phonesploit后续研究（微信取证）

此处是使用夜神模拟器做后续研究

开启PhoneSploit，输入夜神模拟器IP地址即可，菜单1可以看到连接状态

输入菜单7截取当前屏幕，此处填文件名为99.png保存下来

获取微信聊天记录实验

首先我登录了我的微信小号A,，给我另外一个号发了几条消息

获取微信聊天记录，我们需要3样东西：微信UIN、手机IMEI、EnMicroMsg.db数据库文件

1.微信UIN获取

通过菜单4，我们可以获得一个交互式shell，通过访问~/com.tencent.mm/shared_prefs/system_config_prefs.xml文件，可以获取最后一个登录微信的账户的UIN值

cat /data/data/com.tencent.mm/shared_prefs/system_config_prefs.xml

在这一行中，value的值就是UIN。

2.手机IMEI获取

看了很多文章，都是说手机拨号键入：*#06#可以获取，但是在我们这个实验中显然不太实在，SO!
IMEI号码，我们可以通过访问~/com.tencent.mm/MicroMsg/CompatibleInfo.cfg文件获得

cat /data/data/com.tencent.mm/MicroMsg/CompatibleInfo.cfg

此处是夜神模拟器随机取的，我就不打码了

3.EnMicroMsg.db文件获取

首先要先说一下，数据库文件基本都在 ~/com.tencent.mm/MicroMsg/微信用户数据存储目录/EnMicroMsg.db，但是微信用户数据存储目录不排除会有好几个，如下图：

哪个是我们所要抓取的呢？，这里可以用mm+获取到的UID进行组合，加密成32位MD5的值所对应相应的目录，如下

可以看出第一个2e0fe*就是我们需要的微信用户数据存储目录
所以，通过phonesploit菜单9从远程数据库文件拉到本地解密
输入我们的文件路径和保存路径，我们成功的将数据库保存了下来

9
/data/data/com.tencent.mm/MicroMsg/2e0fe884b0****8d8313508879f1a1d6/EnMicroMsg.db
/home

取证/获取信息

将数据库放入SQLcipher2.1中，显示是需要密码的。
而密码就是我们刚抓出来的IMEI和UID值。将这两个值以IMEI+UID的方式拼接在一起，MD5加密后，取32位小写MD5前7位即可

输入密码1327df3，可以看到成功读取出来了

从userinfo表中，可以找到微信id、用户名、手机号等信息

在rcontact表中能找到小号A的好友列表，这里只有我大号一个好友

在message表中可以看到聊天记录。

参考：
https://blog.csdn.net/baidu_34928905/article/details/78008287
https://bbs.pediy.com/thread-250714.htm
SQLcipher2.1:
链接：https://pan.baidu.com/s/12a66oH6F5NmtebXh50rpiw
提取码：27wh