達思科技：安卓微信卸載后碎片級數(shù)據(jù)恢復技術(shù)
安卓系統(tǒng)是裝機量最多的智能手機系統(tǒng)，據(jù)opera平臺廣告公布的數(shù)據(jù)來看，安卓智能手機系統(tǒng)占有率已經(jīng)接近70%。而在取證過程中遇到的智能手機也是如此，安卓手機的數(shù)量也是多的驚人。然而，取證人員經(jīng)常會遇到苦惱的問題是，微信擁有7億手機客戶端用戶，但是取證的時候發(fā)現(xiàn)手機中的微信app已經(jīng)被卸載掉了。就目前來看，支持安卓微信卸載后的數(shù)據(jù)恢復與取證的工具非常少。接下來我們來看看達思科技的手機數(shù)據(jù)恢復軟件怎么樣。
據(jù)達思科技技術(shù)專家表示，微信的數(shù)據(jù)庫EnMicroMsg.db,以及uin和imei有可能保存在手機中而不會被清零。根據(jù)這個線索，達思科技謀求多種解決方案。需要在手機的全鏡像中找到這三個數(shù)據(jù)，進而解密數(shù)據(jù)庫。
手機的串號和uin比較好找,它們只是一個小文件中的記錄.但是關(guān)鍵的數(shù)據(jù):EnMicroMsg.db在存儲時有可能有碎片.我們怎么還原呢?根據(jù)存儲結(jié)構(gòu)我們在全鏡像中搜索關(guān)鍵值,并對數(shù)據(jù)庫的0頁進行判斷,如果解密后符合數(shù)據(jù)庫結(jié)構(gòu),則我們認定這個關(guān)鍵值就是加密數(shù)據(jù)庫的解密字據(jù)。剩下的就是用這個解密字據(jù)對全鏡像進行解密,把符合message表提取出來,這樣就夠成了鏡像恢復安卓微信的全部內(nèi)容。
原理有了以后，達思的工程師們在程序里經(jīng)過多次測試，真實了整個過程的可行性。下面我來看一個真實的案例。
第一步、獲取到卸載微信app的安卓手機的全盤鏡像，這個在以前的章節(jié)里有說明，也可以查閱一下達思其他的技術(shù)文章。也可以用達思手機數(shù)據(jù)恢復軟件專業(yè)版獲取到全盤鏡像。
第二步、加載全盤鏡像，并且取得串號和uin并做運算。如圖一。
圖一、獲取串號和uin
第三步、對全盤鏡像解密，并且提取微信聊天記錄，這個過程異常復雜，運算量比較大，因此需要有足夠的耐心。我們測試的手機內(nèi)存是32G的鏡像，曾經(jīng)耗時30個小時。我們正在努力優(yōu)化算法，以便提升運算效率。
圖二：解密鏡像運算進行中
第四步、獲得微信聊天記錄，經(jīng)過驗證，被卸載后的微信聊天記錄恢復成功。如圖三所示。
圖三：安卓微信卸載后聊天記錄數(shù)據(jù)恢復成功。
關(guān)于達思科技
達思科技，國家級高新技術(shù)企業(yè)，天津市國家保密局涉密載體數(shù)據(jù)恢復唯一協(xié)作單位，數(shù)據(jù)恢復行業(yè)著名品牌，在國內(nèi)乃至全亞洲數(shù)據(jù)恢復技術(shù)領(lǐng)先!
達思科技中國數(shù)據(jù)恢復與取證真專家!熱線：4007000017
更多數(shù)據(jù)恢復與取證前沿技術(shù)請關(guān)注微信公眾賬號：woocs
微信號：woocs
長按識別二維碼關(guān)注
專注數(shù)據(jù)恢復與取證技術(shù)、互聯(lián)網(wǎng)
投稿：woocs@qq.com
