2019新年已经在向我们招手，马上就是春节啦！小编提前在这里给人人拜个早年！今天给人人带来年底最后一篇技术文章，祝人人新的一年在电子数据取证工作上势如破“猪”！
在一样平常办案过程中，技术人员常会处置有关微信谈天数据的恢复工作。其中有一类新闻对照特殊，那就是撤回新闻，它不属于删除新闻，然则形式却与删除新闻类似，亦即被撤回之后的新闻也是不能见的，而且很难被提取。
在这篇文章中，我们就对Android撤回新闻的恢复举行简朴的探讨。
关于微信撤回新闻
从微信6.6版本到现在微信7.0版本，都有一个功效：撤回新闻可以重新编辑。即在发送新闻被撤回之后的2分钟内点击重新编辑，可以对撤回的新闻举行再编辑，2分钟以后若是没有编辑操作就会自动消逝。
从该功效不难发现，撤回新闻其实是存放在某文件中，而不是撤回之后就立刻删除。
微信撤回新闻恢复难点
那撤回新闻事实存放在那里呢？通过研究发现，撤回新闻被存放于微信用户账号文件夹下的FTS5IndexMicroMsg.db-journal文件中。
而在现实的办案过程中，可能会由于一些误操作（好比装备关机、重启、退出微信等）而使得存放撤回新闻的缓存文件被消灭，从而不能正常恢复出撤回新闻，这就给办案工作人员带来不少困扰。
下面就将详细的Android撤回新闻恢复步骤和人人分享，仅供参考！
详细操作步骤
1、事前准备
1）操作手机
一个能够获取数据的Android装备：以OPPO R11 plus（Android版本7.1.1，具有root权限）为例举行解说；
确保Android装备中的微信存在过撤回新闻；
2）数据查找工具
winhex：用于查看缓存文件的二进制值
2、模拟缔造需恢复的数据
有赞微商城收费多少，有赞的收费标准说明
△模拟操作数据
3、查找微信撤回数据缓存文件
1）通过adb指令获取输入模拟数据之后的FTS5IndexMicroMsg.db-journal文件；
2）使用winhex打开获得的缓存文件，搜索模拟录入的数据，发现未找到。
4、重启手机装备（在重启前不退出微信）
1）重启手机装备之后，打开微信，输入一条测试数据，如“dianzishujuquzheng”，并将其撤回。
△测试数据
2）再次输入adb下令获得FTS5IndexMicroMsg.db-journal文件，然后通过剖析，找出最先所录入的模拟数据，如下图所示。
注意事项
1、由于数据是存放在缓存中的，以是转变的频率过高，使得恢复的效果需凭据现实情形而定。
2、通过对比测试之后，发现以下两种情形可以通过上述方式恢复被撤回新闻：
退出应用被消灭缓存文件；
重启手机被消灭缓存文件；
3、对中英文差别数据对比后发现，英文的效果比中文好，因中文一样平常为utf-8编码，一个中文通常占多个字节，以是容易被打散，很难获得较为完整的新闻。
4、对于差别型号装备，差别系统版本，恢复效果也有较大差异，本文仅提供参考思绪，详细恢复操作需连系现实情形现实剖析。
“
本文，我们先容了一种恢复微信撤回新闻缓存文件的方式，主要目的是和人人分享一种在恢复不出撤回新闻时（注：因关机、重启或退出应用而使得缓存文件被消灭或修改）的剖析思绪和操作方式。
但在现实场景中需慎用，由于需要毗邻网络，可能被人通过远程消灭所有数据等，请联系专业人员举行操作。
本文来源于自互联网，不代表n5网立场，侵删。发布者：虚拟资源中心，转载请注明出处：https://www.n5w.com/323269.html
微信扫一扫 
