一个案例三部手机再现手机取证中微信提取常用方法

针对一些疑难手机，微信扫码取证是较为常用的方法之一。近期一起重要案件支撑过程中，拓界技术支持人员成功完成了近200部手机的快速提取，其中三部手机的微信提取具有一定代表性，为此，小编整理与大家进行分享，希望有所帮助。

Part 1

案例手机一

手机机型为OPPO R9，安卓版本为Android 5.1，属于比较老的机型，需要对其微信进行提取。由于机型比较老，而且对于OPPO手机提取有成熟稳定的方法，所以直接尝试无线取证。

无线取证

通过新建热点进行连接完成对OPPO手机的提取，目前该方法已成为OPPO手机提取的主流。具体步骤如下：

① 打开“响尾雀”手机取证，选择无线取证模块；

② 选择手机品牌，填写案件信息；

③ 按照提示在本地新建热点，热点信息；

④ 按照如图提示操作完成，点击确定，开始获取数据；

⑤ 等待数据获取完成，成功获取手机数据，其中包括完整的微信数据。

总结：OPPO手机在提取时，可以直接采用无线取证方法进行手机搬家。如果只是对微信提取，可以优先考虑微信扫码取证，如果条件不允许再考虑手机搬家。

Part 2

案例手机二

手机机型小米11，安卓版本是Android 11。手机上安装了微信和微信分身，需要对其进行提取。

高级备份

直接“响尾雀”手机取证中的高级备份对手机进行提取，提取后手机上的主微信提取成功。

微信扫码取证

① 打开“响尾雀”手机取证程序，选择扫码取证模块，对微信分身数据进行提取；

② 点击“新建检材数据”，填写案件信息；

③ 点击“开始取证”，选择“微信记录”，开始获取微信数据；

④ 等待获取完成，成功获取微信分身数据。

总结：对具有微信分身的手机进行提取时，可以首先对手机进行提取，如果无法提取微信分身的数据，再考虑用微信扫码取证的方法进行补充提取。当然，如果只是提取手机中微信数据(如被害人取证时)，可以直接利用微信扫码取证，提取微信和微信分身的数据。

Part 3

案例手机三

手机机型华为mate 30。手机存储容易256G，已使用248G，空间严重不足。其中手机中微信数据量156G。目前对存储容易不足且微信数据量大的手机提取是一个难点。

微信扫码：定向提取

微信数据量过大有关，取证过程可能会出现意外，遇到此类问题，可采用微信扫码取证中的定向提取方法。将数据分为几个部分，手动按部分对数据进行选择提取，最后将多次提取的数据进行合并，成功取证该手机中的微信记录，共计1213万条。

总结：对于存储空间有限，手机中微信数据过大时，可以通过微信扫码取证和定向提取，完成取证工作。

END

本文始发于微信公众号（网安杂谈）：转【案例分享】一个案例三部手机再现手机取证中微信提取常用方法