CN107402951A - 一种快速提取Android微信朋友圈数据的方法 - Google Patents

Abstract

本发明公开了一种快速提取Android微信朋友圈数据的方法，包括以下步骤：S1：获取Android设备中记录用户微信信息的数据库文件SnsMicroMsg.db,使用sqlite的API读取SnsInfo的content字段记录的朋友圈数据信息；S2：判断获取的数据是否符合Android微信朋友圈数据结构；S3：按照朋友圈数据结构分别解析文字区域、地理位置区域、链接区域的数据内容；S4：按照数据类型文字、地理位置、转发链接、视频链接、图片链接类型逐一记录获取的数据内容。本发明的有益效果如下：完整解析Android微信朋友圈数据结构中包含的全部内容；快速提取Android微信朋友圈中有效数据，恢复数据全面且完整，帮助公安部门准确提取出有价值的电子证据，利于破案。

Description

一种快速提取Android微信朋友圈数据的方法

技术领域

本发明涉及信息安全技术领域，特别涉及一种快速提取Android微信朋友圈数据的方法。

背景技术

迅猛发展的今天，作为当今最为普及的信息技术产品，各种手持设备发展日新月异。手机是当今社会最重要的通讯工具之一，更新换代发展迅速，不再仅仅停留在通讯功能上，智能手机逐渐成为市场新宠，以前需要一台电脑才能具备的功能，现在往往一个手机就能具备。其中Android系统作为一款开源手机系统，很成功的吸引了大批开发者，Android系统手机市场潜力剧增，Android系统手机的迅猛发展的同时，利用手机进行诈骗、诽谤和伪造等犯罪活动随之而来。为打击这一系列的犯罪活动和维持社会的稳定，迫切需要我们对Android系统手机进行取证技术方面的相关研究。

随着移动互联网的快速发展，智能手机手机已成为生活中的不可或缺的部分，与此同时，利用智能手机实施的犯罪活动也屡见不鲜。传统的手机取证通常是手机中的短信、通话记录等信息进行取证。随着微信等社交软件的兴起，利用社交软件进行的犯罪活动也越来越猖獗。微信是腾讯公司与2011年推出的一个为智能手机提供即时通信服务的免费应用程序，此应用支持跨通信运营商、跨操作系统平台发送文字、语音、视频、图片、链接等信息。目前，微信的使用量已超过7亿，也正是由于微信的广泛使用，对微信的取证也尤为重要。最高法、最高检、公安部联合印发《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》(下简称《规定》)，文件显示，微信朋友圈发布的信息属电子数据，法院、检察院和公安机关有权依法向有关单位和个人收集、调取电子数据。因此，如何解析微信朋友圈数据也成为急需解决的问题。

发明内容

本发明针对现有技术的不足，提供了一种快速提取Android微信朋友圈数据的方法。

为解决以上问题，本发明采用的技术方案如下：

一种快速提取Android微信朋友圈数据的方法，包括以下步骤：

S1：获取Android设备中记录用户微信信息的数据库文件SnsMicroMsg.db,使用sqlite的API读取SnsInfo的content字段记录的朋友圈数据信息；

S2：判断获取的数据是否符合Android微信朋友圈数据结构，判断数据块的第一个字节是否等于0x0A，若是则继续读取0x0A的下一个字节，偏移地址0x01开始记录的是此标记的数据长度值，此整数的类型为小端可变长整数，例如偏移地址0x01等于0x14则日志编号数据的字节长度为20个字节，从偏移地址0x01加上可变长整数的长度开始计算，这里可变长整数的长度为0x01，所以开始偏移地址为0x02；判断下一标记值是否为0x12，若同时满足上述两处标记值则表示符合微信朋友圈数据结构特征，执行S3，否则返回获取下一行SnsInfo数据，执行S2；

S3：若S2中的判断结果符合，按照Android微信朋友圈数据结构分别解析文字区域、地理位置区域、链接区域的数据内容；

S4：读取S3中解析的数据内容，并按照数据类型分为文字、地理位置、转发链接、视频链接、图片链接等类型逐一记录获取的数据内容。

作为优选，所述S3中包括以下步骤：

S31：根据S2中判断0x0A标记值之后为0x12标记值，获取0x12后面的可变长整数大小及长度，根据0x12加上可变长整数的字节长度后的偏移地址获取发送日志微信帐号的内部编号字符的存储位置和数据；

S32：向后偏移7字节判断其后2个字节是否等于0x052A，若不等于，返回获取下一行SnsInfo数据；获取0x052A后面的可变长整数大小及长度，获取可变长整数的长度大小加上可变长整数的字节长度后的偏移地址，根据便宜地址获得文字内容数据的存储位置，读取文字内容数据后按照UTF-8编码进行转换得到明文数据；

S33：判断后一个字符是否为0x32，若不等于0x32，返回获取下一行SnsInfo数据，执行S2；若等于0x32则获取0x32后面的可变长整数大小及长度；在相对0x32标记值偏移变长整数的位数+1后为0x0D子标记，在0x0D子标记值后的变长整数值不为0时表示该0x32标记内记录有地理位置信息，在0x0D子标记之后分别为0x1A、0x22、0x2A子标记，分别按照“类型标记+数据的长度值+实际数据内容”结构读取对应信息，再按照UTF-8编码进行转换；

S34：解析Android微信朋友圈中包含的链接信息，读取朋友圈信息的地理位置信息后，判断下一字节是否为0x3A，若不为0x3A返回获取下一行SnsInfo数据；若为0x3A，读取0x3A后的变长整数及内容，读取完成后继续向下判断下一字节是否为0x42，若不为0x42返回获取下一行SnsInfo数据，执行S2；若是0x42读取其后变长整数及内容，0x42标记值为微信朋友圈链接信息标记，解析0x42包含的链接信息。

作为优选，所述S34中解析链接信息中包含的转发链接信息，读取0x42标记值后变长整数及内容，0x0A子标记位于0x42标记后的可变长整数后，该标记为转发新闻链接URL地址的标记，读取0x0A字标记的变长整数值，若其为0表示0x42标记中不包含转发新闻链接，若不为0，其长度值则为转发新闻链接的URL地址内容；链接URL内容结束向后跳转2个字节，其后为0x1A标记，该标记为新闻链接的标题标记，读取器可变长整数的值及后的标题的内容，内容的编码方式仍然为UTF-8；

作为优选，所述S34中解析链接信息中包含的视频链接信息，若在相对0x42可变长整数值后的0x02～0x03位置值为0x100F则表示该0x42标记中包含视频链接的信息，在该处值之后为0x1A标记，该标记记录“0xE5BEAEE4BFA1E5B08FE8A786E9A291”字样，该标记不包含朋友圈信息任何数据，跳过；在0x1A子标记后为0x22子标记，该标记跳过；在0x22子标记后为0x2A子标记，在0x2A子标记中记录视频内容的标题和保存视频内容链接的URL地址，具体地，在0x2A中依次包含了0x0A、0x1A、0x22等3个子标记，在0x0A与0x1A子标记中间隔2字节，且这两个字节为0x1006，在0x1A标记中记录了视频内容的标题，0x22标记中记录了视频内容链接的URL地址；

作为优选，所述S34中解析链接信息中包含的图片链接信息，若在相对0x42可变长整数值后的0x02～0x03位置值为0x1001则表示该0x42标记中包含图片链接的信息，根据0x2A的标记信息递归的读取所有图片链接信息，在0x2A中依次包含了0x0A、0x1A、0x22等3个子标记，在0x0A与0x1A子标记中间隔2字节，且这两个字节为0x1002，在0x22标记中记录了图片内容链接的URL地址。

本发明的有益效果如下：完整解析Android微信朋友圈数据结构中包含的全部内容；快速提取Android微信朋友圈中有效数据，恢复数据全面且完整，帮助公安部门准确提取出有价值的电子证据，利于破案。

附图说明

图1为本发明实施例中微信朋友圈数据结构示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照实施例，对本发明做进一步详细说明。

下面以Android微信6.3.30版本记录的朋友圈数据结构为例，详细阐述本发明中涉及的方法。Android操作系统下微信应用的用户数据存储于/data/data/com.tencent.mm文件夹中，其中Android微信朋友圈数据存储于com.tencent.mm文件中MicroMsg下以“mm+帐号uid”字符串的MD5值命名的文件中的SnsMicroMsg.db数据库文件中，其中SnsMicroMsg.db数据库文件的表SnsInfo的content字段记录了微信朋友圈的数据，通过sqlite库中API可读取该字段下记录的数据。通过分析该字段的数据结构发现，Android微信朋友圈数据结构如图1所示。

Android微信朋友圈数据由四大部分构成，在数据的第一部分中记录发送该条朋友圈记录的微信帐号id；第二部分记录微信朋友圈记录中包含的文字信息，文字的编码方式为UTF-8；第三部分地理位置区域包含着发送朋友圈是选择的定位数据信息，定位信息是以汉字进行记录的，汉字的编码为UTF-8；第四部分记录朋友圈记录中涉及到视频、图片、转发的链接等信息，该类信息是以相关内容的URL信息进行记录的。在每部分中记录信息的方式为信息的类型标记、数据的长度、实际数据内容顺序进行依次存储。

需要说明的是记录数据长度值的格式为可变长整数，可可变长整数是用1到9个字节来表示的64位整数类型，因为数据存储长度，可根据数据的大小变化，从而达到节约存储空间的目的。可变长整数前8个字节只使用低7位记录数据，高1位用于标识可变长整数数据长度，若高1位等于1，则说明后一个字节也记录数据，若高1位等于0，则说明该字节为最后一个记录数据的字节，若可变长整数的长度达到9个字节，则最后一个字节使用完整的8位记录数据。可变长整数也有内存大小端的存储方式之分，同样分为低位在前和高位在前两种存储方式，即低位在前进位往后面的高位累加，高位在前，进位往前面的高位累加。

一种快速提取Android微信朋友圈数据的方法，包括以下步骤：

S1：获取Android设备中记录用户微信信息的数据库文件SnsMicroMsg.db,使用sqlite的API读取SnsInfo的content字段记录的朋友圈数据信息；

S2：判断S1中获取的数据是否符合Android微信朋友圈数据结构，判断数据块的偏移地址0x00，也就是第一个字节是否等于0x0A(0A为朋友圈数据的ID标记)，若是则继续读取0x0A的下一个字节，偏移地址0x01开始记录的是此标记的数据长度值，此整数的类型为小端可变长整数，例如偏移地址0x01等于0x14则日志编号数据的字节长度为20个字节，从偏移地址0x01加上可变长整数的长度开始计算，这里可变长整数的长度为0x01，所以开始偏移地址为0x02；判断下一标记值是否为0x12，若同时满足上述两处标记值则表示符合微信朋友圈数据结构特征，执行S3，否则返回获取下一行SnsInfo数据；

S3：若S2中的判断结果符合，按照Android微信朋友圈数据结构分别解析文字区域、地理位置区域、链接区域的数据内容；

S4：读取S3中解析的数据内容，并按照数据类型分为文字、地理位置、转发链接、视频链接、图片链接等类型逐一记录获取的数据内容。

其中S3中包括以下步骤：

S31：解析Android微信中发送朋友圈内容的帐号信息，根据S2中判断0x0A标记值之后为0x12标记值，该标记值为用户ID的标记，其后记录的值为发送朋友圈信息的用户的ID，具体地，获取0x12后面的可变长整数大小及长度，例如这里可变长整数的长度大小等于0x09，可变长整数的长度也就是一个字节。发送日志微信帐号的内部编号字符的存储位置就是0x12加上可变长整数的字节长度后的偏移地址，数据长度为9个字节；

S32：解析发送微信朋友圈用户的ID信息后，向后偏移7字节判断其后2个字节是否等于0x052A，若不等于，返回获取下一行SnsInfo数据。0x052A为朋友圈信息的文字内容标记值，获取0x052A后面的可变长整数大小及长度，例如这里可变长整数的长度大小等于0x3F，可变长整数的长度也就是一个字节。文字内容数据的存储位置就是0x3F加上可变长整数的字节长度后的偏移地址，数据长度为63个字节，读取其值后按照UTF-8编码进行转换即可得到明文数据；

S33：解析Android微信朋友圈中包含的地理位置信息，读取朋友圈信息的文字内容数据后，判断后一个字符是否为0x32，若不等于0x32，返回获取下一行SnsInfo数据。若等于0x32则获取0x32后面的可变长整数大小及长度。该标记内部结构嵌套了“类型标记+数据的长度值+实际数据内容”这种结构，0x32标记值后嵌套了一系列字标记，在相对0x32标记值偏移变长整数的位数+1后为0x0D子标记，例如0x32标记值的变长整数值为0x1F，仅有1字节，在相对0x32标记偏移2的位置的值为0x0D；在0x0D子标记值后的变长整数值不为0时表示该0x32标记内记录有地理位置信息，在0x0D子标记之后分别为0x1A、0x22、0x2A子标记，对应记录着地理位置信息的省市信息、区县信息、详细地址信息等内容，分别按照“类型标记+数据的长度值+实际数据内容”结构读取对应信息，再按照UTF-8编码进行转换即可；

S34：解析Android微信朋友圈中包含的链接信息，读取朋友圈信息的地理位置信息后，判断下一字节是否为0x3A，若不为0x3A返回获取下一行SnsInfo数据；若为0x3A，读取0x3A后的变长整数及内容，读取完成后继续向下判断下一字节是否为0x42，若不为0x42返回获取下一行SnsInfo数据，若是0x42读取其后变长整数及内容，0x42标记值为微信朋友圈链接信息标记，解析0x42包含的链接信息。

所述S34中0x42标记中包含了三种类型的链接，分别为：转发的新闻链接、视频链接、图片链接；但仅会出现一种链接的数据，不会同时包含多种链接信息，具体的解析如下：

解析链接信息中包含的转发链接信息，信息记录在0x42标记中的0x0子标记和0x1A子标记，具体读取方法为：读取0x42标记值后变长整数及内容，0x0A子标记位于0x42标记后的可变长整数后，该标记为转发新闻链接URL地址的标记，读取0x0A字标记的变长整数值，若其为0表示0x42标记中不包含转发新闻链接，若不为0，其长度值则为转发新闻链接的URL地址内容；链接URL内容结束向后跳转2个字节，其后为0x1A标记，该标记为新闻链接的标题标记，读取器可变长整数的值及后的标题的内容，内容的编码方式仍然为UTF-8；

解析链接信息中包含的视频链接信息，信息记录在0x42标记的0x2A子标记中，具体读取的方法为：若在相对0x42可变长整数值后的0x02～0x03位置值为0x100F则表示该0x42标记中包含视频链接的信息，在该处值之后为0x1A标记，该标记记录着“0xE5BEAEE4BFA1E5B08FE8A786E9A291”字样，该标记不包含朋友圈信息任何数据，可跳过，在0x1A子标记后为0x22子标记，该标记也可跳过，在0x22子标记后为0x2A子标记，在0x2A子标记中记录视频内容的标题和保存视频内容链接的URL地址，具体地，在0x2A中依次包含了0x0A、0x1A、0x22等3个子标记，在0x0A与0x1A子标记中间隔2字节，且这两个字节为0x1006，在0x1A标记中记录了视频内容的标题，0x22标记中记录了视频内容链接的URL地址；

解析链接信息中包含的图片链接信息，信息记录在0x42标记的0x2A子标记中，具体读取的方法为：若在相对0x42可变长整数值后的0x02～0x03位置值为0x1001则表示该0x42标记中包含图片链接的信息，由于微信朋友圈可以同时发多张图片，故在此会多次出现0x2A的标记信息，每一个0x2A标记信息是顺接且结构完全一致的，可递归的读取所有图片链接信息，在0x2A中依次包含了0x0A、0x1A、0x22等3个子标记，在0x0A与0x1A子标记中间隔2字节，且这两个字节为0x1002，在0x22标记中记录了图片内容链接的URL地址。

本领域的普通技术人员将会意识到，这里所述的实施例是为了帮助读者理解本发明的实施方法，应被理解为本发明的保护范围并不局限于这样的特别陈述和实施例。本领域的普通技术人员可以根据本发明公开的这些技术启示做出各种不脱离本发明实质的其它各种具体变形和组合，这些变形和组合仍然在本发明的保护范围内。

Claims (5)

1.一种快速提取Android微信朋友圈数据的方法，其特征在于包括以下步骤：

S1：获取Android设备中记录用户微信信息的数据库文件SnsMicroMsg.db,使用sqlite的API读取SnsInfo的content字段记录的朋友圈数据信息；

S2：判断获取的数据是否符合Android微信朋友圈数据结构，判断数据块的第一个字节是否等于0x0A，若是则继续读取0x0A的下一个字节，偏移地址0x01开始记录的是此标记的数据长度值，此整数的类型为小端可变长整数，例如偏移地址0x01等于0x14则日志编号数据的字节长度为20个字节，从偏移地址0x01加上可变长整数的长度开始计算，这里可变长整数的长度为0x01，所以开始偏移地址为0x02；判断下一标记值是否为0x12，若同时满足上述两处标记值则表示符合微信朋友圈数据结构特征，执行S3，否则返回获取下一行SnsInfo数据，执行S2；

S3：若S2中的判断结果符合，按照Android微信朋友圈数据结构分别解析文字区域、地理位置区域、链接区域的数据内容；

S4：读取S3中解析的数据内容，并按照数据类型分为文字、地理位置、转发链接、视频链接、图片链接类型逐一记录获取的数据内容。

2.根据权利要求1所述的一种快速提取Android微信朋友圈数据的方法，其特征在于所述S3中包括以下步骤：

S31：根据S2中判断0x0A标记值之后为0x12标记值，获取0x12后面的可变长整数大小及长度，根据0x12加上可变长整数的字节长度后的偏移地址获取发送日志微信帐号的内部编号字符的存储位置和数据；

S32：向后偏移7字节判断其后2个字节是否等于0x052A，若不等于，返回获取下一行SnsInfo数据；获取0x052A后面的可变长整数大小及长度，获取可变长整数的长度大小加上可变长整数的字节长度后的偏移地址，根据便宜地址获得文字内容数据的存储位置，读取文字内容数据后按照UTF-8编码进行转换得到明文数据；

S33：判断后一个字符是否为0x32，若不等于0x32，返回获取下一行SnsInfo数据，执行S2；若等于0x32则获取0x32后面的可变长整数大小及长度；在相对0x32标记值偏移变长整数的位数+1后为0x0D子标记，在0x0D子标记值后的变长整数值不为0时表示该0x32标记内记录有地理位置信息，在0x0D子标记之后分别为0x1A、0x22、0x2A子标记，分别按照“类型标记+数据的长度值+实际数据内容”结构读取对应信息，再按照UTF-8编码进行转换；

S34：解析Android微信朋友圈中包含的链接信息，读取朋友圈信息的地理位置信息后，判断下一字节是否为0x3A，若不为0x3A返回获取下一行SnsInfo数据；若为0x3A，读取0x3A后的变长整数及内容，读取完成后继续向下判断下一字节是否为0x42，若不为0x42返回获取下一行SnsInfo数据，执行S2；若是0x42读取其后变长整数及内容，0x42标记值为微信朋友圈链接信息标记，解析0x42包含的链接信息。

3.根据权利要求2所述的一种快速提取Android微信朋友圈数据的方法，其特征在于：所述S34中解析链接信息中包含的转发链接信息，读取0x42标记值后变长整数及内容，0x0A子标记位于0x42标记后的可变长整数后，该标记为转发新闻链接URL地址的标记，读取0x0A字标记的变长整数值，若其为0表示0x42标记中不包含转发新闻链接，若不为0，其长度值则为转发新闻链接的URL地址内容；链接URL内容结束向后跳转2个字节，其后为0x1A标记，该标记为新闻链接的标题标记，读取器可变长整数的值及后的标题的内容，内容的编码方式仍然为UTF-8。

4.根据权利要求2所述的一种快速提取Android微信朋友圈数据的方法，其特征在于：所述S34中解析链接信息中包含的视频链接信息，若在相对0x42可变长整数值后的0x02～0x03位置值为0x100F则表示该0x42标记中包含视频链接的信息，在该处值之后为0x1A标记，该标记记录“0xE5BEAEE4BFA1E5B08FE8A786E9A291”字样，该标记不包含朋友圈信息任何数据，跳过；在0x1A子标记后为0x22子标记，该标记跳过；在0x22子标记后为0x2A子标记，在0x2A子标记中记录视频内容的标题和保存视频内容链接的URL地址，具体地，在0x2A中依次包含了0x0A、0x1A、0x22等3个子标记，在0x0A与0x1A子标记中间隔2字节，且这两个字节为0x1006，在0x1A标记中记录了视频内容的标题，0x22标记中记录了视频内容链接的URL地址。

5.根据权利要求2所述的一种快速提取Android微信朋友圈数据的方法，其特征在于：所述S34中解析链接信息中包含的图片链接信息，若在相对0x42可变长整数值后的0x02～0x03位置值为0x1001则表示该0x42标记中包含图片链接的信息，根据0x2A的标记信息递归的读取所有图片链接信息，在0x2A中依次包含了0x0A、0x1A、0x22等3个子标记，在0x0A与0x1A子标记中间隔2字节，且这两个字节为0x1002，在0x22标记中记录了图片内容链接的URL地址。