龙信杯 手机部分

原创

QAQ
QAQ

QAQ的奇怪角落

2026年11月6日 00:09
四川

去阅读

呃 ... 用了一下取证大师啊 想明白了很多事 感觉一下子就通透了()

确实专业的工具对取证的帮助针对很大 尤其是这样的 emm 比较常规简单的镜像

1. 对手机检材进行分析，嫌疑人曾预定在哪个小区吃饭？[标准格式：东方文慧一区]

在微信聊天记录里手动解密微信数据库

呃... 简单说一下这个检材怎么手动解密微信叭

这里需要记住的是安卓微信数据库密钥的派生逻辑和加密方式

派生逻辑是 key = md5(imei + uin)[:7] 加密方式则是 SQLcipher v1

然后难点就是怎么找 imei 和 uin

首先是看到 shared_prefs/auth_info_key_prefs.xml可以找到uin -598263202

接下来看到 files/KeyInfo.bin ， 使用硬编码的密钥 _wEcHAT_ RC4 解密

拿到 imei 1234567890ABCDEF

所以key 就是 3ef3b11

一点小牢骚叭

美亚的超级取证大师其实去年美亚杯的时候用过一段时间，那个时候可能是因为还算一个比较新的工具叭 有很多毛病 其实用着挺烧心的。然后美亚杯结束之后 授权就没了嘛 我又没有其他的工具 就跟着 FTK 和 X-ways 手搓喽 后面慢慢习惯了然后又有了AI 就觉得感觉...也没什么大不了的

然后就周末打了一下川警的比赛 没有ai嘛 就 确实 有点无力 然后就重新搞了一个取证大师 呃... 有点小挫败叭

喵呜最近在改数据库 原先用sqlite写速度有点慢() 当时没考虑sqlite只能串行写来着()

最后宣传一下朋友的公众号叭