ZEKASTRA

VP-02 · Mobil cihaz incelemesi

Android mesajlaşma veri tabanı ve WAL'ı: tartışmalı bir alım mesajı

Kapalı bulunan bir telefondan kopyalanmış, bir mesajlaşma uygulamasının SQLite veri tabanı ve yazma-öncesi günlüğü (WAL) ile çıkarım günlüğü. On beş soru, dosya bütünlüğü ve WAL yapısından, işlenmiş durumun tek bir mesaj hakkında ne gösterdiğine ve neyi gösteremediğine ilerler.

Sentetik eğitim verisi. Kuruluş, kişiler, cihazlar, seri numaraları ve zamanlar uydurmadır.

01Brifing

Tern Freight bir koli kuryesidir. 6 Mart 2026 Cuma günü 4 numaralı rampadaki bir alım öğleden sonraya alındı. Şoför, talimatın kendisine ancak yerel saatle 10:00'dan sonra ulaştığını söylüyor; sevkiyat sorumlusu daha erken gönderdiğini söylüyor. Sevkiyat sorumlusunun telefonu kapalı bulundu. 9 Mart 2026 Pazartesi günü bir dosya sistemi çıkarımı mesajlaşma uygulamasının veri tabanını, chatstore.db, yazma-öncesi günlüğü chatstore.db-wal ile birlikte kopyaladı. İki dosyayı ve çıkarım günlüğünü teslim aldınız.

İç denetim soruyor:

  1. Dosyalar bütün mü ve ne olduklar: günlük kipi, sayfa boyutu, çıkarım zamanı?
  2. WAL nasıl oluşmuş: kaç çerçeve var, kaçı geçerli kuşağa ait, işlenmiş kısım nerede bitiyor?
  3. İşlenmiş durum alım mesajı hakkında ne gösteriyor ve WAL'ın geri kalanı nasıl raporlanmalı?

Yalnızca dosyalar hakkında soruluyor: çift neyi içeriyor, hangi kısmı işlenmiş veri tabanı durumudur, alım mesajı hakkında neler söylenebilir ve neler söylenemez. Kimin ne amaçladığını çıkarmayın.

02Delil dosyaları

DosyaİçerikSHA-256
README.txtSenaryo ve dosya listesiİngilizce ve Türkçe brifing, kullanım notları ve çiftin nasıl üretildiği.932c132542be4ea326f32a7dea072af505c4d74b62aeddb7e2c050afbdd54fbf
acquisition-log.txtÇıkarım günlüğüKaynak dizin, boyutlar ve dosya sistemi zamanlarıyla dizin listesi, inceleyenin saatiyle çıkarım zamanı.a528760d5bd581619856552be654e3d70dae187b696f07ecd529778a9611133d
chatstore.dbSQLite ana veri tabanı dosyasıMesajlaşma uygulamasının veri tabanının ana dosyası. Android için WhatsApp mesajları (msgstore.db) →b534c5f2faedeff403a8bb282a120a5988fa1c19f290a29e5954e2e43b72da3d
chatstore.db-walSQLite yazma-öncesi günlüğüAna dosyaya ait WAL, bulunduğu gibi kopyalandı: işlenmiş çerçeveler, bitmemiş bir işlemin sonu ve önceki bir WAL kuşağından kalan eski çerçeveler.f54a0199f87b858ae4359b0b09acb8db78453030eb3a4cf04eb55c8903b79d26
manifest.txtHash bildirimiYukarıdaki her dosyanın SHA-256 değeri. Başlamadan önce doğrulayın.(bildirimin kendisi)

Yukarıdaki hash değerleri manifest.txt'den kopyalanmıştır. Bunları kendiniz yeniden hesaplayın, örneğin hash aracıyla ya da sha256sum ile.

03Başlamadan önce

  • Başka hiçbir şeyi okumadan önce her dosyayı manifest.txt ile doğrulayın ve sonucu inceleme günlüğünüze yazın.
  • Kopyalar üzerinde çalışın ve orijinal çifti hiçbir zaman bir veri tabanı aracıyla açmayın: ana dosyayı WAL ile birlikte açan bir motor kurtarma çalıştırıp WAL'ı değiştirebilir ya da silebilir.
  • Ana dosyayı tek başına görmek için yalnızca chatstore.db'yi boş bir klasöre kopyalayın. İşlenmiş durumu görmek için iki dosyayı birlikte başka bir boş klasöre kopyalayın.
  • Veri tabanındaki mesaj zamanları Unix epoch milisaniyedir (UTC); çıkarım günlüğü zaman esaslarını karıştırır. Kullanmadan önce her zamanın esasını okuyun.
  • Dosyalar uygulamanın neyi sakladığını gösterir; bir kişinin ne yaptığını ya da gördüğünü göstermez. Her cevabı, telefonun saati yanlış olsa bile doğru kalacak biçimde yazın.
  • Her cevabı hangi dosyanın hangi sayfasının ya da çerçevesinin desteklediğini not edin; eğitmen soracaktır.

Notlarınızı tutmak için F-02 Delil kabul formu ve F-04 İnceleme günlüğükullanın.

04Sorular

Yalnızca dosyalardan cevaplayın. Her cevap bu tarayıcıda kontrol edilir; hiçbir şey bir yere gönderilmez ve cevaplarınız siz temizleyene kadar bu cihazda tutulur. 15 soru, 24 puan.

  1. S011 puanchatstore.db-walmanifest.txt

    8 onaltılık karakter, örn. 1a2b3c4d

  2. S021 puanchatstore.db

    chatstore.db dosyasının 18. ve 19. ofsetlerindeki baytlar (dosya biçimi yazma ve okuma sürümü) ikisi de 02. Bu ne söyler?

  3. S031 puanchatstore.db

    Tam sayı

  4. S041 puanacquisition-log.txt

    Saniyesine kadar UTC, örn. 2026-03-09 05:00:00Z (+03:00 gibi bir fark kabul edilir)

  5. S051 puanchatstore.db-walacquisition-log.txt

    Tam sayı

  6. S062 puanchatstore.db-wal

    Tam sayı

  7. S072 puanchatstore.db-wal

    Tam sayı

  8. S082 puanchatstore.db-wal

    Tam sayı

  9. S092 puanchatstore.dbchatstore.db-wal

    Tam sayı

  10. S101 puanchatstore.db

    Tam sayı

  11. S112 puanchatstore.dbchatstore.db-wal

    Tam sayı

  12. S122 puanchatstore.dbchatstore.db-wal

    Saniyesine kadar UTC, örn. 2026-03-06 07:00:00Z (+03:00 gibi bir fark kabul edilir)

  13. S132 puanchatstore.dbchatstore.db-wal

    Şoför, yerel saatle 10:00'dan önce bir alım saati almadığını söylüyor. 06:26:48 UTC'de gönderilen 43 numaralı mesaj 'Friday: pickup at Dock 4 later today. Time follows.' diyor. Rapor, işlenmiş durumdan hangi ifadeyi destekleyebilir?

  14. S142 puanchatstore.dbchatstore.db-wal

    49 numaralı mesaj 'Pickup is 16:00 at Dock 4. Please confirm.' diyor ve edited_ms değeri 2026-03-06 07:14:20 UTC. WAL'da yapılan bir metin araması 7 ve 10 numaralı çerçevelerde 'Pickup moved to 16:00 at Dock 4. Please confirm.' ifadesini de buluyor. Rapor hangi ifadeyi destekleyebilir?

  15. S152 puanchatstore.db-wal

    chatstore.db-wal üzerinde yapılan bir metin araması 18 ve 21 numaralı çerçevelerde 'Stock list part 1' ifadesini buluyor; ancak işlenmiş durumun sorgusu bunu döndürmüyor. 21. çerçeve ayrıca 49 numaralı satırı revoked sütunu 1 olarak gösteriyor; işlenmiş durumda revoked = 0. Rapor bunu nasıl ele almalı?

Puan 0 / 24

05Bulgunuz

Son adım: üç denetim sorusunu bir bulgu olarak cevaplayan tek bir paragraf yazın. Eğitmeniniz bunu dört ölçüte göre değerlendirir:

  • Rapor ana dosyayı, işlenmiş durumu ve son işleme çerçevesinden sonraki çerçeveleri ayırır.
  • Her zaman kendi esasını taşır: Unix epoch milisaniye, UTC ya da farkıyla yerel saat.
  • İfade, bir kişinin ne yaptığını, amaçladığını ya da gördüğünü değil, uygulamanın neyi sakladığını anlatır.
  • Dosyaların yalnızca eskimiş ya da işlenmemiş olarak gösterdiği hiçbir şeye 'silinmiş' ya da 'kurtarılmış' denmez.

Bulgular nasıl ifade edilir →