2024年5月14日发(作者：yy安全中心网页版)

刑侦技术　ＨＡｌ　ＸＩＡ　ＫＥ　ＸＵＥ　

两种基于Ｗｉｎｄｏｗｓ系统的ＱＱ聊天记录删除　

恢复方法比较　

１．福建省公安厅刑事技术总队２．福建省刑事科学技术重点实验室魏驰　黄君灿　陈兆烟　

［摘要］　目的：比较两种－恢复ＱＱ聊天记录方法的优缺点，探索不同恢复方法的最佳适用条件。方法：以实际案件为例，对两　

种ＱＱ￣ＪＰ天记录进行数据恢复的方法——基于文件・恢复的ＱＱ聊天记录删除恢复与基于关键字搜索的ＱＱ￣ＪＰ天记录删除恢复进　

行比较。结果：两种方法均能有效地恢复ＱＱ］￣Ｐ天记录，但不同条件下的恢复结果彼此有差异。结论：基于文件恢复的ＱＱ聊　

天记录删除恢复方法能完整恢复聊天记录并有很好的可读性，但是对检验条件的要求苛刻，成功实现的难度大；基于关键字　

搜索的ＱＱ聊天记录删除恢复方法操作简单，易于实现。缺点在于信息不完整，需要对恢复的结果做进一步分析判断。　

［关键词］　ＱＱ聊天记录　数据恢复　关键字　

随着我困网络的普及，即时聊天Ｔ具已成为人们生活中　

相关ＱＱＩ［￣ＩＩ天记录数据文件，进而解析获得有价值的聊天ｉ己　

录。　

不可或缺的东西，根据《第３５次中国互联网络发展状况统计　

报告》，即时通信作为第一大上网应用，在网民中的使用率　

达￣１１９０．６％…，诸￣［１ＱＱ、微信、陌陌等聊天］　具充斥着人们　

生活的各个角落。正因为如此，即时通讯聊天记录极叮能存　

刑事案件侦破过程中扮演着举足轻重的作用　本文从文件恢　

复与关键字搜索两个方面提｝｝Ｊ对删除ＱＱＩ（￣ｐ天记录的恢复方　

法．　

１－３基于文件恢复的ＱＱ聊天记录删除恢复　

本文以一台重装Ｗｉｎｄｏｗｓ操作系统的汁算机为例，介绍　

基于文件恢复提取删除Ｉ￣＜ｊＱＱ聊天　录　本例中，ＱＱ账号为　

８６６９１　ｌ２３的聊天记录因重装系统而被删除。　

ｌＩ３．１文件恢复　

运行ＴＩＮＡＬ　Ｆｏｒｅｎｓｉｃｓ（Ｖ３．１）数据恢复软件，经精确扫　

描，获取相关恢复文件＿２】？根据ＱＱ聊天记录数据文件均为　

．

１　基于文件恢复的ＱＱ聊天记录删除恢复　

１．１　ＱＱ聊天记录解析前提　

通过对取证大师（Ｖ４．２）使用及分析得知．要成功解析　

聊天记录．需要完整的聊大记录文件Ｍｓｇ３．０．ｄｂ、密钥信息文　

件Ｒｅｇｉｓｔｒｙ．ｄｂ以及好友信息文件ｌｎｆｏ．ｄｂ三个数据库文件（见　

图１）　在Ｗｉｎｄｏｗｓ！操作系统巾，这些ＱＱＩ（￣ｐ天记录数据文件　

默认存放于ＣｆｌＵｓｅｒｓ＼Ｕｓｅｒｎａｍｅ＼Ｄｏｃｕｍｅｎｔｓ＼Ｔｅｎｃｅｎｔ　Ｆｉｌｅｓ文件　

日录相应ｆｌ＜ｊＱＱ账号文件夹中、　

名称　内窖　

ＤＢ文件，　此过滤筛选出所有ＤＢ文件，按路径导ｌＬｆＩ　经查，　

在默认路径－Ｆ找到目标ＱＱ账号８６６９１　１２３的聊天记录数据史　

件，如图２所示　

状态　ｌ文件名　ｌ扩晨名Ｉ　划、ｌ目录　

Ｊ氍础　｛件　・　ＦＭ　ｓ　ｌ４Ｅ００４１・Ｏ０１＼，ＤＢ（２３６￣＼Ｕｎｋｍｗｎ＼８６６９１１２３＼ｍｓ９２Ａｄｂ　

－】密锝信息文件　Ｌ删州　Ｏｌ４Ｅ００４１－Ｏ０１＼．ＤＢ｛２３６）＼Ｕｎｋｎｃ￣ｖｎ＼８６０ｇｌ１）３＼ＴＭ＼ｒｅ９　ｄｂ　

ｊ　件　Ｄ＾ＦＬ・８００＼ＦＭ　ｓ　ｌ４吣１．Ｏ０１￣ＤＢ（２３６）＼Ｕｎｋ『ｌｏＷｎ＼嗍ｌ１２　．ｄｂ　

图１　解析ＱＱ聊天记录所需文件以及路径　

１．２文件删除恢复　

图２恢复的数据库文件列表　

１．３．２解析ＱＱ聊天记录数据文件　

在连接互联网的１　作站巾运行取证大师（Ｖ４．２），加载　

目标ＱＱ账号８６６９ｌｌ２３聊天记录数据文件，经自动取证功能未　

成功解析ＱＱ账号为８６６９１１２３的聊天记录，经了解确认由于　

在Ｗｉｎｄｏｗｓ．操作系统中，被删除的文件只是被标记为删　

除，而事实上文件的数据部分并没有发生改变，这为恢复被　

删除的ＱＱ应用程序文件提供了可能。因此在案件的取证过程　

中，诸如嫌疑人删除了ＱＱ聊天｝己录数据文件、存储介质被格　

ｒｅｇｉｓｔｒｙ．ｄｂ文件未保存ＱＱ登陆密钥（即在登陆ＱＱ软件时未勾　

选“记住密码”），无法自动获取ＱＱ聊天记录。为成功获取　

式化或者是重装操作系统等情况，可通过数据恢复软件恢复　

ＱＱＩ￣［１天记录，笔者通过ＱＱ信息解密的方式手丁输ＡＱＱ密　

２０１６年第１０期（总第１１８期）　６１　

两种基于Ｗｉｎｄｏｗｓ系统的ＱＱ聊天记录删除恢复方法比较　

码，成功获取￣ＩＪＱＱ账号为８６６９１　１２３的聊天记录。经过筛选获　

得涉案的与ＱＱ账号为１２００８３４９、７７０４２８１８７的聊天记录，如　

图３所示。　

一　

鲤　

膏生．　

膏生．　

丈人　

捌嘲睁嘲｝ｌ｜鼍豳嘲　

！１６６９１１２３

８６吼１２５　

７７０４２８１８７

８６４５９１１２３

Ｉ尊嘲啭辟　嘲　｛哪　

到了　

口

固

目

５７４７　

５７４８　

５７４９　

尢＾　

太＾　

－眭．　

丈＾

７７０４２１１１８７　２０１１－０１—１１　ｌ５坤　ｓｓ巍　

Ｓ６６ｇ１１２３　

刀０伽

７７０４２８１８７　２０１１￣１－１１　１５“７：０４我先■—母　

２０１１－ｏｌ　１１　１５；４７：０８什么卡＇　

盯　２ｏｌｌ　ｉ－１１　１５；４７：１６捂厅懂掬Ｉ卡　

２Ｏｌｌｆｏｌ—ｕ　１５：４７：２０　

２０１１　ｌ・１１　１￣＇４７：４０　

目

目

日

瞄

口

５７５０■　．　

５７５１ｊ　

５７５２０太人　

５７５３　■生．

５７５４Ｊ＿生．

７７０４２８１８７　膏生．

７７１￣４２８１８７■生．

８＇３６９１１２３　

８６６９１１２３　

Ｂ６秘ｎ２３

８／￣９１１２３　

太人　

Ｔ／０Ａ２８１盯

８６６９１１２．３　

２０ｌｌ＇ｏｌ一１１　１５：４７：５０，　Ｉ骚　

　

２Ｏｌｌ—ｏｌ一１１　１５：４８：ｏ２叠打电话．　

７７０４，７８１８７　２０１１￣１—１１　１５：４７：￣２龋

口

四

口

日

５７５５ｌＪ太＾

５７５６　融．

Ｔ／０４２８１￣　

８￣９１１２３　

．　

尢＾　

．　

＾　

７７１）４２８１８７　２０１１＜１１　１１　１５：４９：．１４　

瓣　－瞄Ｅ．嘲ｌｌ船

７７０４２８１８７　

￣

￣

７＂／０４２８１８７　２０１１＂０１－１１　Ｉ．　瞄■Ｅ羊●－糌，　

７．■五下牛．　

５７５８Ｊ　

５７５９■太＾　

５７６０　

５７６１　

７７０４２８１８７　ｌｎｅ．ｉ　

．　１１２３　

１１２３　

８６６９１１２３　２０１１－Ｏｌ　１１　１５：５ｏ￣４斛

８６６９１１２３　２０１１－ｏｌ－１１　１５：５０：２０只嘲蛀‘Ｅ翱爵匿生７ｌ臣在　

７７０４２８１８７　２０１１－０１・１１　１Ｓ　５０；２２好吣　

？７０４２８１８７　∞ｌ１—０１－１１　１５：５Ｃ：．３５三千　

８６６９１￣３　

’　

７　∞ＯＯ拽Ｉ呐疽７　

■±．　

口５７６２０　７７０４２８１８７　ｔ　．　

２０１１－０１－１１　１５：５０￣０不鹄再塞●黼

图４关键字设置　

菖　

目５７６３：　０融．

丸～

８６６９１１２３　Ｍ　

Ｔ／０４２８１Ｂ７鞋．　

７７０４￣１８７￣Ｏ１１４／１．１１　１５：５１：１７　

￣Ｉ１２３　２０１１－０１．１１　１５：５１：５９蕾翻　々　一　目　５７￣，４　

图３恢复的ＱＱ聊天记录内容　

蘑　

（４　

２基于关键字搜索的ＱＱ聊天记录删除恢复　

２．１关键字搜索　

图５搜索ＱＱ聊天记录结果截图１　

关键字搜索是在选定关键字内容后按照一定的编码规则　

通过关键字匹配算法对二进制流数据进行分析查找。在电子　

物证检验过程中，关键字是与案件相关的重要信息，可通过　

逻辑或物理方式对检验对象进行搜索，查找包含该关键字的　

信息，这样可以准确快速地获得有价值的数据。通常犯罪嫌　

疑人在使用ＱＱ聊天记录聊天时，会在计算机中缓存操作信　

息，ＱＱ的聊天记录涉及账号、时间、聊天内容等信息会被记　

录到计算机中，通过ＱＱ账号、具体聊天内容等关键字搜索会　

在未分配簇或者虚拟内存文件中找到聊天记录内容ｆ３】。　

图６搜索ＱＱ聊天记录结果截图２　

３结论　

本文结合案例分析，介绍了基于Ｗｉｎｄｏｗｓ操作系统的两　

种删除ＱＱ聊天记录的恢复方法——基于文件恢复的ＱＱ聊天　

２．２基于关键字搜索的ＱＱ聊天记录删除恢复　

本文以未能成功解析出目标ＱＱ账号的聊天记录的计算　

机为例，介绍基于关键字搜索方法恢复ＱＱ聊天记录。本例检　

验要求恢复涉及的目标ＱＱ账号为４５４８３　１４５　ｌ，聊天内容涉及　

到考试作弊、作弊工具等内容聊天记录。　

２．２．１关键字搜索　

运行取证大师（Ｖ４．２），新建案例，加载镜像文件，通　

过对案件的了解与分析，设置关键字为“４５４８３１４５１”“考试作　

记录删除恢复与基于关键字搜索的ＱＱ聊天记录删除恢复。这　

两种方法都有其各自的优缺点，前者的优点在于能完整恢复　

聊天记录并有很好的可读性，但是缺点在于要求的条件苛刻，　

成功实现的难度大；后者正好相反，优点在于操作简单，易　

于实现，缺点在于信息不完整，需要分析判断。因此，在日　

常检验工作中，可将这两种方法结合使用，取长补短，提高　

ＱＱ聊天记录恢复的成功率。　

弊”“考中答案”等，选择编码为常见的汉字编码ＧＢ２３１２、　

ＵＴＦ．８、Ｕｎｉｃｏｄｅ等，选择的搜索范围为全盘搜索，见图４。　

２．２．２搜索结果分析与固定　

根据搜索结果，经过搜索我们找到与检验要求相关的内　

容，在未分配簇偏移位置为１００６６８５７９８２处发现部分聊天记　

录，有明确的昵称、账号、时间以及聊天天内容等详细信息，　

内容详见图５。在未分配簇偏移位置为３４３０７４９１０２０处同样发　

现ＱＱ聊天记录，同样有明确的呢称、时间以及聊天内容，但　

缺少ＱＱ账号，内容详见图６。　

参考文献：　

［１］中国互联网络信息中　Ｌ，（ｃｒ，ＴＮ［ｃ）．第３５次中国互联网络发展状况统计报告　

［Ｒ］．２０１　５：４２．　

【２】薛琴．基￣－ＦｉｎａｌＤａｔａ的数据恢复技术在计算机取证中的应用［Ｊ］．警察技术，　

２００８（４）：４４—４７．　

【３李子川．３］关于对ＱＱ聊天记录数据恢复方法的研究［Ｊ］．黑龙江科技信息，　

２００９（１　１）：６２．　

６２　２０１６年第１０期（总第１１８期）