達思科技：安卓微信卸載后碎片級數據恢復技術
安卓系統是裝機量最多的智能手機系統，據opera平臺廣告公布的數據來看，安卓智能手機系統占有率已經接近70%。而在取證過程中遇到的智能手機也是如此，安卓手機的數量也是多的驚人。然而，取證人員經常會遇到苦惱的問題是，微信擁有7億手機客戶端用戶，但是取證的時候發現手機中的微信app已經被卸載掉了。就目前來看，支持安卓微信卸載后的數據恢復與取證的工具非常少。接下來我們來看看達思科技的手機數據恢復軟件怎么樣。
據達思科技技術專家表示，微信的數據庫EnMicroMsg.db,以及uin和imei有可能保存在手機中而不會被清零。根據這個線索，達思科技謀求多種解決方案。需要在手機的全鏡像中找到這三個數據，進而解密數據庫。
手機的串號和uin比較好找,它們只是一個小文件中的記錄.但是關鍵的數據:EnMicroMsg.db在存儲時有可能有碎片.我們怎么還原呢?根據存儲結構我們在全鏡像中搜索關鍵值,并對數據庫的0頁進行判斷,如果解密后符合數據庫結構,則我們認定這個關鍵值就是加密數據庫的解密字據。剩下的就是用這個解密字據對全鏡像進行解密,把符合message表提取出來,這樣就夠成了鏡像恢復安卓微信的全部內容。
原理有了以后，達思的工程師們在程序里經過多次測試，真實了整個過程的可行性。下面我來看一個真實的案例。
第一步、獲取到卸載微信app的安卓手機的全盤鏡像，這個在以前的章節里有說明，也可以查閱一下達思其他的技術文章。也可以用達思手機數據恢復軟件專業版獲取到全盤鏡像。
第二步、加載全盤鏡像，并且取得串號和uin并做運算。如圖一。
圖一、獲取串號和uin
第三步、對全盤鏡像解密，并且提取微信聊天記錄，這個過程異常復雜，運算量比較大，因此需要有足夠的耐心。我們測試的手機內存是32G的鏡像，曾經耗時30個小時。我們正在努力優化算法，以便提升運算效率。
圖二：解密鏡像運算進行中
第四步、獲得微信聊天記錄，經過驗證，被卸載后的微信聊天記錄恢復成功。如圖三所示。
圖三：安卓微信卸載后聊天記錄數據恢復成功。
關于達思科技
達思科技，國家級高新技術企業，天津市國家保密局涉密載體數據恢復唯一協作單位，數據恢復行業著名品牌，在國內乃至全亞洲數據恢復技術領先!
達思科技中國數據恢復與取證真專家!熱線：4007000017
更多數據恢復與取證前沿技術請關注微信公眾賬號：woocs
微信號：woocs
長按識別二維碼關注
專注數據恢復與取證技術、互聯網
投稿：woocs@qq.com
