CN106549948A - android平台下telegram应用多媒体取证方法 - Google Patents

android平台下telegram应用多媒体取证方法 Download PDF

Info

Publication number
CN106549948A
CN106549948A CN201610914988.1A CN201610914988A CN106549948A CN 106549948 A CN106549948 A CN 106549948A CN 201610914988 A CN201610914988 A CN 201610914988A CN 106549948 A CN106549948 A CN 106549948A
Authority
CN
China
Prior art keywords
data
file
message
telegram
byte
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201610914988.1A
Other languages
English (en)
Other versions
CN106549948B (zh
Inventor
吴松洋
张旭
刘善军
刘欣
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Third Research Institute of the Ministry of Public Security
Original Assignee
Third Research Institute of the Ministry of Public Security
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Third Research Institute of the Ministry of Public Security filed Critical Third Research Institute of the Ministry of Public Security
Priority to CN201610914988.1A priority Critical patent/CN106549948B/zh
Publication of CN106549948A publication Critical patent/CN106549948A/zh
Application granted granted Critical
Publication of CN106549948B publication Critical patent/CN106549948B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L51/00—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail
    • H04L51/07—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail characterised by the inclusion of specific contents
    • H04L51/10—Multimedia information
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6227—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database where protection concerns the structure of data, e.g. records, types, queries
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/40—Support for services or applications
    • H04L65/401—Support for services or applications wherein the services involve a main real-time session and one or more additional parallel real-time or time sensitive sessions, e.g. white board sharing or spawning of a subconference

Abstract

本发明公开了一种android平台下telegram应用多媒体取证方法，其通过运行telegram应用的android平台下名称为cache4.db的文件中的media_v2表中存储的数据信息，进行android平台下telegram应用的多媒体信息的取证。本发明提供的取证方法有效实现在不破坏即时通信消息完整性和加密性的前提下，提取android平台下telegram应用的多媒体数据信息。且该取证方法可靠性和可操作性强。

Description

android平台下telegram应用多媒体取证方法
技术领域
本发明涉及电子数据取证，特别涉及android平台下telegram应用多媒体取证技术。
背景技术
Telegram，中文名称为电报，是一个基于云的即时通讯服务应用。Telegram应用针对智能手机终端的不同，分别在iOS平台和android平台下有不同的手机应用。用户可以通过telegram应用发送任何类型的消息和交换照片、视频以及音频文件。电报账户绑定的是用户的电话号码，并通过短信或电话进行验证。用户可以将多台设备添加到自己的账户，并在每一个接收消息。用户连接的设备可单独或一次全部被删除。相关联的号码可以在任何时候被改变，用户的联系人将自动接收新的号码。用户可以设置一个别名，使他们能够发送和接收消息，而不会暴露他们的电话号码。
Telegram应用使用的登录身份验证的默认方法是基于SMS的单因素认证。Telegram的消息是基于云计算的消息，并可以在任何用户的连接设备的访问。用户可以共享照片，视频，音频信息和其它文件。用户可以单独或多达5,000个成员的组发送消息给其他用户。Telegram的传输以电报使者LLP服务器上的邮件进行加密，该服务为MTProto协议。根据消息报文传输的隐私性，所有数据都存储大量加密，并在每种情况下，加密密钥存储在不同的司法管辖区的其他几个DC上。这样使得取证工程师或物理入侵者无法获得访问用户数据。
发明内容
针对现有Telegram应用的特点，需要一种针对telegram应用的电子数据取证方法。
由此，本发明所要解决的技术问题是提供一种android平台下telegram应用多媒体取证方法，该取证方法能够在不破坏即时通信消息完整性和加密性的前提下提取相应的数据信息。
为了达到上述目的，本发明提供的一种android平台下telegram应用多媒体取证方法，所述取证方法通过运行telegram应用的android平台下名称为cache4.db的文件中的media_v2表中存储的数据信息，进行android平台下telegram应用的多媒体信息的取证。
优选的，所述取证方法中首先获取运行telegram应用的android平台的ROOT权限；接着查找运行telegram应用的android平台下名称为cache4.db的文件；接着，将查找到的cache4.db文件导出到本地的文件系统中。
优选的，所述取证方法通过SQLite数据库查看工具从cache4.db文件中获取media_v2表。
优选的，所述取证方法针对不同多媒体信息的类型，由media_v2表获取cache4.db文件下message表中对应的message消息记录；再根据该message消息记录内容确定相应类型多媒体信息的特征字节及文件名格式信息，并由此针对相应类型多媒体信息进行取证。
优选的，所述取证方法中利用{0xc7,0xac,0x64,0x96}这四个字节确定音频文件中特征字节及文件名格式信息，并由此对音频文件进行取证。
优选的，对音频文件的取证过程如下：
(1)获取media_v2表中type字段为2的信息记录中的mid字段值；
(2)在cache4.db文件中的message表中查找到与media_v2表中mid值相同的message消息记录；
(3)将查找到的message消息记录的data字段转化为十六进制byte数组；
(4)在data字段的十六进制byte数组中寻找到以{0xc7,0xac,0x64,0x96}为逆序存放的第一次出现标识字节的开始位置，以该位置为游标基点，正向向后读取8个字节的数据，将该8个字节的数据逆序为一个数组，将这个8字节十六进制数据转化为10进制long类型整型数值，该值作为音频文件的dc_id值；
(5)将游标位置移动到data数组末尾处，以该处为基点，反向向前再读取8个字节的数据，将该8个字节的数据逆序为一个数组，将这个8字节十六进制数据转化为10进制long类型整型数值，该值作为音频文件的id值；
(6)在android平台的音频文件存储目录下遍历文件名称结构为dc_id+"_"+id+".ogg"格式的音频文件，完成音频文件取证。
优选的，所述取证方法中利用{0x53,0xd6,0x90,0x76}这四个字节确定图片文件中特征字节及文件名格式信息，并由此对图片文件进行取证。
优选的，对图片文件的取证过程如下：
(1)获取media_v2表中type字段为0的信息记录中的mid字段值；
(2)在cache4.db文件中的message表中查找到与media_v2表中mid值相同的message消息记录；
(3)将查找到的message消息记录的data字段转化为十六进制byte数组；
(4)在data字段的十六进制byte数组中寻找到以{0x53,0xd6,0x90,0x76}为逆序存放的最后一次出现标识字节的开始位置，以该位置为游标基点，正向向后读取4个字节的数据，将该4个字节的数据逆序为一个数组，将这个4字节十六进制数据转化为10进制long类型整型数值，该值作为图片文件的volume_id值；
(5)将游标位置以当前位置为基点，正向向后继续再读取4个字节的数据，将该4个字节的数据逆序为一个数组，将这个4字节十六进制数据转化为10进制long类型整型数值，该值作为图片文件的local_id值；
(6)在android平台的图片文件存储目录下遍历文件名称结构为volume_id+"_"+local_id+".GIF"或者其他类型的图片文件，完成图片文件取证。
优选的，所述取证方法中利用{0x38,0x8f,0xa3,0x91}这四个字节确定视频文件中特征字节及文件名格式信息，并由此对视频文件进行取证。
优选的，对视频文件的取证过程如下：
(1)获取media_v2表中type字段为0的信息记录中的mid字段值；
(2)在cache4.db文件中的message表中查找到与media_v2表中mid值相同的message消息记录；
(3)将查找到的message消息记录的data字段转化为十六进制byte数组；
(4)在data字段的十六进制byte数组中寻找到以{0x38,0x8f,0xa3,0x91}为逆序存放的第一次出现标识字节的开始位置，以该位置为游标基点，正向向后读取8个字节的数据，将该8个字节的数据逆序为一个数组，将这个8字节十六进制数据转化为10进制long类型整型数值，该值作为视频文件的id值；
(5)将游标位置移动到data数组末尾处，以该处为基点，反向向前再读取16个字节的数据，将该16个字节的数据逆序为一个数组，将这个16字节十六进制数据转化为10进制long类型整型数值，该值作为视频文件的dc_id值；
(6)在android平台的视频文件存储目录下遍历文件名称结构为dc_id+"_"+id+".mp4"的视频文件，完成视频文件取证。
本发明提供的取证方法有效实现在不破坏即时通信消息完整性和加密性的前提下，提取android平台下telegram应用的多媒体数据信息。且该取证方法可靠性和可操作性强。
具体实施方式
为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体实例，进一步阐述本发明。
本发明提供的取证方法基于运行telegram应用的android平台下名称为cache4.db的文件中的media_v2表中存储的数据信息，进行android平台下telegram应用的多媒体信息的取证。
具体为针对不同多媒体信息的类型，由media_v2表中的数据信息获取cache4.db文件下message表中对应的message消息记录；再根据该message消息记录内容确定相应类型多媒体信息的特征字节及文件名格式信息，并由此针对相应类型多媒体信息进行取证。
基于该原理，以对android智能手机中telegram应用的多媒体数据进行取证为例，对本方案进行具体说明。
整个取证过程主要分为取证前准备工作以及取证操作。
(一)取证前准备工作，获取cache4.db文件以及media_v2表。
1.首先获取对android手机的root权限。可以采用对手机进行root的方法获取该手机的root权限，也可以采用临时root的方法获取该手机的root权限。在获取了该手机root权限的前提下，通过使用adb命令，获取android手机文件系统/data/data/org.telegram.messenger/files路径下的所有文件列表，遍历该路径下的所有文件，查找一个名称为cache4.db的文件，该cache4.db文件为SQLite数据库文件，分析该文件可以找出许多有关多媒体存储位置的信息。再次通过adb的pull命令，将该cache4.db文件从android手机的文件系统导出到本地的文件系统中单独分析。
2.针对已导出到本地文件系统中的cache4.db文件，通过SQLite数据库查看工具直接找开，可以发现该SQLite数据库中包含多张数据表，针对不同的表可以取证出不同的telegram应用数据信息。
users表可以分析出telegram应用的用户账户信息；
contacts表、dialogs表可以分析telegram应用的好友联系人信息；
dialogs表可以获取当前与手机账户最近有聊天记录的好友，综合contacts表和最近的聊天好友信息合并成最终的好友联系人列表；
message表包含telegram应用所有好友的聊天记录信息；
media_v2表可以分析telegram应用的多媒体信息。
(二)通过media_v2表中存储的数据信息对多媒体信息进行取证。
(1)android平台下telegram应用的多媒体数据一般都会存储在android手机的手机存储卡上，体现在android文件系统中就是在/sdcard路径下，该sdcard路径下存储了android各类应用的多媒体或者其他不宜直接存储在手机内存中的数据文件，在sdcard路径下可以找到一个名为Telegram的目录，该目录即为telegram应用的多媒体数据存储目录，在该目录下针对不同的多媒体类型又存在多个目录。例如图片文件存储在TelegramImages目录下，音频文件存储在Telegram Audio目录下，视频文件存储在Telegram Video目录下。
由此在进行常规取证时，可以将Telegram目录下不同类型的多媒体文件通过adb命令全部导出到本地文件系统中。
(2)media_v2表中的每一条记录即代表一条多媒体信息记录。申请人通过大量研究cache4.db文件中的多张表，发现message表中的mid字段和media_v2表中的mid字段存在关联关系。message表中的mid字段与media_v2表中的mid字段含义相同，都是该条多媒体消息文件的唯一可区分消息标识。此时通过media_v2表中的type字段可以区分该条多媒体消息的类型，当type值为2时，表明该多媒体文件为语音文件；当type值为0时，表明该媒体文件为图片或者视频文件。
(3)针对media_v2表中的type字段为2的多媒体文件，申请人通过大量研究发现在sdcard下的Telegram/Telegram Audio目录中存储着后缀名为ogg的音频文件，ogg是一种特殊的音频文件，通过解码处理可转化为能正常播放的音频文件。media_v2表通过mid字段与message表相关联，在message表中查找到与media_v2表中mid值相同的message消息记录，分析message表中的data字段，发现data字段的表结构类型为二进制byte数组类型。
将该二进制byte数组转化为十六进制byte数组进行分析，发现所有的音频文件data数组中必然存在{0xc7,0xac,0x64,0x96}4个标识字节。将这4个标识字节定义为音频文件的开始标识字节，这4个标识字节在data数组总是以逆序的方式进行存储。故可确定多媒体音频文件为多字节数据存储文件，而且多字节数据存放为逆序存放。
多字节数据存放顺序与CPU有关，微处理器中的存放顺序有正序(Big-Endian)和逆序(Little-Endian)，也称为大端存储和小端存储。例如常见的Intel系列使用的编码方式属于逆序存放；某些RISC架构的CPU，如IBM的Power-PC等属于正序存放。两种编码区别在于：正序(Big-Endian)高位字节存入低地址，低位字节存入高地址，依次排列。逆序(Little-Endian)低位字节存入低地址，高位字节存入高地址，反序排列。
(4)针对media_v2表中的type字段为0的多媒体文件，申请人通过大量研究发现在sdcard下的Telegram/Telegram Image目录中存储着后缀名为jpg或者其他类型后缀的图片文件。media_v2表通过mid字段与message表相关联，在message表中查找到与media_v2表中mid值相同的message消息记录，分析message表中的data字段，发现data字段的表结构类型为二进制byte数组类型。
将该二进制byte数组转化为十六进制byte数组进行分析，发现所有的图片文件data数组中必然存在{0x53,0xd6,0x90,0x76}4个标识字节。将这4个标识字节定义为图片文件的开始标识字节，这4个标识字节在data数组总是以逆序的方式进行存储。故可确定多媒体音频文件为多字节数据存储文件，而且多字节数据存放为逆序存放。
(5)针对media_v2表中的type字段为0的多媒体文件，申请人通过大量研究发现在sdcard下的Telegram/Telegram Video目录中存储着后缀名为mp4的视频文件。media_v2表通过mid字段与message表相关联，在message表中查找到与media_v2表中mid值相同的message消息记录，分析message表中的data字段，发现data字段的表结构类型为二进制byte数组类型。
将该二进制byte数组转化为十六进制byte数组进行分析，发现所有的视频文件data数组中必然存在{0x38,0x8f,0xa3,0x91}4个标识字节。将这4个标识字节定义为图片文件的开始标识字节，这4个标识字节在data数组总是以逆序的方式进行存储。故可确定多媒体音频文件为多字节数据存储文件，而且多字节数据存放为逆序存放。
基于上述的原理，本实例中进行对音频文件、图片文件以及视频文件进行取证的过程分别如下。
1、对音频文件的取证过程如下：
(1)获取media_v2表中type字段为2的信息记录中的mid字段值；
(2)在cache4.db文件中的message表中查找到与media_v2表中mid值相同的message消息记录；
(3)将查找到的message消息记录的data字段转化为十六进制byte数组；
(4)在data字段的十六进制byte数组中寻找到以{0xc7,0xac,0x64,0x96}为逆序存放的第一次出现标识字节的开始位置，以该位置为游标基点，正向向后读取8个字节的数据，将该8个字节的数据逆序为一个数组，将这个8字节十六进制数据转化为10进制long类型整型数值，该值作为音频文件的dc_id值；
(5)将游标位置移动到data数组末尾处，以该处为基点，反向向前再读取8个字节的数据，将该8个字节的数据逆序为一个数组，将这个8字节十六进制数据转化为10进制long类型整型数值，该值作为音频文件的id值；
(6)当获取到了音频文件的dc_id和id值之后，在sdcard的Telegram/TelegramAudio目录下遍历文件名称结构为dc_id+"_"+id+".ogg"格式的音频文件，由此在TelegramAudio目录下会取证到该音频文件。
2、对图片文件的取证过程如下：
(1)获取media_v2表中type字段为0的信息记录中的mid字段值；
(2)在cache4.db文件中的message表中查找到与media_v2表中mid值相同的message消息记录；
(3)将查找到的message消息记录的data字段转化为十六进制byte数组；
(4)在data字段的十六进制byte数组中寻找到以{0x53,0xd6,0x90,0x76}为逆序存放的最后一次出现标识字节的开始位置，以该位置为游标基点，正向向后读取4个字节的数据，将该4个字节的数据逆序为一个数组，将这个4字节十六进制数据转化为10进制long类型整型数值，该值作为图片文件的volume_id值；
(5)将游标位置以当前位置为基点，正向向后继续再读取4个字节的数据，将该4个字节的数据逆序为一个数组，将这个4字节十六进制数据转化为10进制long类型整型数值，该值作为图片文件的local_id值；
(6)当获取到了图片文件的volume_id和local_id值之后，在sdcard的Telegram/Telegram Image目录下遍历文件名称结构为volume_id+"_"+local_id+".GIF"或者其他类型的图片文件，由此在Telegram Image目录下会取证到该图片文件。
3、对视频文件的取证过程如下：
(1)获取media_v2表中type字段为0的信息记录中的mid字段值；
(2)在cache4.db文件中的message表中查找到与media_v2表中mid值相同的message消息记录；
(3)将查找到的message消息记录的data字段转化为十六进制byte数组；
(4)在data字段的十六进制byte数组中寻找到以{0x38,0x8f,0xa3,0x91}为逆序存放的第一次出现标识字节的开始位置，以该位置为游标基点，正向向后读取8个字节的数据，将该8个字节的数据逆序为一个数组，将这个8字节十六进制数据转化为10进制long类型整型数值，该值作为视频文件的id值；
(5)将游标位置移动到data数组末尾处，以该处为基点，反向向前再读取16个字节的数据，将该16个字节的数据逆序为一个数组，将这个16字节十六进制数据转化为10进制long类型整型数值，该值作为视频文件的dc_id值；
(6)当获取到了音频文件的id和dc_id值之后，在sdcard的Telegram/TelegramVideo目录下遍历文件名称结构为dc_id+"_"+id+".mp4"的视频文件，由此在TelegramVideo目录下会取证到该视频文件。
以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。

Claims (10)

1.一种android平台下telegram应用多媒体取证方法，其特征在于，所述取证方法通过运行telegram应用的android平台下名称为cache4.db的文件中的media_v2表中存储的数据信息，进行android平台下telegram应用的多媒体信息的取证。
2.根据权利要求1所述的一种android平台下telegram应用多媒体取证方法，其特征在于，所述取证方法中首先获取运行telegram应用的android平台的ROOT权限；接着查找运行telegram应用的android平台下名称为cache4.db的文件；接着，将查找到的cache4.db文件导出到本地的文件系统中。
3.根据权利要求1所述的一种android平台下telegram应用多媒体取证方法，其特征在于，所述取证方法通过SQLite数据库查看工具从cache4.db文件中获取media_v2表。
4.根据权利要求1所述的一种android平台下telegram应用多媒体取证方法，其特征在于，所述取证方法针对不同多媒体信息的类型，由media_v2表获取cache4.db文件下message表中对应的message消息记录；再根据该message消息记录内容确定相应类型多媒体信息的特征字节及文件名格式信息，并由此针对相应类型多媒体信息进行取证。
5.根据权利要求4所述的一种android平台下telegram应用多媒体取证方法，其特征在于，所述取证方法中利用{0xc7,0xac,0x64,0x96}这四个字节确定音频文件中特征字节及文件名格式信息，并由此对音频文件进行取证。
6.根据权利要求5所述的一种android平台下telegram应用多媒体取证方法，其特征在于，对音频文件的取证过程如下：
(1)获取media_v2表中type字段为2的信息记录中的mid字段值；
(2)在cache4.db文件中的message表中查找到与media_v2表中mid值相同的message消息记录；
(3)将查找到的message消息记录的data字段转化为十六进制byte数组；
(4)在data字段的十六进制byte数组中寻找到以{0xc7,0xac,0x64,0x96}为逆序存放的第一次出现标识字节的开始位置，以该位置为游标基点，正向向后读取8个字节的数据，将该8个字节的数据逆序为一个数组，将这个8字节十六进制数据转化为10进制long类型整型数值，该值作为音频文件的dc_id值；
(5)将游标位置移动到data数组末尾处，以该处为基点，反向向前再读取8个字节的数据，将该8个字节的数据逆序为一个数组，将这个8字节十六进制数据转化为10进制long类型整型数值，该值作为音频文件的id值；
(6)在android平台的音频文件存储目录下遍历文件名称结构为dc_id+"_"+id+".ogg"格式的音频文件，完成音频文件取证。
7.根据权利要求4所述的一种android平台下telegram应用多媒体取证方法，其特征在于，所述取证方法中利用{0x53,0xd6,0x90,0x76}这四个字节确定图片文件中特征字节及文件名格式信息，并由此对图片文件进行取证。
8.根据权利要求7所述的一种android平台下telegram应用多媒体取证方法，其特征在于，对图片文件的取证过程如下：
(1)获取media_v2表中type字段为0的信息记录中的mid字段值；
(2)在cache4.db文件中的message表中查找到与media_v2表中mid值相同的message消息记录；
(3)将查找到的message消息记录的data字段转化为十六进制byte数组；
(4)在data字段的十六进制byte数组中寻找到以{0x53,0xd6,0x90,0x76}为逆序存放的最后一次出现标识字节的开始位置，以该位置为游标基点，正向向后读取4个字节的数据，将该4个字节的数据逆序为一个数组，将这个4字节十六进制数据转化为10进制long类型整型数值，该值作为图片文件的volume_id值；
(5)将游标位置以当前位置为基点，正向向后继续再读取4个字节的数据，将该4个字节的数据逆序为一个数组，将这个4字节十六进制数据转化为10进制long类型整型数值，该值作为图片文件的local_id值；
(6)在android平台的图片文件存储目录下遍历文件名称结构为volume_id+"_"+local_id+".GIF"或者其他类型的图片文件，完成图片文件取证。
9.根据权利要求4所述的一种android平台下telegram应用多媒体取证方法，其特征在于，所述取证方法中利用{0x38,0x8f,0xa3,0x91}这四个字节确定视频文件中特征字节及文件名格式信息，并由此对视频文件进行取证。
10.根据权利要求9所述的一种android平台下telegram应用多媒体取证方法，其特征在于，对视频文件的取证过程如下：
(1)获取media_v2表中type字段为0的信息记录中的mid字段值；
(2)在cache4.db文件中的message表中查找到与media_v2表中mid值相同的message消息记录；
(3)将查找到的message消息记录的data字段转化为十六进制byte数组；
(4)在data字段的十六进制byte数组中寻找到以{0x38,0x8f,0xa3,0x91}为逆序存放的第一次出现标识字节的开始位置，以该位置为游标基点，正向向后读取8个字节的数据，将该8个字节的数据逆序为一个数组，将这个8字节十六进制数据转化为10进制long类型整型数值，该值作为视频文件的id值；
(5)将游标位置移动到data数组末尾处，以该处为基点，反向向前再读取16个字节的数据，将该16个字节的数据逆序为一个数组，将这个16字节十六进制数据转化为10进制long类型整型数值，该值作为视频文件的dc_id值；
(6)在android平台的视频文件存储目录下遍历文件名称结构为dc_id+"_"+id+".mp4"的视频文件，完成视频文件取证。
CN201610914988.1A 2016-10-20 2016-10-20 android平台下telegram应用多媒体取证方法 Active CN106549948B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610914988.1A CN106549948B (zh) 2016-10-20 2016-10-20 android平台下telegram应用多媒体取证方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610914988.1A CN106549948B (zh) 2016-10-20 2016-10-20 android平台下telegram应用多媒体取证方法

Publications (2)

Publication Number Publication Date
CN106549948A true CN106549948A (zh) 2017-03-29
CN106549948B CN106549948B (zh) 2019-10-18

Family

ID=58391924

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610914988.1A Active CN106549948B (zh) 2016-10-20 2016-10-20 android平台下telegram应用多媒体取证方法

Country Status (1)

Country Link
CN (1) CN106549948B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107911453A (zh) * 2017-11-16 2018-04-13 北京锐安科技有限公司 一种定制化客户端的数据处理方法及装置
CN116483779A (zh) * 2023-04-28 2023-07-25 上海弘连网络科技有限公司 基于Zalo应用的数据取证方法、系统、介质及电子设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105160030A (zh) * 2015-09-30 2015-12-16 北京金山安全软件有限公司 移动终端上的媒体缓存文件的传送方法及装置
CN105760518A (zh) * 2016-02-29 2016-07-13 四川秘无痕信息安全技术有限责任公司 一种准确提取安卓微信朋友圈数据的方法
CN105975864A (zh) * 2016-04-29 2016-09-28 北京小米移动软件有限公司 操作系统的启动方法、装置及终端

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105160030A (zh) * 2015-09-30 2015-12-16 北京金山安全软件有限公司 移动终端上的媒体缓存文件的传送方法及装置
CN105760518A (zh) * 2016-02-29 2016-07-13 四川秘无痕信息安全技术有限责任公司 一种准确提取安卓微信朋友圈数据的方法
CN105975864A (zh) * 2016-04-29 2016-09-28 北京小米移动软件有限公司 操作系统的启动方法、装置及终端

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
陈飞: "智能移动终端应用数据取证技术研究", 《中国优秀硕士学位论文全文数据库》 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107911453A (zh) * 2017-11-16 2018-04-13 北京锐安科技有限公司 一种定制化客户端的数据处理方法及装置
CN116483779A (zh) * 2023-04-28 2023-07-25 上海弘连网络科技有限公司 基于Zalo应用的数据取证方法、系统、介质及电子设备

Also Published As

Publication number Publication date
CN106549948B (zh) 2019-10-18

Similar Documents

Publication Publication Date Title
CN105635716B (zh) 基于增强现实的聚合媒体方法
CN107194666A (zh) 基于区块链技术的报表管理方法和终端设备
CN105184482B (zh) 一种变压器台账数据校验系统及其方法
CN103618733A (zh) 一种应用于移动互联网的数据过滤系统及方法
Zhang et al. The forensic analysis of WeChat message
CN107634930A (zh) 一种媒体数据的获取方法和装置
CN106960166A (zh) 一种基于分布式总账技术的智能插座管理系统及其方法
CN106557704A (zh) 内容中心网络中的信息和数据框架
CN108173859A (zh) 文件共享的方法和系统
CN108600093A (zh) 一种基于网络的信息发布系统
CN106549948B (zh) android平台下telegram应用多媒体取证方法
CN110769024B (zh) 电子测试数据的同步存储方法及系统
CN106528688A (zh) 一种针对Twitter的分析取证方法
CN101576919A (zh) 标识生成方法和装置
CN104182525A (zh) 应用有版权保护功能的多媒体文件和国密算法的电子档案管理装置
CN113129008A (zh) 数据处理方法、装置、计算机可读介质及电子设备
CN105578276A (zh) 一种支持mp4文件逐行下载实时转换的方法
CN112597525A (zh) 基于隐私保护的数据处理方法、装置和服务器
CN104992087A (zh) 移动终端创新创意数据信息处理方法及移动终端
CN109947759A (zh) 一种数据索引建立方法、索引检索方法及装置
CN108234567A (zh) 数字报文件的上传方法、客户端、云存储平台和服务器
CN110740133A (zh) 一种基于rtmp协议的网络投票和选举方法及系统
CN109885555B (zh) 一种用户信息管理方法及装置
CN107451491A (zh) 一种提高数据库连接信息丢失时协议解析准确性的方法
KR101426482B1 (ko) 트위터 기록물 장기보존 시스템

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant