע, '4' - קאָנטאַקט קאָרט, '5' - געאָדאַטאַ
  מעדיע_גרייס	גרייס פון די טראַנספערד טעקע (ווען די 'media_wa_type' פּאַראַמעטער איז '1', '2', '3')
  מעדיע_נאַמע	נאָמען פון די טראַנספערד טעקע (ווען די 'media_wa_type' פּאַראַמעטער איז '1', '2', '3')
  media_caption	כּולל די ווערטער 'אַודיאָ', 'ווידעא' פֿאַר די קאָראַספּאַנדינג וואַלועס פון די פּאַראַמעטער 'media_wa_type' (ווען דער 'media_wa_type' פּאַראַמעטער איז '1', '3')
  media_hash	base64 ענקאָודיד האַש פון די טראַנסמיטטעד טעקע, קאַלקיאַלייטיד מיט די HAS-256 אַלגערידאַם (ווען די 'media_wa_type' פּאַראַמעטער איז גלייַך צו '1', '2', '3')
  media_duration	געדויער אין סעקונדעס פֿאַר די מידיאַ טעקע (ווען 'media_wa_type' איז '1', '2', '3')
  אָנהייב	האט די ווערט '2' אויב עס איז אַ בראָדקאַסט אָנזאָג, אַנדערש כּולל '0'
  ברייט	געאָדאַטאַ: ברייט (ווען 'media_wa_type' פּאַראַמעטער איז '5')
  לאַנדזשאַטוד	געאָדאַטאַ: לאַנדזשאַטוד (ווען 'media_wa_type' פּאַראַמעטער איז '5')
  thumb_image	דינסט אינפֿאָרמאַציע
  remote_resource	סענדער שייַן (בלויז פֿאַר גרופּע טשאַץ)
  receive_timestamp	צייט פון קאַבאָלע, כּולל אַ צייט סטאַמפּ אין Unix Epoch Time (ms) פֿאָרמאַט, די ווערט איז גענומען פון די מיטל זייגער (ווען די 'key_from_me' פּאַראַמעטער האט '0', '-1' אָדער אנדערע ווערט)
  send_timestamp	ניט געוויינט, יוזשאַוואַלי האט די ווערט '-1'
  receipt_server_timestamp	צייט באקומען דורך די הויפט סערווער, כּולל אַ צייט סטאַמפּ אין Unix Epoch Time (ms) פֿאָרמאַט, די ווערט איז גענומען פון די מיטל זייגער (ווען די 'key_from_me' פּאַראַמעטער האט '1', '-1' אָדער אנדערע ווערט
  receipt_device_timestamp	ווען דער אָנזאָג איז באקומען דורך אן אנדער אַבאָנענט, כּולל אַ צייט סטאַמפּ אין Unix Epoch Time (ms) פֿאָרמאַט, די ווערט איז גענומען פון די מיטל זייגער (ווען די 'key_from_me' פּאַראַמעטער האט '1', '-1' אָדער אן אנדער ווערט
  read_device_timestamp	צייט פון עפן (לייענען) דעם אָנזאָג, כּולל אַ צייט שטעמפּל אין Unix Epoch Time (ms) פֿאָרמאַט, די ווערט איז גענומען פון די מיטל זייגער
  פּלייַעד_דיווייס_טימעסטאַמפּ	אָנזאָג פּלייבאַק צייט, כּולל אַ טימעסטאַמפּ אין Unix Epoch Time (ms) פֿאָרמאַט, די ווערט איז גענומען פון די מיטל זייגער
  רויע דאטא	טאַמנייל פון די טראַנספערד טעקע (ווען דער 'media_wa_type' פּאַראַמעטער איז '1' אָדער '3')
  recipient_count	נומער פון ריסיפּיאַנץ (פֿאַר בראָדקאַסט אַרטיקלען)
  participant_hash	געוויינט ווען טראַנסמיטינג אַרטיקלען מיט געאָדאַטאַ
  שטאלץ	נישט גענוצט
  quoted_row_id	אומבאַקאַנט, יוזשאַוואַלי כּולל די ווערט '0'
  דערמאנט_דזשידס	נישט גענוצט
  multicast_id	נישט גענוצט
  פאָטאָ	פאָרורטייל

  די רשימה פון פעלדער איז נישט גאַנץ. פֿאַר פאַרשידענע ווערסיעס פון ווהאַצאַפּפּ, עטלעכע פעלדער קען זיין פאָרשטעלן אָדער ניטאָ. אין דערצו, פעלדער קען זיין פאָרשטעלן 'media_enc_hash', 'רעדאַגירן_ווערסיע', 'פּייַמענט_טראַנסאַקטיאָן_יד' אאז"ו ו

• 'הודעות_טהומבנאַילס'
  דער טיש כּולל אינפֿאָרמאַציע וועגן טראַנספערד בילדער און טימעסטאַמפּס. אין די 'טימעסטאַמפּ' זייַל, די צייט איז אנגעוויזן אין Unix Epoch Time (ms) פֿאָרמאַט.
• 'טשאַט_ליסט'
  דער טיש כּולל אינפֿאָרמאַציע וועגן טשאַץ.

  טיש אויסזען:

  

אויך, ווען יגזאַמינינג ווהאַצאַפּפּ אויף אַ רירעוודיק מיטל מיט אַנדרויד, איר זאָל באַצאָלן ופמערקזאַמקייט צו די פאלגענדע טעקעס:

• טעקע 'msgstore.db.cryptXX' (ווו קסקס איז איין אָדער צוויי דידזשאַץ פון 0 צו 12, פֿאַר בייַשפּיל, msgstore.db.crypt12). כּולל אַ ינקריפּטיד באַקאַפּ פון ווהאַצאַפּפּ אַרטיקלען (באַקקופּ טעקע msgstore.db). טעקע(ס) 'msgstore.db.cryptXX' ליגן אויף דעם דרך: '/data/media/0/WhatsApp/Databases/' (ווירטועל סד קאָרט), '/mnt/sdcard/WhatsApp/Databases/ (גשמיות סד קאָרט)'.
• טעקע 'שליסל'. כּולל אַ קריפּטאָגראַפיק שליסל. ליגן אויף דעם דרך: '/data/data/com.whatsapp/files/'. געוויינט צו דעקריפּט ינקריפּטיד ווהאַצאַפּפּ באַקאַפּס.
• טעקע 'com.whatsapp_preferences.xml'. כּולל אינפֿאָרמאַציע וועגן דיין ווהאַצאַפּפּ חשבון פּראָפיל. דער טעקע איז ליגן אויף דעם דרך: '/data/data/com.whatsapp/shared_prefs/'.

  טעקע אינהאַלט פראַגמענט

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• טעקע 'רעגיסטראַציע.רעגיסטרפאָנע.קסמל'. כּולל אינפֿאָרמאַציע וועגן די טעלעפאָן נומער פֿאַרבונדן מיט די ווהאַצאַפּפּ חשבון. דער טעקע איז ליגן אויף דעם דרך: '/data/data/com.whatsapp/shared_prefs/'.

  טעקע אינהאַלט

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• טעקע 'axolotl.db'. כּולל קריפּטאָגראַפיק שליסלען און אנדערע דאַטן וואָס זענען נייטיק צו ידענטיפיצירן די חשבון באַזיצער. ליגן אויף דעם דרך: '/data/data/com.whatsapp/databases/'.
• טעקע 'chatsettings.db'. כּולל אַפּלאַקיישאַן קאַנפיגיעריישאַן אינפֿאָרמאַציע.
• טעקע 'wa.db'. כּולל קאָנטאַקט דעטאַילס. א זייער טשיקאַווע (פֿון אַ פאָרענסיק אַספּעקט) און ינפאָרמאַטיוו דאַטאַבייס. עס קענען אַנטהאַלטן דיטיילד אינפֿאָרמאַציע וועגן אויסגעמעקט קאָנטאַקטן.

איר אויך דאַרפֿן צו באַצאָלן ופמערקזאַמקייט צו די פאלגענדע דירעקטעריז:

• דירעקטארי '/data/media/0/WhatsApp/Media/WhatsApp בילדער/'. כּולל טראַנספערד גראַפיק טעקעס.
• דירעקטארי '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. כּולל קול אַרטיקלען אין .אָפּוס פֿאָרמאַט טעקעס.
• דירעקטארי '/data/data/com.whatsapp/cache/Profile Pictures/'. כּולל גראַפיק טעקעס - בילדער פון קאָנטאַקטן.
• דירעקטארי '/data/data/com.whatsapp/files/Avatars/'. כּולל גראַפיק טעקעס - טאַמנייל בילדער פון קאָנטאַקטן. די טעקעס האָבן אַ '.j' פאַרלענגערונג אָבער זענען פונדעסטוועגן JPEG (JPG) בילד טעקעס.
• דירעקטארי '/data/data/com.whatsapp/files/Avatars/'. כּולל גראַפיק טעקעס - אַ בילד און אַ טאַמנייל פון די בילד געשטעלט ווי אַ אַוואַטאַר דורך די חשבון באַזיצער.
• דירעקטארי '/data/data/com.whatsapp/files/Logs/'. כּולל די פּראָגראַם אָפּעראַציע קלאָץ (טעקע 'whatsapp.log') און באַקאַפּ קאפיעס פון פּראָגראַם אָפּעראַציע לאָגס (פילעס מיט נעמען אין די פֿאָרמאַט ווהאַצאַפּפּ-יייי-מם-דד.1.לאָג.גז).

ווהאַצאַפּפּ לאָג טעקעס:

זשורנאַל פראַגמענט2017-01-10 09:37:09.757 LL_I D [524: ווהאַצאַפּפּ וואָרקער #1] מיסט רופן נאָטיפיקאַטיאָן/יינט ציילן:0 צייט שטעמפּל:0
2017-01-10 09:37:09.758 LL_I D [524: ווהאַצאַפּפּ וואָרקער #1] מיסט רופן נאָטיפיקאַטיאָן / דערהייַנטיקן באָטל מאַכן אמת
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] פּאַראָל טעקע פעלנדיק אָדער אַנרידאַבאַל
2017-01-10 09:37:09.782 LL_I D [1:main] סטאַטיסטיק טעקסט אַרטיקלען: 59 געשיקט, 82 באקומען / מעדיע אַרטיקלען: 1 געשיקט (0 ביטעס), 0 באקומען (9850158 ביטעס) / אָפפלינע אַרטיקלען: 81 באקומען ( 19522 מסעק דורכשניטלעך פאַרהאַלטן) / אָנזאָג סערוויס: 116075 ביטעס געשיקט, 211729 ביטעס באקומען / וואָיפּ קאַללס: 1 אַוטגאָוינג קאַללס, 0 ינקאַמינג קאַללס, 2492 ביטעס געשיקט, 1530 ביטעס באקומען / Google דרייוו: 0 ביטעס געשיקט, 0 ביטעס 1524 באקומען / 1826: ביטעס געשיקט, 118567 ביטעס באקומען / גאַנץ דאַטן: 10063417 ביטעס געשיקט, XNUMX ביטעס באקומען
2017-01-10 09:37:09.785 LL_I D [1:main] מעדיע-שטאַט-פאַרוואַלטער / רעפרעש-מעדיע-שטאַט / שרייבטאַבלע-מעדיע
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | צייט פארבראכט: 8
2017-01-10 09:37:09.848 LL_I D [529: ווהאַצאַפּפּ וואָרקער #3] מעדיע-שטאַט-פאַרוואַלטער / רעפרעש-מעדיע-שטאַט / אינערלעכער סטאָרידזש בנימצא: 1,345,622,016 גאַנץ: 5,687,922,688

• דירעקטארי '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. כּולל די באקומען אַודיאָ טעקעס.
• דירעקטארי '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. כּולל געשיקט אַודיאָ טעקעס.
• דירעקטארי '/data/media/0/WhatsApp/Media/WhatsApp בילדער/'. כּולל די ריזאַלטינג גראַפיק טעקעס.
• דירעקטארי '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. כּולל געשיקט גראַפיק טעקעס.
• דירעקטארי '/data/media/0/WhatsApp/Media/WhatsApp Video/'. כּולל באקומען ווידעא טעקעס.
• דירעקטארי '/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/'. כּולל געשיקט ווידעא טעקעס.
• דירעקטארי '/data/media/0/WhatsApp/Media/WhatsApp פּראָפיל פאָטאָס/'. כּולל גראַפיק טעקעס פֿאַרבונדן מיט די באַזיצער פון די ווהאַצאַפּפּ חשבון.
• צו שפּאָרן זיקאָרן פּלאַץ אויף דיין אַנדרויד סמאַרטפאָנע, עטלעכע ווהאַצאַפּפּ דאַטן קענען זיין סטאָרד אויף אַ סד קאָרט. אויף די סד קאָרט, אין דער וואָרצל וועגווייַזער, עס איז אַ וועגווייַזער 'ווהאַצאַפּפּ', ווו די פאלגענדע אַרטאַפאַקץ פון דעם פּראָגראַם קענען זיין געפֿונען:

  

• דירעקטארי '.ייַנטיילן' ('/mnt/sdcard/WhatsApp/.Share/'). כּולל קאפיעס פון טעקעס וואָס זענען שערד מיט אנדערע ווהאַצאַפּפּ יוזערז.
• דירעקטארי '.טרוש' ('/mnt/sdcard/WhatsApp/.trash/'). כּולל אויסגעמעקט טעקעס.
• דירעקטארי 'דאַטאַבייסיז' ('/mnt/sdcard/WhatsApp/Databases/'). כּולל ינקריפּטיד באַקאַפּס. זיי קענען זיין דעקריפּטיד אויב די טעקע איז פאָרשטעלן 'שליסל', יקסטראַקטיד פון דער זכּרון פון די אַנאַלייזד מיטל.

  טעקעס ליגן אין אַ סובדירעקטאָרי 'דאַטאַבייסיז':

  

• דירעקטארי 'האלב' ('/mnt/sdcard/WhatsApp/Media/'). כּולל סובדירעקטאָריעס 'וואָלפּאַפּער', 'ווהאַצאַפּפּ אַודיאָ', 'ווהאַצאַפּפּ בילדער', 'ווהאַצאַפּפּ פּראָפיל פאָטאָס', 'ווהאַצאַפּפּ ווידעא', 'ווהאַצאַפּפּ קול נאָטעס', וואָס אַנטהאַלטן באקומען און טראַנסמיטטעד מולטימעדיאַ טעקעס (גראַפיק טעקעס, ווידעא טעקעס, קול אַרטיקלען, פאָטאָס פֿאַרבונדן מיט די פּראָפיל פון די ווהאַצאַפּפּ חשבון באַזיצער, וואָלפּייפּערז).
• דירעקטארי 'פּראָפיל בילדער' ('/mnt/sdcard/WhatsApp/Profile Pictures/'). כּולל גראַפיק טעקעס פֿאַרבונדן מיט די פּראָפיל פון די ווהאַצאַפּפּ חשבון באַזיצער.
• מאל עס קען זיין אַ וועגווייַזער אויף די סד קאָרט 'פיילס' ('/mnt/sdcard/WhatsApp/Files/'). דער וועגווייַזער כּולל טעקעס וואָס קראָם פּראָגראַם סעטטינגס און באַניצער פּרעפֿערענצן.

פֿעיִקייטן פון דאַטן סטאָרידזש אין עטלעכע מאָדעלס פון רירעוודיק דעוויסעס

עטלעכע מאָדעלס פון רירעוודיק דעוויסעס מיט אַנדרויד אַס קען קראָם ווהאַצאַפּפּ אַרטאַפאַקץ אין אַ אַנדערש אָרט. דאָס איז רעכט צו ענדערונגען אין די סטאָרידזש פּלאַץ פון אַפּלאַקיישאַן דאַטן דורך די סיסטעם ווייכווארג פון די רירעוודיק מיטל. פֿאַר בייַשפּיל, Xiaomi רירעוודיק דעוויסעס האָבן אַ פונקציע פֿאַר קריייטינג אַ צווייט וואָרקספּאַסע ("SecondSpace"). ווען דעם פֿונקציע איז אַקטיווייטיד, די אָרט פון די דאַטן ענדערונגען. אַזוי, אויב אין אַ רעגולער רירעוודיק מיטל פליסנדיק אַנדרויד אַס באַניצער דאַטן זענען סטאָרד אין די וועגווייַזער '/דאַטן/באַניצער/0/' (וואָס איז אַ רעפֿערענץ צו די געוויינטלעך '/דאַטן/דאַטן/'), און אין די רגע וואָרקספּאַסע אַפּלאַקיישאַן דאַטן זענען סטאָרד אין די וועגווייַזער '/דאַטן/באַניצער/10/'. אַז איז, ניצן דעם בייַשפּיל פון די טעקע אָרט 'wa.db':

• אין אַ רעגולער סמאַרטפאָנע מיט אַנדרויד אַס: /data/user/0/com.whatsapp/databases/wa.db' (וואָס איז עקוויוואַלענט '/data/data/com.whatsapp/databases/wa.db');
• אין די רגע וואָרקספּאַסע פון ​​די Xiaomi סמאַרטפאָנע: '/data/user/10/com.whatsapp/databases/wa.db'.

ווהאַצאַפּפּ אַרטאַפאַקץ אין יאָס מיטל

ניט ענלעך אַנדרויד אַס, אין יאָס ווהאַצאַפּפּ אַפּלאַקיישאַן דאַטן זענען טראַנספערד צו אַ באַקאַפּ קאָפּיע (יטונעס באַקאַפּ). דעריבער, יקסטראַקטינג דאַטן פון דעם אַפּלאַקיישאַן טוט נישט דאַרפן יקסטראַקטינג די טעקע סיסטעם אָדער שאַפֿן אַ גשמיות זיקאָרן דאַמפּ פון די מיטל אונטער ויספאָרשונג. רובֿ פון די באַטייַטיק אינפֿאָרמאַציע איז קאַנטיינד אין די דאַטאַבייס 'ChatStorage.sqlite', וואָס איז ליגן צוזאמען דעם דרך: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (אין עטלעכע מגילה דער דרך איז ווי 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').

ביניען 'ChatStorage.sqlite':

די מערסט ינפאָרמאַטיוו טישן אין די 'ChatStorage.sqlite' דאַטאַבייס זענען 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.

טיש אויסזען 'ZWAMESSAGE':

סטרוקטור פון טיש 'ZWAMESSAGE'

פעלד נאָמען	ווערט
Z_PK	רעקאָרד סיקוואַנס נומער (אין SQL טיש)
ז_ענט	טיש אידענטיפיצירן, האט די ווערט '9'
Z_OPT	אומבאַקאַנט, יוזשאַוואַלי כּולל וואַלועס פון '1' צו '6'
ZCHILDMESSAGESDELIVEREDCOUNT	אומבאַקאַנט, יוזשאַוואַלי כּולל די ווערט '0'
ZCHILDMESSAGESPLAYEDCOUNT	אומבאַקאַנט, יוזשאַוואַלי כּולל די ווערט '0'
ZCHILDMESSAGESREADCOUNT	אומבאַקאַנט, יוזשאַוואַלי כּולל די ווערט '0'
ZDATAITEMVERSION	אומבאַקאַנט, יוזשאַוואַלי כּולל די ווערט '3', מיסטאָמע אַ טעקסט אָנזאָג גראדן
ZDOCID	איז אומבאַקאַנט
ZENCRETRYCOUNT	אומבאַקאַנט, יוזשאַוואַלי כּולל די ווערט '0'
ZFILTEREDRECIPIENTCOUNT	אומבאַקאַנט, יוזשאַוואַלי כּולל די וואַלועס '0', '2', '256'
ZISFROMME	אָנזאָג ריכטונג: '0' - ינקאַמינג, '1' - אַוטגאָוינג
ZMESSAGEERRORSTATUS	אָנזאָג טראַנסמיסיע סטאַטוס. אויב דער אָנזאָג איז געשיקט / באקומען, עס האט די ווערט '0'
ZMESSAGETYPE	טיפּ פון אָנזאָג וואָס איז טראַנסמיטטעד
ZSORT	איז אומבאַקאַנט
ZSPOTLIGHSTATUS	איז אומבאַקאַנט
ZSTARRED	אומבאַקאַנט, ניט געוויינט
ZCHATSESSION	איז אומבאַקאַנט
ZGROUPMEMBER	אומבאַקאַנט, ניט געוויינט
ZLASTSESSION	איז אומבאַקאַנט
ZMEDIAITEM	איז אומבאַקאַנט
ZMESSAGEINFO	איז אומבאַקאַנט
ZPARENTMESSAGE	אומבאַקאַנט, ניט געוויינט
ZMESSAGEDATE	צייט סטאַמפּ אין OS X Epoch Time פֿאָרמאַט
ZSENTDATE	צייט ווען דער אָנזאָג איז געשיקט אין OS X Epoch Time פֿאָרמאַט
ZFROMJID	ווהאַצאַפּפּ סענדער שייַן
ZMEDIASECTIONID	כּולל די יאָר און חודש די מידיאַ טעקע איז געשיקט
זפהאַש	אומבאַקאַנט, ניט געוויינט
ZPUSHPAME	נאָמען פון דעם קאָנטאַקט וואָס געשיקט די מידיאַ טעקע אין UTF-8 פֿאָרמאַט
ZSTANZID	יינציק אָנזאָג ידענטיפיער
זטעקסט	אָנזאָג טעקסט
ZTOJID	באַקומער ס ווהאַצאַפּפּ שייַן
פאָטאָ	פאָרורטייל

טיש אויסזען 'ZWAMEDIAITEM':

סטרוקטור פון טיש 'ZWAMEDIAITEM'

פעלד נאָמען	ווערט
Z_PK	רעקאָרד סיקוואַנס נומער (אין SQL טיש)
ז_ענט	טיש אידענטיפיצירן, האט די ווערט '8'
Z_OPT	אומבאַקאַנט, יוזשאַוואַלי כּולל וואַלועס פון '1' צו '3'.
ZCLOUDSTATUS	כּולל די ווערט '4' אויב די טעקע איז לאָודיד.
ZFILESIZE	כּולל די טעקע לענג (אין ביטעס) פֿאַר דאַונלאָודיד טעקעס
ZMEDIAORIGIN	אומבאַקאַנט, יוזשאַוואַלי האט די ווערט '0'
זמאָוויעדוראַטיאָן	געדויער פון די מידיאַ טעקע, פֿאַר פּדף טעקעס קען אַנטהאַלטן די נומער פון בלעטער פון דעם דאָקומענט
ZMESSAGE	כּולל אַ סיריאַל נומער (די נומער איז אַנדערש פון די וואָס איז געוויזן אין די 'Z_PK' זייַל)
ZASPECTRATIO	אַספּעקט פאַרהעלטעניש, ניט געוויינט, יוזשאַוואַלי שטעלן צו '0'
זשאַקקוראַסי	אומבאַקאַנט, יוזשאַוואַלי האט די ווערט '0'
ZLATTITUDE	ברייט אין בילדצעלן
ZLONGTITUDE	הייך אין בילדצעלן
ZMEDIAURLDATE	צייט סטאַמפּ אין OS X Epoch Time פֿאָרמאַט
ZAUTHORNAME	מחבר (פֿאַר דאָקומענטן, קען אַנטהאַלטן דעם טעקע נאָמען)
ZCOLLECTIONNAME	נישט גענוצט
ZMEDIALOCALPATH	טעקע נאָמען (אַרייַנגערעכנט דרך) אין די מיטל טעקע סיסטעם
ZMEDIAURL	די URL ווו די מידיאַ טעקע איז ליגן. אויב אַ טעקע איז טראַנספערד פון איין אַבאָנענט צו אנדערן, עס איז ינקריפּטיד און זיין פאַרלענגערונג וועט זיין געוויזן ווי די פאַרלענגערונג פון די טראַנספערד טעקע - .enc
ZTHUMBNAILLOCALPATH	וועג צו דער טעקע טאַמנייל אין די מיטל טעקע סיסטעם
ZTITLE	טעקע כעדער
ZVARDNAME	האַש פון די מידיאַ טעקע; ווען טראַנספערינג די טעקע צו אַ גרופּע, עס קען אַנטהאַלטן די סענדער יידענאַפייד
ZVARDSTRING	כּולל אינפֿאָרמאַציע וועגן דעם טיפּ פון טעקע וואָס איז טראַנספערד (למשל בילד / דזשפּעג); ווען טראַנספערינג אַ טעקע צו אַ גרופּע, עס קען אַנטהאַלטן די באַקומער ס אידענטיטעט
ZXMPPTHUMBPATH	וועג צו דער טעקע טאַמנייל אין די מיטל טעקע סיסטעם
ZMEDIAKEY	אומבאַקאַנט, מיסטאָמע כּולל די שליסל צו דעקריפּט די ינקריפּטיד טעקע.
ZMETADATA	מעטאַדאַטאַ פון די טראַנסמיטטעד אָנזאָג
פאָטאָ	פאָרורטייל

אנדערע טשיקאַווע דאַטאַבייס טישן 'ChatStorage.sqlite' זענען:

• 'ZWAPROFILEPUSHNAME'. שוועבעלעך ווהאַצאַפּפּ שייַן מיט קאָנטאַקט נאָמען;
• 'ZWAPROFILEPICTUREITEM'. שוועבעלעך ווהאַצאַפּפּ שייַן מיט קאָנטאַקט אַוואַטאַר;
• 'Z_PRIMARYKEY'. דער טיש כּולל גענעראַל אינפֿאָרמאַציע וועגן דעם דאַטאַבייס, אַזאַ ווי די גאַנץ נומער פון אַרטיקלען סטאָרד, די גאַנץ נומער פון טשאַץ, אאז"ו ו.

אויך, ווען יגזאַמינינג ווהאַצאַפּפּ אויף אַ רירעוודיק מיטל מיט יאָס, איר זאָל באַצאָלן ופמערקזאַמקייט צו די פאלגענדע טעקעס:

• טעקע 'BackedUpKeyValue.sqlite'. כּולל קריפּטאָגראַפיק שליסלען און אנדערע דאַטן וואָס זענען נייטיק צו ידענטיפיצירן די חשבון באַזיצער. ליגן אויף דעם דרך: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• טעקע 'ContactsV2.sqlite'. כּולל אינפֿאָרמאַציע וועגן די קאָנטאַקטן פון די באַניצער, אַזאַ ווי פול נאָמען, טעלעפאָן נומער, קאָנטאַקט סטאַטוס (אין טעקסט פאָרעם), ווהאַצאַפּפּ שייַן, עטק. ליגן אויף דעם דרך: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• טעקע 'קאַנסומער_ווערסיע'. כּולל די ווערסיע נומער פון די אינסטאַלירן ווהאַצאַפּפּ אַפּלאַקיישאַן. ליגן אויף דעם דרך: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• טעקע 'current_wallpaper.jpg'. כּולל די קראַנט ווהאַצאַפּפּ הינטערגרונט טאַפּעטן. ליגן אויף דעם דרך: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. עלטערע ווערסיעס פון די אַפּלאַקיישאַן נוצן די טעקע 'וואָלפּייפּער', וואָס איז ליגן צוזאמען דעם דרך: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
• טעקע 'blockedcontacts.dat'. כּולל אינפֿאָרמאַציע וועגן אפגעשטעלט קאָנטאַקטן. ליגן אויף דעם דרך: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• טעקע 'pw.dat'. כּולל אַ ינקריפּטיד פּאַראָל. ליגן אויף דעם דרך: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
• טעקע 'נעט.ווהאַצאַפּפּ.ווהאַצאַפּפּ.פּליסט' (אָדער טעקע 'גרופּע.נעט.ווהאַצאַפּפּ.ווהאַצאַפּפּ.שאַרעד.פּליסט'). כּולל אינפֿאָרמאַציע וועגן דיין ווהאַצאַפּפּ חשבון פּראָפיל. דער טעקע איז ליגן אויף דעם דרך: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

אינהאַלט פון דער טעקע 'group.net.whatsapp.WhatsApp.shared.plist'
איר אויך דאַרפֿן צו באַצאָלן ופמערקזאַמקייט צו די פאלגענדע דירעקטעריז:

• דירעקטארי '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. כּולל טהומבנאַילס פון קאָנטאַקטן, גרופּעס (טעקע מיט די פאַרלענגערונג גראָבער פינגער), קאָנטאַקט אַוואַטאַרס, ווהאַצאַפּפּ חשבון באַזיצער אַוואַטאַר (טעקע 'Photo.jpg').
• דירעקטארי '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. כּולל מולטימעדיאַ טעקעס און זייער טהומבנאַילס
• דירעקטארי '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. כּולל די פּראָגראַם אָפּעראַציע קלאָץ (טעקע 'קאַללס.לאָג') און באַקאַפּ קאפיעס פון פּראָגראַם אָפּעראַציע לאָגס (טעקע 'calls.backup.log').
• דירעקטארי '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. כּולל סטיקערז (טעקע אין דעם פֿאָרמאַט '.וועב').
• דירעקטארי '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. כּולל פּראָגראַם אָפּעראַציע לאָגס.

ווהאַצאַפּפּ אַרטאַפאַקץ אויף ווינדאָוז

ווהאַצאַפּפּ אַרטאַפאַקץ אויף Windows קענען זיין געפֿונען אין עטלעכע ערטער. ערשטער פון אַלע, דאָס זענען דיירעקטעריז מיט עקסעקוטאַבלע און אַגזיליערי פּראָגראַם טעקעס (פֿאַר Windows 8/10):

• 'C: פּראָגראַם טעקעס (קס86) ווהאַצאַפּפּ'
• 'C:Users%User Profil% AppDataLocalWhatsApp'
• 'C:Users%User Profile% AppDataLocalVirtualStore פּראָגראַם טעקעס (קס86) ווהאַצאַפּפּ'

אין דעם קאַטאַלאָג 'C:Users%User Profil% AppDataLocalWhatsApp' די קלאָץ טעקע איז ליגן 'SquirrelSetup.log', וואָס כּולל אינפֿאָרמאַציע וועגן טשעק פֿאַר דערהייַנטיקונגען און ינסטאָלינג די פּראָגראַם.

אין דעם קאַטאַלאָג 'C:Users%User Profil% AppDataRoamingWhatsApp' עס זענען עטלעכע סובדירעקטאָריעס:

טעקע 'main-process.log' כּולל אינפֿאָרמאַציע וועגן די אָפּעראַציע פון ​​די ווהאַצאַפּפּ פּראָגראַם.

סובדירעקטאָרי 'דאַטאַבייסיז' כּולל אַ טעקע 'Databases.db', אָבער די טעקע כּולל קיין אינפֿאָרמאַציע וועגן טשאַץ אָדער קאָנטאַקטן.

די מערסט טשיקאַווע פֿון אַ פאָרענסיק פונט פון מיינונג זענען די טעקעס אין די וועגווייַזער 'קאַש'. די ביסט בייסיקלי טעקעס געהייסן 'פ*******' (וואו * איז אַ נומער פון 0 צו 9) מיט ינקריפּטיד מולטימעדיאַ טעקעס און דאָקומענטן, אָבער עס זענען אויך אַנענקריפּטיד טעקעס צווישן זיי. פון באַזונדער אינטערעס זענען די טעקעס 'דאַטן_0', 'דאַטן_1', 'דאַטן_2', 'דאַטן_3', ליגן אין דער זעלביקער סובדירעקטאָרי. טעקעס 'דאַטן_0', 'דאַטן_1', 'דאַטן_3' אַנטהאַלטן פונדרויסנדיק פֿאַרבינדונגען צו טראַנסמיטטעד ינקריפּטיד מולטימעדיאַ טעקעס און דאָקומענטן.

בייַשפּיל פון אינפֿאָרמאַציע קאַנטיינד אין טעקע 'דאַטאַ_1'
אויך טעקע 'דאַטן_3' קען אַנטהאַלטן גראַפיק טעקעס.

טעקע 'דאַטן_2' כּולל קאָנטאַקט אַוואַטאַרס (קענען זיין געזונט דורך זוכן דורך טעקע כעדערז).

אַוואַטאַרס קאַנטיינד אין דער טעקע 'דאַטן_2':

אזוי, די טשאַץ זיך קענען ניט זיין געפֿונען אין די זכּרון פון די קאָמפּיוטער, אָבער איר קענען געפֿינען:

• מולטימעדיאַ טעקעס;
• דאָקומענטן טראַנסמיטטעד דורך ווהאַצאַפּפּ;
• אינפֿאָרמאַציע וועגן די קאָנטאַקטן פון די חשבון באַזיצער.

ווהאַצאַפּפּ אַרטאַפאַקץ אויף מאַקאָס

אין MacOS איר קענען געפֿינען טייפּס פון ווהאַצאַפּפּ אַרטאַפאַקץ ענלעך צו די געפֿונען אין Windows OS.

די פּראָגראַם טעקעס זענען ליגן אין די פאלגענדע דירעקטעריז:

• 'C:ApplicationsWhatsApp.app'
• 'C:Applications._WhatsApp.app'
• 'C:Users%User Profil%LibraryPreferences'
• 'C:Users%User Profil%LibraryLogsWhatsApp'
• 'C:Users%User Profile%LibrarySaved Application StateWhatsApp.savedState'
• 'C:Users%User Profile%LibraryApplication Scripts'
• 'C:Users%User Profile%LibraryApplication SupportCloudDocs'
• 'C:Users%User Profile%LibraryApplication SupportWhatsApp.ShipIt'
• 'C:Users%User Profil%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
• 'C: יוזערז% באַניצער פּראָפיל% ביבליאָטעק מאָביל דאָקומענטן <טעקסט בייַטעוודיק> ווהאַצאַפּפּ אַקאַונץ'
  דער וועגווייַזער כּולל סובדירעקטאָריעס וועמענס נעמען זענען טעלעפאָן נומערן פֿאַרבונדן מיט די באַזיצער פון די ווהאַצאַפּפּ חשבון.
• 'C:Users%User profile%LibraryCachesWhatsApp.ShipIt'
  דער וועגווייַזער כּולל אינפֿאָרמאַציע וועגן ינסטאָלינג די פּראָגראַם.
• 'C:Users%User פּראָפיל%PicturesiPhoto Library.photolibraryMasters', 'C:Users%User פּראָפיל%PicturesiPhoto Library.photolibraryThumbnails'
  די דירעקטעריז אַנטהאַלטן סערוויס טעקעס פון די פּראָגראַם, אַרייַנגערעכנט פאָטאָס און טהומבנאַילס פון ווהאַצאַפּפּ קאָנטאַקטן.
• 'C:Users%User Profil%LibraryCachesWhatsApp'
  דער וועגווייַזער כּולל עטלעכע SQLite דאַטאַבייסיז וואָס זענען געניצט פֿאַר דאַטן קאַטשינג.
• 'C: יוזערז% באַניצער פּראָפיל% ביבליאָטעק אַפּפּליקאַטיאָן שטיצן ווהאַצאַפּפּ'
  דער וועגווייַזער כּולל עטלעכע סובדירעקטאָריעס:

  
  אין דעם קאַטאַלאָג 'C:Users%User Profile%LibraryApplication SupportWhatsAppCache' עס זענען טעקעס 'דאַטן_0', 'דאַטן_1', 'דאַטן_2', 'דאַטן_3' און טעקעס מיט נעמען 'פ*******' (וואו * איז אַ נומער פון 0 צו 9). פֿאַר אינפֿאָרמאַציע וועגן וואָס אינפֿאָרמאַציע די טעקעס אַנטהאַלטן, זען WhatsApp Artifacts אויף Windows.

  אין דעם קאַטאַלאָג 'C: יוזערז% באַניצער פּראָפיל% ביבליאָטעק אַפּפּליקאַטיאָן שטיצן ווהאַצאַפּפּ ינדעקסעדדב' קען אַנטהאַלטן מולטימעדיאַ טעקעס (טעקע האָבן קיין יקסטענשאַנז).

  טעקע 'main-process.log' כּולל אינפֿאָרמאַציע וועגן די אָפּעראַציע פון ​​די ווהאַצאַפּפּ פּראָגראַם.

קוואלן

1. פאָרענסיק אַנאַליסיס פון ווהאַצאַפּפּ מעסינדזשער אויף אַנדרויד סמאַרטפאָנעס, דורך Cosimo Anglano, 2014.
2. ווהאַצאַפּפּ פאָרענסיקס: וויסנשאפטלעכע סיסטעם און יקער דאַטן פֿאַר אַנדרויד און יאָס דורך Ahmad Pratama, 2014.

אין די פאלגענדע אַרטיקלען אין דעם סעריע:

דעקריפּטיאָן פון ינקריפּטיד ווהאַצאַפּפּ דאַטאַבייסיזאַן אַרטיקל וואָס וועט צושטעלן אינפֿאָרמאַציע וועגן ווי די WhatsApp ענקריפּשאַן שליסל איז דזשענערייטאַד און פּראַקטיש ביישפילן וואָס ווייַזן ווי צו דעקריפּט די ינקריפּטיד דאַטאַבייסיז פון דעם אַפּלאַקיישאַן.
עקסטראַקטינג ווהאַצאַפּפּ דאַטן פון וואָלקן סטאָרידזשאַן אַרטיקל אין וואָס מיר וועלן זאָגן איר וואָס ווהאַצאַפּפּ דאַטן זענען סטאָרד אין די וואלקנס און באַשרייַבן מעטהאָדס פֿאַר ריטריווינג די דאַטן פֿון וואָלקן סטאָרידזש.
ווהאַצאַפּפּ דאַטאַ יקסטראַקשאַן: פּראַקטיש ביישפילןאַן אַרטיקל וואָס וועט באַשרייַבן שריט דורך שריט וואָס מגילה און ווי צו עקסטראַקט ווהאַצאַפּפּ דאַטן פון פאַרשידן דעוויסעס.

מקור: www.habr.com