如何判断手机中提取的QQ聊天记录是电脑端同步过来的?

admin 2022年4月25日13:23:50安全闲碎评论14 views1881字阅读6分16秒阅读模式

 案例

随笔

知识

声音

其他


编者按

有些日子不研究QQ聊天记录的取证了。昨天听说基层的同志们在实践中遇到了问题,逼得我从操旧业。时间紧急,这篇文章就当是抛钻引玉吧……



奇特却又合理的应用场景


犯罪嫌疑人甲涉嫌通过QQ实施诈骗。有一天,甲在乙的手机上登陆自己的QQ账号,向他人发送诈骗信息。起获手机后,提取了手机中保存的聊天记录。乙辩称这些聊天记录是甲在电脑端登陆QQ后同步过来的信息,跟自己没有任何关系。


其实,手机QQ采用了远低于桌面QQ的弱安全机制,那么,案中提到的需求到底能不能满足呢?


因为案件还涉及到小编尚未掌握的其他线索信息,此处,仅针对其中可能的技术问题进行探究。


手机端QQ的日志信息在哪里?


以安卓系统为例,手机端QQ的历史日志都保存在下面这个目录:tencentmsflogscomtencentmobileqq。


在该目录下,存在很多log、qlog日志。不同名称的日志文件存储着不同方面的消息,下图中有详细标注,小编就不再细说了。以小编对鹅厂的了解,日志恐怕远不止这些。


从取证客观性以及消息可读性上,建议大家对此文件夹予以重视。文件名中的日期,表示这是今天生成的日志。

如何判断手机中提取的QQ聊天记录是电脑端同步过来的?

重要信息解读


打开手机qq日志(以com.tencent.mobileqq.18.08.03.19.log为例)。


1、判断几个号码可以在手机上成功登陆。

如何判断手机中提取的QQ聊天记录是电脑端同步过来的?

2、用户修改了手机QQ端某些功能。比如:下图中的日志表明,用户取消了手机与电脑QQ同步。


如何判断手机中提取的QQ聊天记录是电脑端同步过来的?


3、手机QQ是否需要与电脑端同步。


如何判断手机中提取的QQ聊天记录是电脑端同步过来的?


4、判断某一个时间点,手机登录QQ账户有多少条未读消息。


如何判断手机中提取的QQ聊天记录是电脑端同步过来的?


5、用户在某一个时间点登陆和退出QQ的日志,长什么样呢?


如何判断手机中提取的QQ聊天记录是电脑端同步过来的?


6、与某一个用户之间聊天的日志

如何判断手机中提取的QQ聊天记录是电脑端同步过来的?

这是一条聊天记录日志。需要解读的信息比较多:

(1)friendUin:9904——好友qq号码的后四位;

(2)senderuin:9904——这条消息的发送者;本机登陆号码是*2678,所以这条消息其实是一条接受消息。

(3)istroop:0——这条消息是一对一的;

(4)msgType:-1000——消息类型,小编也没搞明白1000指的是啥;

(5)time:1533303168——消息发送的时间2018-08-03 21:32:48,这个时间与这条日志的生成时间2018.8.3 21:32:49较为接近,符合时间逻辑;

(6)shmsgseq:20169——本条聊天记录的消息序号。对于一个qq账号而言,对外发送的消息、接收到的消息,各自递增序号。20169是接受消息序号。


7、与某一个用户之间聊天的日志


如何判断手机中提取的QQ聊天记录是电脑端同步过来的?

这是一条聊天记录日志。需要解读的信息比较多:

(1)friendUin:9904——好友qq号码的后四位;

(2)senderuin:2678——这条消息的发送者;本机登陆号码是*2678,所以这条消息其实是一条发送消息;

(3)istroop:0——这条消息是一对一的;

(4)msgType:-1000——消息类型,小编也没搞明白1000指的是啥;

(5)time:1533300015——消息发送的时间2018-08-03 20:40:15,这个时间与这条日志的生成时间2018.8.3 20:41:02相差47秒,不符合时间逻辑;推测:是QQ号码*2678登陆后同步而来的消息,考虑到这是一条发送消息,故应该是*2678在别处(如电脑)发给*9904用户的消息。——这似乎能回答涉案的问题;

(6)shmsgseq:5007——本条聊天记录的消息序号。对于一个qq账号而言,对外发送的消息、接收到的消息,各自递增序号。5007是发送消息序号。


8、一组聊天记录日志的解读

如何判断手机中提取的QQ聊天记录是电脑端同步过来的?

这是一组聊天记录日志。重点解读几则信息,部分解读可以参考前面的图。

(1)shourUin:7100——好友qq号码的后四位;

(2)type:0/1008分别表示一对一消息,还是群消息;

(3)lasteread:1533299231——最后一次读该群消息的时间为2018-08-03 20:27:11;

(4)unreadGiftCount:0——本群还有多少未读消息和礼物;

(5)unreadMark:0——还有没有未读标记。



9、删除了的聊天记录在日志中又是个一个什么样呢?

且听下回分解。


10、日志中还包含很多加密的命令字符串,小编能力和时间都很有限,目前无法进行解读。


11、小二又闹了,我得过去看看。




如何判断手机中提取的QQ聊天记录是电脑端同步过来的?

请长按选择识别图中的二维码并关注【信息时代的犯罪侦查】公众号,了解犯罪手段、侦查技术、办案心得,做到自我提升、自我救赎!

原文始发于微信公众号(信息时代的犯罪侦查):如何判断手机中提取的QQ聊天记录是电脑端同步过来的?

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月25日13:23:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  如何判断手机中提取的QQ聊天记录是电脑端同步过来的? http://cn-sec.com/archives/903518.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: