【微信取证篇】取证遇到微信昵称、微信号、微信账号、微信ID一次性区分清楚（更新）

每个微信第一次成功注册并登录后，系统会自动分配一个默认的微信ID号（以"wxid_"开头），有一次修改机会，但无论微信号怎么修改，微信系统文件夹下的微信ID号"永远"是这个原始微信账号（ID），不会随着"微信号"的改变而改变。

【修改微信号路径：点击微信->我->设置->账户与安全->微信号->修改微信号；或者：我->个人信息->微信号->修改微信号】

Android版本微信号路径

电脑版本微信号路径

更改了微信号之后，新的微信号和旧的微信号文件夹仍然会存在电脑对应的文件夹，旧的微信号名称的文件夹并不会被删除。

新的微信号文件夹时间和旧的文件夹之间的时间可以作为最近一次微信号更改的参考时间！

为什么只是作为参考时间？

1）微信号非在当前主机修改

微信号可能是在手机等客户端更改，只有在当前电脑登录后才会形成新的文件夹，这中间可能存在时间间隔，也就是在其他端修改的微信号，如没有马上就在这台电脑登录，那么期间可能隔了几分钟？几小时？几天？几周？几月？等也都有可能。

2）微信版本更新

微信版本更新也可能导致微信号文件夹属性被修改。

3）删除/伪造

由于是空的文件夹，在进行垃圾清理的时候可能会被清理掉，不管是有意还是无意都有可能。也不排除有人手动修改伪造，从而造成干扰等等。修改很简单，但要证明它的真实性则很难，电子取证中数据的提取大部分只能证明其存在性，从而才有各种数据细化。

总结

书写片面，只是从自身角度写的一些理解，有错漏之处欢迎指正。

公众号回复关键词【微信取证】自动获取资源合集，如链接失效请留言，便于及时更新。

【声明：欢迎转发收藏，喜欢记得点点赞！转载引用请注明出处，著作所有权归作者 [蘇小沐] 所有】

原文始发于微信公众号（DFIR）：【微信取证篇】取证遇到微信昵称、微信号、微信账号、微信ID一次性区分清楚（更新）