【技术视界】WhatsApp取证：对未root手机的数据库解密以及删除数据的提取

pandahome 9 个月前

文章归档

166

WhatsAPP背景介绍

WhatsApp是全球最流行的即时通讯软件之一。根据2017年7月的统计数据，其月活跃用户数量达到了13亿。

而用户使用其交换的数据可能包含潜在的重要电子证据，因此WhatsApp是世界取证行业中重点关注的应用之一。但是在针对WhatsApp取证的过程中，取证人员可能会遭遇一系列的障碍，例如数据库加密，系统的安全机制，数据被删除破坏等。

01如何解密被加密的WhatsAPP数据库？

WhatsApp与很多其他App类似，使用SQLite数据库来存储它的数据。对于电子取证行业来说，其中最重要的是msgstore.db和wa.db这两个数据库文件。

msgstore.db中存储了聊天记录，wa.db中存储了联系人清单。

这些数据库文件很容易获取，因为WhatsApp自带备份功能，可以将数据库文件备份到SD卡中，取证人员不需要获取root权限就可以获得数据库文件。

但有一个问题是在最新版本的WhatsApp中，所有备份出来的数据库都是加密的，无法直接进行分析。数据库使用AES-256加密，媒体文件不加密。

怎样解密加密的WhatsApp数据库？

最关键的是获取到key文件。key文件是和备份同时生成的密钥文件，并且key文件因手机设备而异。所以要想解密数据库，必须首先从生成备份的手机上获取到key文件，其存储路径为：userdata/data/com.whatsapp/files/key。

根据我们效率源工程师的逆向工程和分析结果，我们开发出了一个WhatsApp数据库解密算法，并且我们将尽快将其集成到我们的手机取证系统中。帮助取证人员在不具备编程知识的情况下也能应对数据库加密的问题。

02如何绕过WhatsAPP加密保护？

解密数据库就需要获取key文件，但是key文件的存储路径需要root权限才能访问，所以在没有root权限的情况下key文件是很难获取到的。

那怎样可以绕过WhatsApp数据库加密的保护机制来提取数据呢？通过WhatsApp自带的备份功能备份的数据库文件是加密的，但是其本身的文件夹中存储的数据库文件并没有加密，常见的提取方法有下面两种：

1、使用手机自身的备份功能的方法

一些定制的安卓操作系统自带App数据备份功能（如小米、华为、OPPO）。系统备份可以将App的数据文件备份到SD卡中，让取证人员可以轻松获取。

下图展示的是以小米手机为例的备份操作过程：找到并打开备份功能，创建一个新的备份，确保勾选备份WhatsApp且不要设置备份密码。

接下来就可以在SD卡中找到WhatsApp的备份文件了，这样创建的备份将会是未加密的且包含了所有的数据库以及key等文件，取证人员仅需使用相应的数据库解析工具加载即可。

2、降级备份的方法

另一种方法是将WhatsApp应用降级到还没有备份加密的版本。WhatsApp 2.11.431版本是其最后一个不进行强制备份加密的版本，所以我们的方法就是在不删除数据的前提下，把应用降级到2.11.431以下然后进行备份提取。

但是，降级的操作要求取证人员具备一定的专业技能，若操作不当降级过程存在风险可能导致重要数据丢失。因此我们强烈建议使用专业的取证工具协助进行降级，不要手动操作。

03如何恢复删除的WhatsApp数据？

现在我们知道了怎样提取WhatsApp的数据库文件，那么怎样利用数据库文件恢复删除的WhatsApp消息呢？

首先我们需要了解，删除WhatsApp消息的方式有两种。一种是长按一条或多条消息并点击删除以逐条删除，另一种是在设置中一键清除/删除所有聊天消息。

而这两种方式删除的消息理论上都可以通过下面介绍的方法来恢复。

正如上文提到的，WhatsApp使用SQLite数据库存储其数据，而与安卓不同，苹果手机将所有WhatsApp的数据存储在ChatStorage.sqlite文件中。SQLite数据库文件往往都伴随着以“-wal”结尾的缓存文件，绝大数时候该文件的大小是0，但也有例外，若该文件不为0的时候，里面就存放了部分未来得及存放到该数据库中的信息。

如果对该缓存文件不进行处理，而直接打开该数据库，则会导致缓存文件被覆盖，那么里面的信息也就全部丢失了。

Whatsapp的正常聊天记录是存放在msgstore.db中，而通过分析之后发现删除记录是存放在msgstore.db-wal中的，该文件是msgstore.db的缓存文件。Whatsapp在存放聊天记录的时候都会先存放在该缓存文件，所以我们可以看到数据库的文件还没有缓存文件大。这是因为同一条消息在数据库中只会存放一条，但是在缓存文件中就可能出现很多次，这也为删除记录的恢复提供了可能。但在处理该缓存文件之前是不能直接打开数据库文件的，所以在此之前需要进行特征匹配处理，将缓存文件中的记录数据保存下来，再对数据进行处理。

例如消息“This is a test message”，在消息被删除后，很多时候其对应的在msgstore.db数据库中的记录也可能被清除掉了。