आपके हाथ की हथेली में व्हाट्सएप: फोरेंसिक कलाकृतियों का आप कहां और कैसे पता लगा सकते हैं?

यदि आप यह जानना चाहते हैं कि विभिन्न ऑपरेटिंग सिस्टमों में व्हाट्सएप फॉरेंसिक कलाकृतियाँ मौजूद हैं और वास्तव में उनका पता लगाया जा सकता है, तो यहाँ आप हैं। इस लेख के साथ, कंप्यूटर फोरेंसिक के ग्रुप-आईबी प्रयोगशाला में विशेषज्ञ इगोर मिखाइलोव व्हाट्सएप फोरेंसिक जांच पर प्रकाशनों की एक श्रृंखला खोलता है और डिवाइस का विश्लेषण करके क्या जानकारी प्राप्त की जा सकती है।

बस ध्यान दें कि विभिन्न प्रकार के व्हाट्सएप कलाकृतियों को विभिन्न ऑपरेटिंग सिस्टम में संग्रहीत किया जाता है, और यदि कोई शोधकर्ता एक डिवाइस से कुछ प्रकार के व्हाट्सएप डेटा को निकाल सकता है, तो इसका मतलब यह नहीं है कि किसी अन्य डिवाइस से इस प्रकार के डेटा को निकाला जा सकता है। उदाहरण के लिए, यदि विंडोज चलाने वाली एक सिस्टम यूनिट को जब्त कर लिया जाता है, तो व्हाट्सएप चैट्स संभवतः इसके डिस्क पर नहीं मिलेंगे (आईओएस डिवाइसों की बैकअप प्रतियों को छोड़कर जो समान ड्राइव पर मिल सकते हैं)। लैपटॉप और मोबाइल उपकरणों को हटाने पर अपनी विशेषताओं होगी। आइए इस बारे में अधिक विस्तार से बात करते हैं।

एंड्रॉइड डिवाइस पर व्हाट्सएप कलाकृतियां

एंड्रॉइड चलाने वाले डिवाइस से व्हाट्सएप कलाकृतियों को निकालने के लिए, शोधकर्ता के पास जांच के तहत डिवाइस पर सुपरसुसर विशेषाधिकार ( 'रूट' ) होना चाहिए या डिवाइस की मेमोरी या इसकी फाइल सिस्टम के भौतिक डंप को निकालने में सक्षम होना चाहिए (उदाहरण के लिए, किसी विशिष्ट मोबाइल की सॉफ़्टवेयर क्षमताओं का उपयोग करना उपकरणों)।

एप्लिकेशन फाइलें उस फोन की मेमोरी में स्थित हैं जहां उपयोगकर्ता डेटा सहेजा गया है। आमतौर पर, इस अनुभाग को 'उपयोगकर्ताडेटा' नाम दिया गया है। उपनिर्देशिकाएँ और प्रोग्राम फ़ाइलें पथ के साथ स्थित हैं: '/data/data/com.whatsapp/' ।


एंड्रॉइड ओएस में व्हाट्सएप फॉरेंसिक कलाकृतियां रखने वाली मुख्य फाइलें 'वाडब' और 'मेसस्टोर' डी 'डेटाबेस हैं ।

'Wa.db' डेटाबेस में व्हाट्सएप के साथ पंजीकरण के दौरान निर्दिष्ट फोन नंबर, प्रदर्शन नाम, टाइमस्टैम्प और किसी भी अन्य जानकारी सहित व्हाट्सएप उपयोगकर्ता संपर्कों की एक पूरी सूची है। फ़ाइल 'wa.db' पथ के साथ स्थित है: '/data/data/com.whatsapp/dat डेटाबेस/' और इसमें निम्न संरचना है:


शोधकर्ता के लिए 'wa.db' डेटाबेस में सबसे दिलचस्प तालिकाएँ हैं:

• 'Wa_contacts'
  इस तालिका में संपर्क जानकारी है: व्हाट्सएप में संपर्क आईडी, स्थिति की जानकारी, उपयोगकर्ता नाम प्रदर्शित, समय टिकट, आदि।
  
  तालिका की उपस्थिति:
  
  
  
  
  
  तालिका संरचना

  क्षेत्र का नाम	मूल्य
  _ id	रिकॉर्ड सीरियल नंबर (SQL तालिका में)
  JID	व्हाट्सएप कॉन्टेक्ट आईडी, फॉर्मेट में लिखा <फोन नंबर> @ s.whatsapp.net
  is_whatsapp_user	यदि वास्तविक WhatsApp उपयोगकर्ता संपर्क से मेल खाता है, तो '1' है, अन्यथा '
  स्थिति	संपर्क स्थिति में प्रदर्शित पाठ शामिल है
  status_timestamp	यूनिक्स एपोच टाइम (एमएस) प्रारूप में टाइमस्टैम्प होता है
  संख्या	संपर्क से जुड़ा फोन नंबर
  raw_contact_id	संपर्क क्रमांक
  display_name	संपर्क नाम
  PHONE_TYPE	फोन प्रकार
  phone_label	संपर्क नंबर के साथ जुड़ा हुआ लेबल
  unseen_msg_count	संदेशों की संख्या जो संपर्क द्वारा भेजी गई थी, लेकिन प्राप्तकर्ता द्वारा नहीं पढ़ी गई थी
  photo_ts	यूनिक्स एपोच समय प्रारूप में टाइमस्टैम्प शामिल है
  thumb_ts	यूनिक्स एपोच समय प्रारूप में टाइमस्टैम्प शामिल है
  photo_id_timestamp	यूनिक्स एपोच टाइम (एमएस) प्रारूप में टाइमस्टैम्प होता है
  given_name	फ़ील्ड मान प्रत्येक संपर्क के लिए 'display_name' से मेल खाता है
  wa_name	WhatsApp संपर्क नाम (संपर्क प्रोफ़ाइल में निर्दिष्ट नाम प्रदर्शित करता है)
  sort_name	संपर्क नाम का उपयोग छँटाई के संचालन में किया जाता है
  उपनाम	WhatsApp संपर्क उपनाम (संपर्क प्रोफ़ाइल में निर्दिष्ट उपनाम प्रदर्शित करता है)
  कंपनी	कंपनी (संपर्क प्रोफ़ाइल में प्रदर्शित कंपनी प्रदर्शित की गई है)
  शीर्षक	अपील (मालकिन / सज्जन; संपर्क प्रोफ़ाइल में कॉन्फ़िगर किया गया पता प्रदर्शित होता है)
  ओफ़्सेट	विस्थापन

• 'Sqlite_sequence'
  इस तालिका में संपर्कों की संख्या पर जानकारी शामिल है;
• 'Android_metadata'
  इस तालिका में व्हाट्सएप भाषा स्थानीयकरण की जानकारी है।

डेटाबेस 'msgstore.db' में संचरित संदेशों, जैसे संपर्क नंबर, संदेश पाठ, संदेश स्थिति, टाइमस्टैम्प, संदेश में शामिल स्थानांतरित फ़ाइलों की जानकारी, आदि के बारे में जानकारी होती है। फ़ाइल 'msgstore.db' पथ के साथ स्थित है: '/data/data/com.whatsapp/dat डेटाबेस/' और इसमें निम्न संरचना है:


शोधकर्ता के लिए फ़ाइल 'msgstore.db' में सबसे दिलचस्प तालिकाएँ हैं:

• 'Sqlite_sequence'
  इस तालिका में इस डेटाबेस के बारे में सामान्य जानकारी है, उदाहरण के लिए, संग्रहीत संदेशों की कुल संख्या, चैट की कुल संख्या आदि।
  
  तालिका की उपस्थिति:
  
  
  
• 'Message_fts_content'
  प्रेषित संदेशों का पाठ समाहित करता है।
  
  तालिका की उपस्थिति:
  
  
  
• 'संदेश
  इस तालिका में संपर्क नंबर, संदेश पाठ, संदेश स्थिति, समय टिकट, संदेश में शामिल स्थानांतरित फ़ाइलों के बारे में जानकारी शामिल है।
  
  तालिका की उपस्थिति:
  
  
  
  
  
  तालिका संरचना

  क्षेत्र का नाम	मूल्य
  _ id	रिकॉर्ड सीरियल नंबर (SQL तालिका में)
  key_remote_jid	WhatsApp संचार साथी आईडी
  key_from_me	संदेश दिशा: '0' - इनकमिंग, '1' - आउटगोइंग
  KEY_ID	संदेश का विशिष्ट पहचानकर्ता
  स्थिति	संदेश की स्थिति: '0' - वितरित, '4' - सर्वर पर प्रतीक्षा कर रहा है, '5' - गंतव्य पर प्राप्त हुआ, '6' - नियंत्रण संदेश, '13' - संदेश प्राप्तकर्ता द्वारा खोला गया (पढ़ें)
  need_push	अगर यह एक प्रसारण संदेश है, तो इसका मूल्य '2' है, अन्यथा इसमें '0' है
  डेटा	संदेश पाठ (जब पैरामीटर 'media_wa_type' '0' है)
  टाइमस्टैम्प	इसमें यूनिक्स एपोच टाइम (एमएस) प्रारूप में टाइमस्टैम्प शामिल है, यह मान डिवाइस की घड़ी से लिया गया है
  MEDIA_URL	इसमें संचरित फ़ाइल का URL है (जब पैरामीटर 'media_wa_type' '1', '2', '3') है
  media_mime_type	स्थानांतरित फ़ाइल का MIME प्रकार (जब पैरामीटर 'media_wa_type' '1', '2', '3' के बराबर है)
  media_wa_type	संदेश प्रकार: '0' - टेक्स्ट, '1' - छवि फ़ाइल, '2' - ऑडियो फ़ाइल, '3' - वीडियो फ़ाइल, '4' - संपर्क कार्ड, '5' - जियोडेटा
  media_size	फ़ाइल स्थानांतरण आकार (जब पैरामीटर 'media_wa_type' '1', '2', '3') है
  MEDIA_NAME	स्थानांतरित फ़ाइल का नाम (जब पैरामीटर 'media_wa_type' '1', '2', '3') है
  media_caption	पैरामीटर 'media_wa_type' (जब पैरामीटर 'media_wa_type' '1', '3' के बराबर है) के संबंधित मानों के लिए 'ऑडियो', 'वीडियो' शब्द शामिल हैं
  media_hash	बेस 64 एनकोडेड हैश की संचरित फ़ाइल, जो एचएस -256 एल्गोरिथ्म के अनुसार गणना की जाती है (जब पैरामीटर 'media_wa_type' '1', '2', '3' है)
  media_duration	मीडिया फ़ाइल के लिए सेकंड में अवधि (जब पैरामीटर 'media_wa_type' '1', '2', '3') है
  मूल	अगर यह एक प्रसारण संदेश है, तो इसका मूल्य '2' है, अन्यथा इसमें '0' शामिल है
  अक्षांश	जियोडेटा: अक्षांश (जब पैरामीटर 'media_wa_type' '5' है)
  देशान्तर	जियोडेटा: देशांतर (जब पैरामीटर 'media_wa_type' '5' है)
  thumb_image	सेवा की जानकारी
  remote_recource	प्रेषक आईडी (केवल समूह चैट)
  received_timestamp	समय मिलता है, यूनिक्स एपोच समय (एमएस) प्रारूप में टाइमस्टैम्प होता है, यह मान डिवाइस की घड़ी से लिया जाता है (जब पैरामीटर 'key_from_me' में '0', '-1' या कोई अन्य मान होता है)
  send_timestamp	उपयोग नहीं किया जाता है, आमतौर पर -1 का मान होता है
  receipt_server_timestamp	केंद्रीय सर्वर द्वारा प्राप्त समय में, यूनिक्स एपोक टाइम (एमएस) प्रारूप में टाइमस्टैम्प होता है, यह मान डिवाइस की घड़ी से लिया जाता है (जब पैरामीटर 'key_from_me' में '1', '-1' या कोई अन्य मान होता है
  receipt_device_timestamp	जिस समय संदेश किसी अन्य ग्राहक द्वारा प्राप्त किया गया था, उसमें यूनिक्स एपोच टाइम (एमएस) प्रारूप में एक समय की मुहर होती है, यह मान डिवाइस की घड़ी से लिया जाता है (जब पैरामीटर 'key_from_me' में '1', '-1' या कोई अन्य मान होता है)
  read_device_timestamp	संदेश खोलने (पढ़ने) के समय, यूनिक्स एपोच टाइम (एमएस) प्रारूप में टाइमस्टैम्प होता है, मान डिवाइस की घड़ी से लिया जाता है
  played_device_timestamp	संदेश प्लेबैक समय, में यूनिक्स एपोच टाइम (एमएस) प्रारूप में एक समय टिकट होता है, यह मान डिवाइस की घड़ी से लिया जाता है
  raw_data	प्रेषित फ़ाइल का थंबनेल (जब पैरामीटर 'media_wa_type' '1' या '3' के बराबर है)
  recipient_count	प्राप्तकर्ताओं की संख्या (प्रसारण संदेशों के लिए)
  participant_hash	जियोडेटा के साथ संदेश भेजते समय उपयोग किया जाता है
  तारांकित	उपयोग नहीं किया गया
  quoted_row_id	अज्ञात, आमतौर पर '0' मान होता है
  mentioned_jids	उपयोग नहीं किया गया
  multicast_id	उपयोग नहीं किया गया
  ओफ़्सेट	विस्थापन

  
  खेतों की यह सूची संपूर्ण नहीं है। व्हाट्सएप के विभिन्न संस्करणों के लिए, कुछ फ़ील्ड मौजूद हो सकते हैं या नहीं भी। इसके अतिरिक्त, फ़ील्ड 'media_enc_hash' , 'edit_version' , 'payment_transaction_id' , आदि मौजूद हो सकते हैं।
• 'Messages_thumbnails'
  इस तालिका में स्थानांतरित छवियों और समय टिकटों के बारे में जानकारी है। 'टाइमस्टैम्प' कॉलम में, समय यूनिक्स एपोच टाइम (एमएस) प्रारूप में है।
• 'Chat_list'
  इस तालिका में चैट जानकारी है।
  
  तालिका की उपस्थिति:
  
  
  

इसके अलावा, एंड्रॉइड चलाने वाले मोबाइल डिवाइस में व्हाट्सएप पर शोध करते समय, आपको निम्न फ़ाइलों पर ध्यान देने की आवश्यकता है:

• फ़ाइल 'msgstore.db.cryptXX' (जहाँ XX 0 से 12 तक एक या दो अंक है, उदाहरण के लिए, msgstore.db.crypt12)। इसमें व्हाट्सएप संदेशों का एक एन्क्रिप्टेड बैकअप ( msgstore.db फ़ाइल का बैकअप) शामिल है। फ़ाइल (या फ़ाइलें) 'msgstore.db.cryptXX' पथ के साथ स्थित है: '/ डेटा / मीडिया / 0 / WhatsApp / डेटाबेस /' (वर्चुअल एसडी कार्ड), / mnt / sdcard / WhatsApp / डेटाबेस / (भौतिक एसडी-) कार्ड) '।
• फ़ाइल 'कुंजी' है । एक क्रिप्टोग्राफ़िक कुंजी शामिल है। यह पथ के साथ स्थित है: '/data/data/com.whatsapp/files/' । एन्क्रिप्टेड व्हाट्सएप बैकअप को डिक्रिप्ट करने के लिए उपयोग किया जाता है।
• फ़ाइल 'com.whatsapp_preferences.xml' । इसमें व्हाट्सएप अकाउंट प्रोफाइल के बारे में जानकारी है। फ़ाइल पथ पर स्थित है: '/data/data/com.whatsapp/sared_prefs/' ।
  
  
  फ़ाइल सामग्री स्निपेट

  <?xml version="1.0" encoding="ISO-8859-1"?> … <string name="ph">9123456789</string> ( ,    WhatsApp) … <string name="version">2.17.395</string> ( WhatsApp) … <string name="my_current_status">Hey there! I am using WhatsApp.</string> (,    ) … <string name="push_name">Alex</string> (  ) … 

• फ़ाइल 'पंजीकरण .egisterPhone.xml' । इसमें व्हाट्सएप अकाउंट से जुड़ी फोन नंबर की जानकारी है। फ़ाइल पथ पर स्थित है: '/data/data/com.whatsapp/sared_prefs/' ।
  
  
  फ़ाइल सामग्री

   <?xml version="1.0" encoding="ISO-8859-1"?> <map> <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string> <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/> <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/> <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string> <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/> <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string> <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string> </map> 

• फ़ाइल 'axolotl.db' । इसमें क्रिप्टोग्राफ़िक कुंजियाँ और अन्य डेटा शामिल हैं जो खाता स्वामी की पहचान करने के लिए आवश्यक हैं। यह पथ के साथ स्थित है: '/data/data/com.whatsapp/dat डेटाबेस/' ।
• फ़ाइल 'chatsettings.db' । अनुप्रयोग कॉन्फ़िगरेशन जानकारी शामिल है।
• फ़ाइल 'wa.db' । संपर्क विवरण शामिल हैं। एक बहुत ही दिलचस्प (फोरेंसिक पहलू में) और सूचनात्मक डेटाबेस। इसमें, हटाए गए संपर्कों के बारे में विस्तृत जानकारी पाई जा सकती है।

आपको निम्नलिखित निर्देशिकाओं पर भी ध्यान देना चाहिए:

• निर्देशिका '/ डेटा / मीडिया / 0 / व्हाट्सएप / मीडिया / व्हाट्सएप इमेज /' । इसमें ट्रांसफर की गई इमेज फाइलें हैं।
• निर्देशिका '/ डेटा / मीडिया / 0 / व्हाट्सएप / मीडिया / व्हाट्सएप वॉयस नोट्स /' । इसमें वॉयस मैसेज शामिल हैं ।OPUS फॉर्मेट फाइल।
• निर्देशिका '/data/data/com.whatsapp/cache/Profile Pictures /' । इसमें ग्राफिक फाइलें शामिल हैं - संपर्कों की छवियां।
• निर्देशिका '/data/data/com.whatsapp/files/Avatars/' । छवि फ़ाइलों में शामिल है - संपर्क छवियों के थंबनेल। इन फ़ाइलों का विस्तार '.j' है, लेकिन, फिर भी JPEG (JPG) प्रारूप में छवि फ़ाइलें हैं।
• निर्देशिका '/data/data/com.whatsapp/files/Avatars/' । खाता स्वामी द्वारा अवतार के रूप में स्थापित छवि की छवि फ़ाइलें - छवि और थंबनेल शामिल हैं।
• निर्देशिका '/data/data/com.whatsapp/files/Logs/' । इसमें प्रोग्राम ऑपरेशन लॉग (फ़ाइल 'whatsapp.log') और प्रोग्राम ऑपरेशन लॉग की बैकअप प्रतियां (प्रारूप नाम whatsapp-yyyy-mm-dd.1.log.gz के साथ फ़ाइलें) हैं।

WhatsApp लॉग फ़ाइलें:

• निर्देशिका '/ डेटा / मीडिया / 0 / व्हाट्सएप / मीडिया / व्हाट्सएप ऑडियो /' । ऑडियो फ़ाइलें प्राप्त करता है।
• निर्देशिका '/ डेटा / मीडिया / 0 / व्हाट्सएप / मीडिया / व्हाट्सएप ऑडियो / भेजा /' । भेजी गई ऑडियो फ़ाइलें हैं।
• निर्देशिका '/ डेटा / मीडिया / 0 / व्हाट्सएप / मीडिया / व्हाट्सएप इमेज /' । प्राप्त छवि फ़ाइलें हैं।
• निर्देशिका '/ डेटा / मीडिया / 0 / व्हाट्सएप / मीडिया / व्हाट्सएप इमेज / सेंट /' । भेजी गई छवि फ़ाइलें हैं।
• निर्देशिका '/ डेटा / मीडिया / 0 / व्हाट्सएप / मीडिया / व्हाट्सएप वीडियो /' । वीडियो फ़ाइलों को प्राप्त करता है।
• निर्देशिका '/ डेटा / मीडिया / 0 / व्हाट्सएप / मीडिया / व्हाट्सएप वीडियो / भेजा /' । अपलोड की गई वीडियो फ़ाइलें हैं।
• निर्देशिका '/ डेटा / मीडिया / 0 / व्हाट्सएप / मीडिया / व्हाट्सएप प्रोफाइल फोटो /' । इसमें व्हाट्सएप अकाउंट के मालिक से जुड़ी छवि फाइलें हैं।
• एंड्रॉइड स्मार्टफोन की मेमोरी में जगह बचाने के लिए, कुछ व्हाट्सएप डेटा को एसडी कार्ड पर स्टोर किया जा सकता है। एसडी कार्ड पर, रूट डायरेक्टरी में, एक 'व्हाट्सएप' डायरेक्टरी है, जहाँ इस प्रोग्राम की निम्न कलाकृतियाँ पाई जा सकती हैं:
  
  
  
• निर्देशिका '.Share' ( '/mnt/sdcard/WhatsApp/.Share/' )। उन फ़ाइलों की प्रतियाँ शामिल हैं जिन्हें अन्य व्हाट्सएप उपयोगकर्ताओं को हस्तांतरित किया गया है।
• निर्देशिका '.trash' ( '/mnt/sdcard/WhatsApp/.trash/ ' )। नष्ट फ़ाइलें शामिल हैं।
• निर्देशिका 'डेटाबेस' ( '/ mnt / sdcard / WhatsApp / डेटाबेस /' )। एन्क्रिप्टेड बैकअप शामिल हैं। उन्हें विश्लेषण की गई डिवाइस की मेमोरी से निकाली गई 'की' फाइल की उपस्थिति में डिक्रिप्ट किया जा सकता है।
  
  'डेटाबेस' उपनिर्देशिका में फाइलें:
  
  
  
• निर्देशिका 'मीडिया' ( '/ mnt / sdcard / WhatsApp / Media /' )। उपनिर्देशिका 'वालपेपर' , 'व्हाट्सएप ऑडियो' , 'व्हाट्सएप इमेजेज' , 'व्हाट्सएप प्रोफाइल फोटो' , 'व्हाट्सएप वीडियो' , 'व्हाट्सएप वॉयस नोट्स' शामिल हैं , जिसमें मल्टीमीडिया फाइल (इमेज फाइल, वीडियो फाइल, वॉयस मैसेज) प्राप्त और ट्रांसमिट होती हैं। व्हाट्सएप खाता धारक प्रोफाइल, वॉलपेपर के साथ जुड़े फोटो)।
• निर्देशिका 'प्रोफ़ाइल चित्र' ( '/ mnt / sdcard / WhatsApp / प्रोफ़ाइल चित्र /' )। इसमें व्हाट्सएप खाता धारक प्रोफाइल से जुड़ी छवि फाइलें शामिल हैं।
• कभी-कभी निर्देशिका 'फाइलें' ( '/ mnt / sdcard / WhatsApp / Files /' ) एसडी कार्ड पर मौजूद हो सकती है। इस निर्देशिका में प्रोग्राम सेटिंग्स और उपयोगकर्ता वरीयताओं को संग्रहीत करने वाली फाइलें शामिल हैं।

मोबाइल उपकरणों के कुछ मॉडलों में डेटा भंडारण की सुविधाएँ

कुछ Android मोबाइल उपकरणों पर, व्हाट्सएप कलाकृतियों को कहीं और संग्रहीत किया जा सकता है। यह मोबाइल डिवाइस के सिस्टम सॉफ्टवेयर द्वारा एप्लिकेशन डेटा के भंडारण स्थान में बदलाव के कारण है। इसलिए, उदाहरण के लिए, Xiaomi मोबाइल उपकरणों का दूसरा कार्यक्षेत्र ("सेकंडस्पेस") बनाने का कार्य है। जब यह फ़ंक्शन सक्रिय होता है, तो डेटा का स्थान बदल जाता है। इसलिए, यदि एंड्रॉइड ओएस उपयोगकर्ता डेटा चलाने वाले एक नियमित मोबाइल डिवाइस में निर्देशिका '/ डेटा / उपयोगकर्ता / 0 /' (जो सामान्य '/ डेटा / डेटा /' के लिए एक लिंक है) में संग्रहीत किया जाता है, तो दूसरे कार्यक्षेत्र में एप्लिकेशन डेटा निर्देशिका में संग्रहीत किया जाता है '/ डेटा / उपयोगकर्ता / 10 /' । उदाहरण के लिए, फ़ाइल 'wa.db' का स्थान :

• एक नियमित Android स्मार्टफोन में: /data/user/0/com.whatsapp/dat डेटाबेस/wa.db (जो '/data/data/com.whatsapp/dat डेटाबेस/wa.db' के बराबर है ) ;
• Xiaomi स्मार्टफोन के दूसरे कार्यक्षेत्र में: '/data/user/10/com.whatsapp/dat डेटाबेस/wa.db' ।

आईओएस डिवाइस पर व्हाट्सएप कलाकृतियां

एंड्रॉइड ओएस के विपरीत, आईओएस में व्हाट्सएप एप्लिकेशन डेटा को एक बैकअप कॉपी (आईट्यून्स बैकअप) में स्थानांतरित किया जाता है। इसलिए, इस एप्लिकेशन से डेटा निकालने के लिए फ़ाइल सिस्टम को निकालने या जांच के तहत डिवाइस की भौतिक मेमोरी डंप बनाने की आवश्यकता नहीं होती है। अधिकांश प्रासंगिक जानकारी 'ChatStorage.sqlite' डेटाबेस में सम्‍मिलित है, जो पथ के साथ स्थित है: '/ pp/p////// -group.net.whatsapp.WhatsApp.sared ' )।

'ChatStorage.sqlite' की संरचना:


ChatStorage.sqlite डेटाबेस में सबसे अधिक जानकारी तालिका ZWAMESSAGE और ZWAMEDIAITEM है ।

तालिका 'ZWAMESSAGE' की उपस्थिति:



तालिका 'ZWAMEDIAITEM' की उपस्थिति:



अन्य दिलचस्प 'ChatStorage.sqlite' डेटाबेस टेबल हैं:

• 'ZWAPROFILEPUSHNAME' । संपर्क के नाम के साथ व्हाट्सएप आईडी के अनुरूप;
• 'ZWAPROFILEPICTUREITEM' । संपर्क अवतार के साथ व्हाट्सएप आईडी को सहसंबंधित;
• 'Z_PRIMARYKEY' । तालिका में इस डेटाबेस के बारे में सामान्य जानकारी शामिल है, जैसे संग्रहीत संदेशों की कुल संख्या, चैट की कुल संख्या आदि।

इसके अलावा, जब iOS पर चलने वाले मोबाइल डिवाइस पर WhatsApp पर शोध किया जाता है, तो आपको निम्नलिखित फाइलों पर ध्यान देने की आवश्यकता है:

• फ़ाइल 'BackedUpKeyValue.sqlite' । इसमें क्रिप्टोग्राफ़िक कुंजियाँ और अन्य डेटा शामिल हैं जो खाता स्वामी की पहचान करने के लिए आवश्यक हैं। यह पथ के साथ स्थित है: /pStreet/var/mobile/Applications/group.net.whatsapp.WhatsApp.sared/ ।
• फ़ाइल 'ContactsV2.sqlite' । इसमें उपयोगकर्ता के संपर्कों के बारे में जानकारी होती है, जैसे कि पूर्ण नाम, फोन नंबर, संपर्क स्थिति (पाठ के रूप में), व्हाट्सएप आईडी, आदि। यह पथ के साथ स्थित है: /pStreet/var/mobile/Applications/group.net.whatsapp.WhatsApp.sared/ ।
• फ़ाइल 'Consumer_version' । इंस्टॉल किए गए व्हाट्सएप एप्लिकेशन के वर्जन नंबर को शामिल करता है। यह पथ के साथ स्थित है: /pStreet/var/mobile/Applications/group.net.whatsapp.WhatsApp.sared/ ।
• फ़ाइल 'current_wallpaper.jpg' । वर्तमान व्हाट्सएप पृष्ठभूमि वॉलपेपर शामिल है। यह पथ के साथ स्थित है: /pStreet/var/mobile/Applications/group.net.whatsapp.WhatsApp.sared/ । एप्लिकेशन के पुराने संस्करणों में, फ़ाइल 'वॉलपेपर' का उपयोग किया जाता है , जो पथ के साथ स्थित होता है: '/ pStreet/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/' ।
• फ़ाइल 'blockcontacts.dat' । अवरुद्ध संपर्कों के बारे में जानकारी शामिल है। यह पथ के साथ स्थित है: /pStreet/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/ ।
• फ़ाइल 'pw.dat' । एक एन्क्रिप्टेड पासवर्ड शामिल है। यह रास्ते में स्थित है: ' / / निजी / मोबाइल / मोबाइल / आवेदन / नेट । व्हाट्सएप । व्हाट्सएप / लाइंस /' ।
• फ़ाइल 'net.whatsapp.WhatsApp.plist' (या फ़ाइल 'group.net.whatsapp.WhatsApp.sared.plist' )। व्हाट्सएप अकाउंट प्रोफाइल के बारे में जानकारी रखता है। यह फ़ाइल पथ पर स्थित है: ' / / सहायता / मोबाइल / मोबाइल / आवेदन / समूह / लिंक । व्हाट्सएप । व्हाट्सएप । एसएमएस / सीमाएँ / संदर्भ /' ।

आपको निम्नलिखित निर्देशिकाओं पर भी ध्यान देना चाहिए:

• निर्देशिका '/ / सहायता / मोबाइल / मोबाइल / आवेदन / समूह । Whatsapp.WhatsApp.sared/Media/Profile/' । इसमें कॉन्टैक्ट्स, ग्रुप्स ( .thumb एक्सटेंशन वाली फाइलें), कॉन्टैक्ट्स के अवतार, व्हाट्सएप अकाउंट के मालिक का अवतार (फाइल 'Photo.jpg' ) शामिल हैं।
• निर्देशिका '/ / सहायता / मोबाइल / मोबाइल / आवेदन / समूह। Com। व्हाट्सएप। व्हाट्सएप। संदेश / मीडिया /' । मल्टीमीडिया फ़ाइलें और उनके थंबनेल शामिल हैं
• निर्देशिका '/ / सहायता / मोबाइल / मोबाइल / आवेदन / सूचकांक । व्हाट्सएप । व्हाट्सएप / विज्ञापन /' । इसमें प्रोग्राम का लॉग (फाइल 'कॉल.लॉग' ) और प्रोग्राम के लॉग की बैकअप प्रतियां (फाइल 'कॉल.बैकअप.लॉग' ) शामिल हैं।
• कैटलॉग '/p तंत्र/var/mobile/Applications/group.net.whatsapp.WhatsApp.sared/stickers/' । इसमें स्टिकर ( '.webp' प्रारूप में फाइलें) शामिल हैं।
• The / / सहायता / मोबाइल / मोबाइल / इप्लिकेशंस / नेट.व्हाट्सएप । व्हाट्सएप / लॉर्ड्स / लिंक / ’ निर्देशिका। कार्यक्रम के लॉग शामिल हैं।

विंडोज पर WhatsApp कलाकृतियों

विंडोज पर WhatsApp कलाकृतियों कई स्थानों पर पाया जा सकता है। सबसे पहले, ये प्रोग्राम की निष्पादन योग्य और सहायक फाइलें (विंडोज 8/10 के लिए) युक्त निर्देशिकाएं हैं:

• 'C: \ Program Files (x86) \ WhatsApp \'
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ AppData \ Local \ WhatsApp \'
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ AppData \ Local \ VirtualStore \ Program फ़ाइलें (x86) \ WhatsApp \'

निर्देशिका 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ AppData \ Local \ WhatsApp \' में लॉग फ़ाइल 'SquirrelSetup.log' स्थित है , जिसमें अद्यतनों की जाँच करने और प्रोग्राम को स्थापित करने की जानकारी है।

निर्देशिका 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ AppData \ Roaming \ WhatsApp \' में कई उपनिर्देशिकाएँ हैं:


फ़ाइल 'main-process.log' में व्हाट्सएप प्रोग्राम के संचालन की जानकारी है।

उपनिर्देशिका 'डेटाबेस' में ' Dat डेटाबेस .db ' फ़ाइल शामिल है, लेकिन इस फ़ाइल में चैट या संपर्कों के बारे में कोई जानकारी नहीं है।

फोरेंसिक के दृष्टिकोण से सबसे दिलचस्प 'कैश' निर्देशिका में स्थित फाइलें हैं। मूल रूप से ये 'f _ *******' नाम से फाइलें होती हैं (जहाँ * 0 से 9 तक की संख्या होती है) जिसमें एन्क्रिप्टेड मल्टीमीडिया फाइलें और दस्तावेज़ होते हैं, लेकिन उनमें से अनएन्क्रिप्टेड फाइलें भी होती हैं। विशेष रूप से रुचि की फाइलें 'data_0' , 'data_1' , 'data_2' , 'data_3' समान उपनिर्देशिका में स्थित हैं। फ़ाइलें 'data_0' , 'data_1' , 'data_3' में बाहरी एन्क्रिप्टेड मल्टीमीडिया फ़ाइलों और दस्तावेजों के बाहरी लिंक होते हैं।


इसके अलावा, फ़ाइल 'data_3' में छवि फ़ाइलें हो सकती हैं।

फ़ाइल 'data_2' में संपर्क अवतार शामिल हैं (फ़ाइल हेडर की खोज करके इसे पुनर्स्थापित किया जा सकता है)।

Avatars 'data_2' फ़ाइल में निहित है:


इस प्रकार, चैट स्वयं कंप्यूटर मेमोरी में नहीं मिल सकती हैं, लेकिन आप पा सकते हैं:

• मल्टीमीडिया फाइलें;
• व्हाट्सएप का उपयोग कर प्रेषित दस्तावेज
• खाता स्वामी के संपर्कों के बारे में जानकारी।

MacOS पर WhatsApp कलाकृतियों

MacOS पर, आप व्हाट्सएप पर पाए जाने वाले व्हाट्सएप आर्टिफिशियल प्रकारों को उसी तरह पा सकते हैं।

प्रोग्राम फ़ाइलें निर्देशिकाओं में स्थित हैं:

• 'C: \ Applications \ WhatsApp.app \'
• 'C: \ Applications \ ._ WhatsApp.app \'
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Preferences \'
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Logs \ WhatsApp \'
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Saved अनुप्रयोग State \ WhatsApp.savedState \'
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Application स्क्रिप्ट्स'
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Application सहायता \ CloudDocs \'
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Application सहायता \ WhatsApp.ShipIt \'
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ कंटेनर \ com.rockysandstudio.app-for-whatsapps' '
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Mobile दस्तावेज़ \ <पाठ चर> WhatsApp \ Accounts'
  इस निर्देशिका में उपनिर्देशिकाएँ हैं जिनके नाम व्हाट्सएप खाते के मालिक के साथ जुड़े फोन नंबर हैं।
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Caches \ WhatsApp.ShipIt \'
  इस निर्देशिका में प्रोग्राम इंस्टॉल करने की जानकारी है।
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Pictures \ iPhoto.photolibrary लाइब्रेरी \ मास्टर्स' , 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Pictures \ iPhoto.photolibrary लाइब्रेरी \ Photo \ Thumbnails \'
  इन निर्देशिकाओं में कार्यक्रम के लिए उपयोगिता फाइलें शामिल हैं, जिसमें व्हाट्सएप संपर्कों के फोटो और थंबनेल भी शामिल हैं।
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Caches \ WhatsApp \'
  इस निर्देशिका में कई SQLite डेटाबेस हैं जो डेटा को कैश करने के लिए उपयोग किए जाते हैं।
• 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Application Support \ WhatsApp \'
  इस निर्देशिका में कई उपनिर्देशिकाएँ हैं:
  
  
  
  
  निर्देशिका 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Application Support \ WhatsApp \ Cache \' में फ़ाइलें 'data_0' , 'data_1' , 'data_2' , 'data_3' और 'f _ ****' नाम वाली फाइलें शामिल हैं। *** ' (जहां * 0 से 9 तक की संख्या है)। इन फ़ाइलों में कौन सी जानकारी शामिल है, इसकी जानकारी "व्हाट्सएप विंडोज आर्टवर्क" अनुभाग में वर्णित है।
  
  निर्देशिका 'C: \ Users \% उपयोगकर्ता प्रोफ़ाइल% \ Library \ Application Support \ WhatsApp \ IndexedDB \' में मल्टीमीडिया फ़ाइलें (फाइलें एक्सटेंशन नहीं हैं) हो सकती हैं।
  
  फ़ाइल 'main-process.log' में व्हाट्सएप प्रोग्राम के संचालन की जानकारी है।

इस श्रृंखला में निम्नलिखित लेख:





ग्रुप-आईबी साइबर क्राइम के बारे में सब कुछ जानता है, लेकिन सबसे दिलचस्प बातें बताता है।

सूचना सुरक्षा, हैकर्स और साइबर हमलों, हैकविवि और इंटरनेट समुद्री डाकू पर एक्शन से भरपूर टेलीग्राम चैनल (https://t.me/Group_IB)। कदम से सनसनीखेज साइबर अपराध की जांच, समूह-आईबी प्रौद्योगिकियों का उपयोग करके व्यावहारिक मामले और निश्चित रूप से, इंटरनेट पर शिकार बनने से बचने के तरीके के बारे में सिफारिशें।

YouTube चैनल ग्रुप-आईबी
इंस्टाग्राम www.instagram.com/group_ib पर ग्रुप-आईबी फोटोग्राफ
Twitter लघु समाचार twitter.com/GroupIB

ग्रुप-आईबी साइबर हमलों का पता लगाने और रोकने, धोखाधड़ी का पता लगाने और सिंगापुर में मुख्यालय वाले नेटवर्क में बौद्धिक संपदा की रक्षा करने के लिए समाधान के अग्रणी डेवलपर्स में से एक है।