01Konum
- /private/var/mobile/Containers/Shared/AppGroup/<UUID>/ChatStorage.sqlite (+ -wal, -shm)
- /private/var/mobile/Containers/Shared/AppGroup/<UUID>/ContactsV2.sqlite
- /private/var/mobile/Containers/Shared/AppGroup/<UUID>/CallHistory.sqlite
- /private/var/mobile/Containers/Shared/AppGroup/<UUID>/Message/Media/
- Backup domain: AppDomainGroup-group.net.whatsapp.WhatsApp.shared
02Yanıtladığı sorular
- Hesapla kim, ne zaman mesajlaştı?
- Mesajlara hangi medya ve konumlar eklendi?
- Hangi WhatsApp aramaları, kimle ve ne kadar süreyle gerçekleşti?
03Biçim ve sürümler
| Biçim | Core Data SQLite. ZWAMESSAGE (ZMESSAGEDATE, ZISFROMME, ZFROMJID, ZTOJID, ZTEXT, ZMESSAGETYPE, ZSTARRED, ZCHATSESSION, ZMEDIAITEM); ZWACHATSESSION (ZCONTACTJID, ZPARTNERNAME); ZWAMEDIAITEM (ZMEDIALOCALPATH, ZXMPPTHUMBPATH, ZMETADATA). ContactsV2.sqlite, ZWAADDRESSBOOKCONTACT tablosunu; CallHistory.sqlite ise ZWACDCALLEVENT ve katılımcıları tutar. |
|---|---|
| Geçerli olduğu sürümler | iLEAPP test imajları iOS 12.4 ile iOS 18.7 arasında ve 26.x'e kadar WhatsApp derlemelerini kapsar; bazı arama sütunları eski depolarda yoktur. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| ZWAMESSAGE.ZISFROMME | 1 giden; iLEAPP diğer değerleri gelen kabul eder. |
| ZWAMESSAGE.ZFROMJID / ZTOJID | Saklandığı şekliyle gönderen ve alıcı JID'leri (NULL olabilir). |
| ZWAMESSAGE.ZTEXT | Mesaj metni. |
| ZWACHATSESSION.ZCONTACTJID / ZPARTNERNAME | Sohbet JID'si ve sohbet tarafının veya grubun görünen adı. |
| ZWAMEDIAITEM.ZMEDIALOCALPATH | Message/Media altındaki medya dosyasının göreli yolu. |
| ZWACDCALLEVENT | ZDATE, ZDURATION, ZOUTCOME (etiketler doğrulanmamış) ve bayt sayılarıyla arama olayları. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| ZWAMESSAGE.ZMESSAGEDATE | Apple Cocoa time (seconds since 2001-01-01 UTC) | Mesaj zamanı; Unix zamanı için 978.307.200 ekleyin. |
| ZWACDCALLEVENT.ZDATE / ZDURATION | Apple Cocoa time / seconds | Arama bitişi başlangıç + süreden hesaplanır. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- WhatsApp paylaşılan App Group kapsayıcısını bulun; üç veri tabanını WAL dosyaları ve medyayla birlikte toplayın.
- ZWAMESSAGE'i ZWACHATSESSION ve ZWAMEDIAITEM ile birleştirin.
- ContactsV2 adlarını sol birleştirmelerle zenginleştirme olarak ekleyin.
- Cocoa zamanlarını dönüştürün ve medya yollarını dosyalarla eşleştirin.
07Yorum tuzakları
- Arama özet satırları birden fazla aramayı kapsayabilir; bir satırın bir aramaya eşit olduğunu varsaymayın.
- Sonuç ve tür etiketleri üretici tarafından belgelenmemiştir.
- Son değişiklikler yalnız WAL dosyasında bulunabilir.
09Kaynaklar
- iLEAPP — scripts/artifacts/whatsApp.py Alexis Brignoni et al. (GitHub) · erişim 2026-10-14
- WhatsApp in Plain Sight: Where and How You Can Collect Forensic Artifacts Igor Mikhailov, Group-IB (2019) · erişim 2026-10-14
- CFAbsoluteTime Apple Developer Documentation · erişim 2026-10-14
- SQLite — Write-Ahead Logging SQLite · erişim 2026-10-14