目前针对手机微信数据恢复,已经有较为成熟的方法,商业的手机取证工具一般都能不同程度地支持。本文将以Android微信为例探讨判断微信聊天记录是否被删除过的方法,这一方法也可以用于检验取证工具恢复的聊天记录是否完整。
Android微信默认路径为data分区下的“data\com.tencent.mm\MicroMsg”目录,用户及应用产生的大部分数据都在此目录下,但用户产生的多媒体数据则保存在SDCard分区的“tencent\MicroMsg”目录下。在以上路径下,每个登录的帐号会产生一个以某MD5值(该值也和微信账号有关系,详情网上可以搜到)命名的文件夹,聊天记录、朋友圈信息、收藏记录全部位于各账号MD5值目录下。