恢復(fù)對(duì)方微信撤回消息有哪些方法，安卓微信撤回消息查看技巧
2019新年已經(jīng)在向我們招手，馬上就是春節(jié)啦！小編提前在這里給大家拜個(gè)早年！今天給大家?guī)砟甑鬃詈笠黄夹g(shù)文章，祝大家新的一年在電子數(shù)據(jù)取證工作上勢(shì)如破“豬”！ 在日常辦案過程中，技術(shù)人員常會(huì)處理有關(guān)微信聊天數(shù)據(jù)的恢復(fù)工作。其中有一類消息比較特殊，那就是撤回消息，它不屬于刪除消息，但是形式卻與刪除消息類似，亦即被撤回之后的消息也是不可見的，并且很難被提取。 在這篇文章中，我們就對(duì)Android撤回消息的恢復(fù)進(jìn)行簡(jiǎn)單的探討。 關(guān)于微信撤回消息 從微信6.6版本到如今微信7.0版本，都有一個(gè)功能：撤回消息可以重新編輯。即在發(fā)送消息被撤回之后的2分鐘內(nèi)點(diǎn)擊重新編輯，可以對(duì)撤回的消息進(jìn)行再編輯，2分鐘以后如果沒有編輯操作就會(huì)自動(dòng)消失。 從該功能不難發(fā)現(xiàn)，撤回消息其實(shí)是存放在某文件中，而不是撤回之后就立即刪除。 微信撤回消息恢復(fù)難點(diǎn) 那撤回消息究竟存放在哪里呢？通過研究發(fā)現(xiàn)，撤回消息被存放于微信用戶賬號(hào)文件夾下的FTS5IndexMicroMsg.db-journal文件中。 而在實(shí)際的辦案過程中，可能會(huì)因?yàn)橐恍┱`操作（比如設(shè)備關(guān)機(jī)、重啟、退出微信等）而使得存放撤回消息的緩存文件被清除，從而不能正常恢復(fù)出撤回消息，這就給辦案工作人員帶來不少困擾。 下面就將具體的Android撤回消息恢復(fù)步驟和大家分享，僅供參考！ 具體操作步驟 1、事前準(zhǔn)備 1）操作手機(jī) 一個(gè)能夠獲取數(shù)據(jù)的Android設(shè)備：以O(shè)PPO R11 plus（Android版本7.1.1，具有root權(quán)限）為例進(jìn)行講解； 確保Android設(shè)備中的微信存在過撤回消息； 2）數(shù)據(jù)查找工具 winhex：用于查看緩存文件的二進(jìn)制值 2、模擬創(chuàng)造需恢復(fù)的數(shù)據(jù) △模擬操作數(shù)據(jù) 3、查找微信撤回?cái)?shù)據(jù)緩存文件 1）通過adb指令獲取輸入模擬數(shù)據(jù)之后的FTS5IndexMicroMsg.db-journal文件； 2）使用winhex打開獲得的緩存文件，搜索模擬錄入的數(shù)據(jù)，發(fā)現(xiàn)未找到。 4、重啟手機(jī)設(shè)備（在重啟前不退出微信） 1）重啟手機(jī)設(shè)備之后，打開微信，輸入一條測(cè)試數(shù)據(jù)，如“dianzishujuquzheng”，并將其撤回。 △測(cè)試數(shù)據(jù) 2）再次輸入adb命令得到FTS5IndexMicroMsg.db-journal文件，然后通過分析，找出開始所錄入的模擬數(shù)據(jù)，如下圖所示。 注意事項(xiàng) 1、因?yàn)閿?shù)據(jù)是存放在緩存中的，所以變化的頻率過高，使得恢復(fù)的效果需根據(jù)實(shí)際情況而定。 2、通過對(duì)比測(cè)試之后，發(fā)現(xiàn)以下兩種情況可以通過上述方式恢復(fù)被撤回消息： 退出應(yīng)用被清除緩存文件； 重啟手機(jī)被清除緩存文件； 3、對(duì)中英文不同數(shù)據(jù)對(duì)比后發(fā)現(xiàn)，英文的效果比中文好，因中文一般為utf-8編碼，一個(gè)中文通常占多個(gè)字節(jié)，所以容易被打散，很難獲得較為完整的消息。 4、對(duì)于不同型號(hào)設(shè)備，不同系統(tǒng)版本，恢復(fù)效果也有較大差異，本文僅提供參考思路，具體恢復(fù)操作需結(jié)合實(shí)際情況實(shí)際分析。 “ 本文，我們介紹了一種恢復(fù)微信撤回消息緩存文件的方法，主要目的是和大家分享一種在恢復(fù)不出撤回消息時(shí)（注：因關(guān)機(jī)、重啟或退出應(yīng)用而使得緩存文件被清除或修改）的分析思路和操作方法。 但在實(shí)際場(chǎng)景中需慎用，因?yàn)樾枰B接網(wǎng)絡(luò)，可能被人通過遠(yuǎn)程清除所有數(shù)據(jù)等，請(qǐng)聯(lián)系專業(yè)人員進(jìn)行操作。
