[Linux-Biella] sqlite carving

[Leonardo Buffa]

On 29/01/2017 08:33, vallini.daniele a bilug.it wrote:

> Non mi risulta che sqlite 3 faccia effettivamente il delete bensi'
> l'update ed i dati vengano abbandonati solo con il vacuum.

stiamo parlando di whatsapp
teoricamente e sottolineo _teoricamente_ il vacuum avviene solo quando 
vengono fatti i backup quotidiani.
quindi io, accedendo al telefono rootato e copiando direttamente il file 
"live" (msgstore.db) che altrimenti non sarebbe raggiungibile, dovrei 
avere una situazione senza vacuum... questo ovviamente muore al momento 
in cui il telefono sia stato brasato e il whatsapp sia stato 
ripristinato da un backup... dico questo perche' io dovrei recuperare 
qualcosa come 700 messaggi... non mi aspetto di trovarne cosi' tanti, ma 
piu di 10 che riesco a vedere si..

> Con un diff vedi se c'e' qualcosa di interessante da analizzare.

mh diff non funziona con un db

> http://www.xenialab.it/meo/web/white/oracle/sqliteInt.htm
> http://www.simplecarver.com/exchange/articles/article-41.html http://forensicsfromthesausagefactory.blogspot.it

vediamo anche qui se trovo qualcosa di utile!



-- 
Questa mail non contiene olio di palma