การกู้คืนข้อความหลักฐานจากโทรศัพท์ที่เสียหายหรือการสำรองข้อมูลแชทที่เสียหาย¶

เมื่อคดีแพ่งที่สำคัญ การต่อสู้แย่งชิงอำนาจศาลครอบครัว การพิจารณาคดีตามคำสั่งห้าม การร้องเรียนเรื่องการล่วงละเมิดในที่ทำงาน ข้อพิพาทเรื่องการฉ้อโกงของผู้รับเหมา หรือการป้องกันตัวทางอาญาขึ้นอยู่กับข้อความ แชท WhatsApp, iMessages หรือเธรดสัญญาณที่ติดอยู่ในโทรศัพท์ที่เสียหายหรือไฟล์สำรองข้อมูลที่เสียหาย การคลิกผิดเพียงครั้งเดียวสามารถทำลายหลักฐานทางกฎหมายของคุณอย่างถาวร ฐานข้อมูลการส่งข้อความสมัยใหม่ไม่จัดเก็บข้อความเป็นไฟล์ข้อความธรรมดา พวกเขาเก็บไว้ในฐานข้อมูลเชิงสัมพันธ์ SQLite (sms.db บน iOS mmssms.db / bugle_db บนแอนดรอยด์ msgstore.db.crypt14 / crypt15 บน WhatsApp และฐานข้อมูล SQLCipher บน Signal) พร้อมด้วย Write-Ahead Log ชั่วคราว (.db-wal) ไฟล์เจอร์นัล

หากคุณปล่อยให้โทรศัพท์เครื่องใหม่เขียนทับข้อมูลสำรองบนคลาวด์ของคุณด้วยฐานข้อมูลเปล่า หรือหากคุณเปิดฐานข้อมูล SQLite ที่เสียหายโดยไม่คัดลอกฐานข้อมูลที่ซ่อนอยู่ -wal ก่อน หรือหากคุณส่งภาพหน้าจอที่ครอบตัดและไม่ได้รับการรับรองความถูกต้อง ซึ่งทนายฝ่ายตรงข้ามคัดค้านว่าเป็นของปลอม คุณอาจสูญเสียทั้งข้อมูลและคดีในศาล

คู่มือนี้ให้การแยกการแชทแบบไม่ทำลายทีละขั้นตอน การซ่อมแซมฐานข้อมูล SQLite การคืนค่าการสำรองข้อมูลด้วยการเข้ารหัส และโปรโตคอลการเก็บรักษาทางนิติวิทยาศาสตร์ที่ศาลยอมรับได้ โดยอ้างอิงจาก National Institute of Standards and Technology (NIST) Special Publication 800-101 Rev. 1 (Guidelines on Mobile Device Forensics), Federal Rules of Evidence (FRE) Rules 901(b)(9) และ 902(14) (หลักฐานอิเล็กทรอนิกส์ที่รับรองความถูกต้องด้วยตนเองผ่านการรับรองแฮช SHA-256) และข้อกำหนดการกู้คืน SQLite / SQLCipher อย่างเป็นทางการ

ทำเช่นนี้ตอนนี้¶

หากคุณต้องการช่วยเหลือข้อความสำคัญหรือข้อความแชทจากโทรศัพท์ที่เสียหาย เธรดที่ถูกลบโดยไม่ตั้งใจ หรือการสำรองข้อมูลที่ล้มเหลว:

1. ให้โทรศัพท์อยู่ในโหมดเครื่องบินทันทีแล้วปิดการสำรองข้อมูล iCloud / Google Drive อัตโนมัติ นี่คือกฎข้อที่ 1 ของการพิสูจน์หลักฐานทางมือถือ ทำไม ขั้นแรก เมื่อคุณลบข้อความใน iMessage (sms.db), WhatsApp (msgstore.db) หรือข้อความ Android ข้อความจะถูก ไม่ถูกลบออกจากแฟลชไดรฟ์ทันที โดยอยู่ภายใน **"รายการอิสระ / หน้าที่ไม่ได้จัดสรร" ของฐานข้อมูล SQLite หรือภายใน บันทึกการเขียนล่วงหน้าชั่วคราว (.db-wal) จนกว่าฐานข้อมูลจะรันพื้นหลัง VACUUM ล้างข้อมูลหรือส่งข้อความใหม่ทับลงไป ประการที่สอง หากข้อความถูกลบบนโทรศัพท์ของคุณในวันนี้ ข้อมูลสำรอง iCloud 02:00 น. เมื่อคืนที่ผ่านมาของคุณหรือข้อมูลสำรอง WhatsApp ของ Google Drive ยังคงมีข้อความครบถ้วน จนกว่า การสำรองข้อมูล Wi-Fi อัตโนมัติของคืนนี้จะเขียนทับข้อความนั้น การเปิด โหมดเครื่องบิน จะหยุดทั้งการเขียนทับ SQLite ในเครื่องและการเขียนทับการสำรองข้อมูลบนคลาวด์ทันที หากคุณตกอยู่ในอันตรายทางกายภาพโดยทันทีจากผู้ทารุณกรรมในบ้านหรือผู้สะกดรอยตามซึ่งข้อความที่คุณเก็บรักษาไว้ ให้ไปที่ที่ปลอดภัยก่อนแล้วโทรไปที่หมายเลขฉุกเฉินในพื้นที่ของคุณ (911 ในสหรัฐอเมริกาและแคนาดา, 112 ทั่วสหภาพยุโรป, 999 ในสหราชอาณาจักร) หรือตรวจสอบ หมายเลขฉุกเฉิน.
2. อย่าติดตั้งหรือลงชื่อเข้าใช้ WhatsApp หรือ Signal บนโทรศัพท์เครื่องใหม่แล้วคลิก "สำรองข้อมูลทันที" ก่อนที่จะกู้คืนไฟล์เก็บถาวรเก่าของคุณ ผู้ใช้หลายล้านคนสูญเสียหลักฐาน WhatsApp เป็นเวลาหลายปีเมื่อตั้งค่าโทรศัพท์ทดแทน: หากคุณข้ามข้อความแจ้งการกู้คืนครั้งแรก (หรือหากการกู้คืนล้มเหลวที่ 99 เปอร์เซ็นต์) และการติดตั้ง WhatsApp เปล่าใหม่จะรันการสำรองข้อมูลอัตโนมัติไปยัง Google Drive หรือ iCloud มันจะเขียนทับการสำรองข้อมูลบนคลาวด์ที่ผ่านมาหลายกิกะไบต์ของคุณด้วยการสำรองข้อมูลเปล่า 0 กิโลไบต์
3. หากหน้าจอโทรศัพท์เป็นสีดำหรือแตก (ทัชดิจิไทเซอร์เสีย) แต่โทรศัพท์ยังคงสั่นหรือมีเสียงระฆังอยู่ อย่ารีบูทเครื่อง ทั้งบน iOS และ Android (การเข้ารหัสตามไฟล์ / ก่อนปลดล็อคครั้งแรก - BFU กับหลังจากปลดล็อคครั้งแรก - AFU) ตราบใดที่โทรศัพท์ถูกปลดล็อคหนึ่งครั้งนับตั้งแต่รีบูตครั้งล่าสุด (AFU state) คีย์การเข้ารหัสที่ปกป้องฐานข้อมูลข้อความของคุณกำลังถูกถอดรหัสใน RAM ซึ่งช่วยให้คุณสามารถเสียบ $15 USB-C / Lightning hub พร้อมเมาส์คอมพิวเตอร์ USB แบบมีสายและจอภาพ HDMI เพื่อคลิก "Trust This Computer" และดึงข้อมูลสำรองในเครื่องแบบเต็ม หากคุณบังคับรีบูตโทรศัพท์ที่มีหน้าจอแตก โทรศัพท์จะตกลงไป BFU สถานะล็อคโดยที่ทั้งเมาส์ USB และคอมพิวเตอร์ไม่สามารถปลดล็อคได้โดยไม่ต้องซ่อมหน้าจอก่อน (ดูคำแนะนำของเราใน การกู้คืนโทรศัพท์ที่เสียหายหรือเสียหายจากน้ำ).
4. เมื่อใดก็ตามที่คัดลอกฐานข้อมูล SQLite แบบดิบ (sms.db หรือ msgstore.db) ให้คัดลอกไฟล์พี่น้องทั้งสามไฟล์ไว้ด้วยกันเสมอ (.db, .db-wal, และ .db-shm). ฐานข้อมูลการรับส่งข้อความบนมือถือสมัยใหม่ทุกระบบทำงานในโหมด SQLite WAL (การบันทึกล่วงหน้า) ข้อความวันหรือสัปดาห์ล่าสุดของคุณมักจะนั่งอยู่ในเพื่อนร่วมทาง sms.db-wal หรือ msgstore.db-wal ไฟล์ไม่อยู่ในไฟล์หลัก .db ไฟล์ยัง หากจะคัดลอกอย่างเดียว sms.db และจากไป sms.db-wal เบื้องหลังข้อความล่าสุดหายไปหรือฐานข้อมูลเปิดขึ้นว่าเสียหาย
5. คำนวณและบันทึกแฮช SHA-256 ที่เข้ารหัสของข้อมูลสำรองหรือไฟล์ฐานข้อมูลที่ส่งออกทันที ก่อนที่จะตรวจสอบหรือแปลงไฟล์สำรองข้อมูลที่กู้คืน ให้เรียกใช้ sha256sum (ลินุกซ์/macOS) หรือ Get-FileHash -Algorithm SHA256 (Windows PowerShell) บนไฟล์เก็บถาวรดั้งเดิมและบันทึกสตริงแฮช 64 อักขระ ภายใต้ Federal Rule of Evidence 902(14) ค่าแฮช SHA-256 คือมาตรฐานทองคำสำหรับการพิสูจน์ในศาลว่าที่เก็บถาวรข้อความดิจิทัลของคุณไม่เคยถูกแก้ไขหรือปรับแต่งด้วยโฟโต้ชอป

flowchart TD
    A["ความจำเป็นเร่งด่วนในการกู้คืนและรักษาข้อความหลักฐาน (SMS, iMessage, WhatsApp, Signal)"] --> B["หยุดการทำงานทันที: เปิดใช้งานโหมดเครื่องบินบนโทรศัพท์และปิดใช้งานการสำรองข้อมูลบนคลาวด์อัตโนมัติบนอุปกรณ์อื่น ๆ"]
    B --> C{"สถานะปัจจุบันของโทรศัพท์และข้อความเป็นอย่างไร?"}
    C -->|"1. โทรศัพท์ใช้งานได้ แต่ข้อความถูกลบโดยไม่ตั้งใจ"| D["ตรวจสอบว่า Cloud Backup (iCloud / Google Drive) หรือโฟลเดอร์ Local WhatsApp '/Databases' มีสแนปชอตการลบล่วงหน้าหรือไม่"]
    D --> E["ก่อนที่จะกู้คืนผ่านโทรศัพท์ที่ใช้งานจริง: ขั้นแรกให้สำรองข้อมูลที่เข้ารหัสในเครื่องแบบเต็มไปยัง PC/Mac (`idevicebackup2` / iTunes / Finder / ADB) เพื่อรักษารายการอิสระของ SQLite WAL"]
    C -->|"2.หน้าจอโทรศัพท์เสีย/เป็นสีดำแต่บอร์ดยังเปิดอยู่"| F["อย่ารีบูต (คงอยู่ในสถานะ 'หลังจากปลดล็อคครั้งแรก'); เชื่อมต่อ USB-C/Lighting Hub + เมาส์ USB แบบมีสาย + จอแสดงผล HDMI เพื่อปลดล็อคและอนุญาตการสำรองข้อมูลพีซี"]
    C -->|"3. ไฟล์สำรองข้อมูลแชทหรือฐานข้อมูล SQLite (`sms.db`, `msgstore.db`, Signal) เสียหาย / ไม่สามารถกู้คืนได้"| G["คัดลอกไฟล์ทั้งสามไฟล์ (`.db`, `.db-wal`, `.db-shm`) ลงในไดเร็กทอรีที่ใช้งานได้บน PC/Mac"]
    G --> H{"ฐานข้อมูลมีการเข้ารหัส (`crypt14/crypt15` หรือ SQLCipher) หรือ SQLite มาตรฐานหรือไม่"}
    H -->|"WhatsApp / สัญญาณที่เข้ารหัส"| I["ถอดรหัสโดยใช้คีย์ E2EE 64 อักขระ / `/data/data/com.whatsapp/files/key` (`wa-crypt-tools`) หรือข้อความรหัสผ่าน 30 หลักสัญญาณ (`signalbackup-tools`)"]
    H -->|"ถอดรหัส / มาตรฐาน SQLite"| J["ซ่อมแซมเพจ B-tree ที่เสียหายโดยใช้ `sqlite3 .recover` หรือแกะสลักบันทึกที่ถูกลบจากเฟรม Freelist & WAL"]
    E --> K["ตรวจสอบสิทธิ์สำหรับศาล: สร้างแฮช SHA-256 + PDF แบบเต็มเธรดด้วย Carrier CDRs + ประกาศ FRE 902(14)"]
    I --> K
    J --> K

สถาปัตยกรรมการจัดเก็บข้อความบนมือถือ: ที่ซึ่งข้อความของคุณปรากฏอยู่จริง¶

หากต้องการกู้คืนข้อความที่ถูกลบหรือเสียหายโดยไม่ทำลาย คุณต้องเข้าใจว่าระบบปฏิบัติการและแพลตฟอร์มการรับส่งข้อความแต่ละระบบจัดเก็บฐานข้อมูลสด คีย์การเข้ารหัส และการสำรองข้อมูลภายในเครื่องไว้ที่ใด:

สถานการณ์ที่ 1: การกู้คืนข้อความ iPhone ที่ถูกลบหรือเสียหาย (sms.db & ChatStorage.sqlite)¶

หาก iMessages ที่สำคัญ, ข้อความ SMS หรือข้อความ WhatsApp ถูกลบบน iPhone หรือหาก iPhone เสียหาย ให้ทำตามขั้นตอนเหล่านี้ตามลำดับความสำคัญ:

ขั้นตอนที่ 1: ตรวจสอบห้องนิรภัย "ที่ถูกลบล่าสุด" ของ iOS ในตัว (30 ถึง 40 วันแรก)¶

บน iOS 16, iOS 17, iOS 18 และใหม่กว่า การลบข้อความหรือเธรด iMessage จะ ไม่ ย้ายไปยังพื้นที่รายการอิสระของ SQLite ทันที มันจะย้ายมันไปไว้ในโฟลเดอร์ถังขยะที่ซ่อนอยู่เป็นเวลา 30 วัน (สูงสุด 40 วันก่อนการล้างถาวร): 1. เปิดแอป ข้อความ บน iPhone 2. แตะ แก้ไข (หรือ ตัวกรอง) ที่มุมซ้ายบน 3. แตะ แสดงการลบล่าสุด 4. เลือกการสนทนาแล้วแตะ กู้คืน

ขั้นตอนที่ 2: แยก sms.db และ ChatStorage.sqlite จากการสำรองข้อมูล Local Mac / Windows โดยไม่ต้องเขียนทับอะไรเลย¶

หากข้อความถูกลบอย่างถาวรจาก "ลบล่าสุด" (หรือหากคุณต้องการแยกข้อความสำหรับศาลหรือแยกแถว SQLite ที่ถูกลบ) สร้างการสำรองข้อมูลในเครื่องแบบเต็มบนคอมพิวเตอร์ทันทีในขณะที่โทรศัพท์ยังอยู่ในโหมดเครื่องบิน:

1. เชื่อมต่อ iPhone ผ่านสาย USB เข้ากับ Mac (Finder) หรือ Windows PC (อุปกรณ์ Apple / iTunes) หรือ Linux (libimobiledevice):
2. ทำเครื่องหมายที่ช่อง "เข้ารหัสการสำรองข้อมูลในเครื่อง" และตั้งรหัสผ่านง่ายๆ ที่คุณจะไม่ลืม (เช่น Evidence1234). (เหตุใดจึงเปิดใช้งานการเข้ารหัสการสำรองข้อมูล การสำรองข้อมูล iOS ภายในเครื่องที่เข้ารหัสประกอบด้วยสิ่งประดิษฐ์ทางนิติวิทยาศาสตร์ ข้อมูลสุขภาพ ประวัติการโทร และรายการพวงกุญแจที่ Apple แยกออกจากการสำรองข้อมูลที่ไม่ได้เข้ารหัส)
3. คลิก สำรองข้อมูลทันที และรอให้เสร็จสิ้น
4. ค้นหาโฟลเดอร์สำรองข้อมูลดิบบนคอมพิวเตอร์ของคุณ:
5. แมคโคร: -/Library/Application Support/MobileSync/Backup/<UDID>/
6. หน้าต่าง: %APPDATA%\Apple Computer\MobileSync\Backup\<UDID>\ หรือ %USERPROFILE%\Apple\MobileSync\Backup\<UDID>\
7. คัดลอกทั้งหมดนั้น <UDID> ไปยังไดรฟ์ภายนอกแยกต่างหากทันที และคำนวณแฮช SHA-256 เพื่อไม่ให้สแนปชอตทางนิติวิทยาศาสตร์ดั้งเดิมของคุณเปลี่ยนแปลงได้
8. ค้นหาฐานข้อมูลข้อความที่แน่นอนภายในข้อมูลสำรอง iOS โดยใช้แฮชโดเมน SHA-1 ของ Apple:
9. Apple เปลี่ยนชื่อทุกไฟล์ในข้อมูลสำรอง iOS เป็นแฮช SHA-1 ของมัน Domain-RelativePath จัดเรียงเป็นไดเร็กทอรีย่อยสองอักขระ:
   • ฐานข้อมูล Apple SMS / iMessage (HomeDomain-Library/SMS/sms.db): อยู่ที่โฟลเดอร์ย่อย 3d/ -> ไฟล์ 3d0d7e5fb2ce288813306e4d4636395e047a3d28
   • ฐานข้อมูล WhatsApp iOS (AppDomainGroup-group.net.whatsapp.WhatsApp.shared-ChatStorage.sqlite): อยู่ที่โฟลเดอร์ย่อย 7c/ -> ไฟล์ 7c7fba66680ef796b916b067077cc246adacf01d
   • ดัชนีไฟล์สำรอง (Manifest.db): ดัชนี SQLite หลักที่จับคู่ทุกภาพถ่าย บันทึกเสียง และแฮชไฟล์แนบกับชื่อไฟล์จริงใน SMS/Attachments/.
10. (หากคุณเปิดใช้งานการเข้ารหัสการสำรองข้อมูล ให้ถอดรหัสสำเนาที่ใช้งานได้ของข้อมูลสำรองลงในโฟลเดอร์ที่อ่านได้โดยใช้เครื่องมือโอเพ่นซอร์สเช่น iphone-backup-decrypt ใน Python หรือผู้ชมในท้องถิ่นที่มีชื่อเสียงเช่น iMazing หรือ iBackup Viewer).

สถานการณ์ที่ 2: การกู้คืน Android WhatsApp .crypt14 / .crypt15 และสัญญาณ .backup จดหมายเหตุ¶

1. ช่วยเหลือการสำรองข้อมูล WhatsApp รุ่นเก่าก่อนที่กรอบเวลา 7 วันจะหมดลง¶

จะเกิดอะไรขึ้นถ้ามีคนลบการสนทนา WhatsApp ที่มีการกล่าวหาบนโทรศัพท์ Android ของคุณเมื่อ 3 วันที่แล้ว และข้อมูลสำรอง Google Drive เมื่อเวลา 02:00 น. ของเมื่อคืนที่ผ่านมาได้เขียนทับสำเนาบนคลาวด์แล้ว - เสียบโทรศัพท์ Android ของคุณเข้ากับคอมพิวเตอร์ผ่าน USB (ใน การถ่ายโอนไฟล์ / โหมด MTP) หรือเปิดแอป Android ไฟล์ แล้วไปที่:

Internal Storage/Android/media/com.whatsapp/WhatsApp/Databases/

2. การถอดรหัสที่เสียหาย .crypt14 / .crypt15 การสำรองข้อมูล WhatsApp บนคอมพิวเตอร์ (wa-crypt-tools)¶

จะเกิดอะไรขึ้นหากไฟล์สำรอง WhatsApp ขัดข้องที่ 95 เปอร์เซ็นต์ระหว่างการกู้คืนโทรศัพท์ เนื่องจากฐานข้อมูล SQLite ภายใน wrapper ที่เข้ารหัสเสียหายเล็กน้อย คุณสามารถถอดรหัส .crypt14 หรือ .crypt15 โดยตรงบนคอมพิวเตอร์ของคุณ ซ่อมแซมฐานข้อมูล SQLite และอ่านทุกข้อความ: - ถ้าคุณมี. .crypt15 การสำรองข้อมูลที่เข้ารหัสตั้งแต่ต้นทางถึงปลายทาง และบันทึก คีย์เลขฐานสิบหก 64 หลัก ของคุณ (หรือหากคุณดึงข้อมูลออกมา /data/data/com.whatsapp/files/key หรือ encrypted_backup.key) ติดตั้งเครื่องมือนิติวิทยาศาสตร์ Python แบบโอเพ่นซอร์ส wa-crypt-tools (wagolek):

# Install wa-crypt-tools on Linux, macOS, or Windows Python:
python3 -m pip install wa-crypt-tools

# Decrypt a WhatsApp .crypt15 backup using your 64-character hex key:
wadecrypt <your_64_character_hex_key> msgstore.db.crypt15 msgstore.db

# Or decrypt a .crypt14 backup using the extracted 158-byte key file:
wadecrypt key msgstore.db.crypt14 msgstore.db

3. การแยกและซ่อมแซมสัญญาณที่เสียหาย .backup หรือฐานข้อมูล Signal Desktop¶

• สำหรับระบบ Android signal-YYYY-MM-DD.backup ไฟล์: หากโทรศัพท์เครื่องใหม่ปฏิเสธที่จะนำเข้าไฟล์สำรองสัญญาณขนาดใหญ่ (หรือหากไฟล์ถูกตัดทอนเมื่อคัดลอกการ์ด SD ที่กำลังจะตาย) ให้ใช้เครื่องมือทางนิติวิทยาศาสตร์โอเพ่นซอร์ส signalbackup-tools (github.com/bepaald/signalbackup-tools) ด้วย ข้อความรหัสผ่านสำรองที่เป็นตัวเลข 30 หลัก ของคุณเพื่อแกะเฟรมที่ไม่เสียหาย ส่งออกฐานข้อมูล SQLite แบบดิบ และสร้างไฟล์เก็บถาวรการสนทนา HTML ที่สะอาดและค้นหาได้ โดยมีไฟล์แนบสื่อทั้งหมดครบถ้วน:

  # Unpack a Signal Android backup (including truncated/partially corrupted archives) to HTML:
  signalbackup-tools signal-2026-10-30.backup "12345 67890 12345 67890 12345 67890" --exporthtml ./recovered_signal_chats/
  

• สำหรับสัญญาณเดสก์ท็อป (-/.config/Signal/sql/db.sqlite): แม้ว่าสมาร์ทโฟนของคุณประสบอุบัติเหตุรถชนหรือโยนลงทะเลสาบและคุณไม่มีการสำรองข้อมูลโทรศัพท์ หากแล็ปท็อปของคุณเคยลิงก์ Signal Desktop ให้คัดลอกไดเร็กทอรีแอปพลิเคชัน Signal ทั้งหมด (%APPDATA%\Signal บนวินโดวส์ -/Library/Application Support/Signal บน macOS หรือ -/.config/Signal บน Linux) ก่อนที่จะเปิดแอป และส่งออกฐานข้อมูล SQLCipher โดยใช้ signalbackup-tools หรือ sqlcipher.

สถานการณ์ที่ 3: การซ่อมแซมฐานข้อมูลการสนทนา SQLite ที่เสียหาย (database disk image is malformed) และแกะสลักแถวที่ถูกลบ¶

เมื่อโทรศัพท์สูญเสียพลังงานแบตเตอรี่ในระหว่างการเขียนหรือประสบข้อผิดพลาดที่จัดเก็บข้อมูลแฟลช การเปิด sms.db, ChatStorage.sqlite, หรือ msgstore.db พ่นข้อผิดพลาด SQLite ร้ายแรง: Error: database disk image is malformed (SQLITE_CORRUPT)

อย่าเรียกใช้แชร์แวร์ "ตัวแก้ไข SQLite แบบชำระเงิน" ของบุคคลที่สามที่ทำลายล้างบนฐานข้อมูลดั้งเดิมของคุณ ใช้ SQLite อย่างเป็นทางการ .recover command สร้างขึ้นโดยตรงใน sqlite3 (เวอร์ชัน 3.29.0+) ซึ่งจะสแกนหน้าฐานข้อมูลดิบขนาด 4 กิโลไบต์ทีละหน้า โดยข้ามตัวชี้ดัชนี B-tree ที่เสียหาย:

SQLite ทีละขั้นตอน .recover และการซ่อมแซมด่าน WAL¶

1. ทำสำเนาการทำงานของไฟล์ฐานข้อมูลทั้งสามไฟล์ (.db, .db-wal, .db-shm) ในโฟลเดอร์ใหม่:

   mkdir ~/chat_rescue && cp sms.db* ~/chat_rescue/ && cd ~/chat_rescue/
   

2. เรียกใช้ SQLite อย่างเป็นทางการ .recover คำสั่งเพื่อสร้างฐานข้อมูลใหม่ทั้งหมด (และบันทึกแถวที่สูญหาย/รายการอิสระ):

   # Standard recovery of all intact tables and rows into a brand-new healthy database:
   sqlite3 sms.db ".recover" | sqlite3 sms_repaired.db
   
   # FORENSIC DELETED-ROW RECOVERY: Add the --ignore-freelist flag so SQLite ALSO recovers
   # deleted message fragments still sitting inside unallocated freelist pages into a 'lost_and_found' table:
   sqlite3 sms.db ".recover --ignore-freelist" | sqlite3 sms_forensic_with_deleted.db
   

3. ส่งออกการถอดเสียง CSV/HTML ตามลำดับเวลาที่มนุษย์สามารถอ่านได้จากฐานข้อมูลที่ได้รับการซ่อมแซม:
4. สำหรับแอปเปิ้ล iOS sms.db (การแปลงการประทับเวลา CoreData Nanosecond ของ Apple ตั้งแต่วันที่ 1 มกราคม 2544 เป็น UTC/วันที่ท้องถิ่น):

   sqlite3 -header -csv sms_repaired.db "
   SELECT
       m.ROWID AS MsgID,
       datetime(m.date / 1000000000 + 978307200, 'unixepoch', 'localtime') AS Timestamp_Local,
       CASE WHEN m.is_from_me = 1 THEN 'SENT BY ME' ELSE 'RECEIVED' END AS Direction,
       h.id AS Contact_Phone_Or_Email,
       m.service AS Service_Type,
       m.text AS Message_Body,
       a.filename AS Attachment_Path
   FROM message m
   LEFT JOIN handle h ON m.handle_id = h.ROWID
   LEFT JOIN message_attachment_join maj ON m.ROWID = maj.message_id
   LEFT JOIN attachment a ON maj.attachment_id = a.ROWID
   ORDER BY m.date ASC;
   " > recovered_imessage_transcript.csv
   

5. สำหรับ WhatsApp Android msgstore.db (ทันสมัย message สคีมาของตาราง):

   sqlite3 -header -csv msgstore_repaired.db "
   SELECT
       m._id AS MsgID,
       datetime(m.timestamp / 1000, 'unixepoch', 'localtime') AS Timestamp_Local,
       CASE WHEN m.from_me = 1 THEN 'SENT BY ME' ELSE 'RECEIVED' END AS Direction,
       jid.raw_string AS Chat_Or_Sender_JID,
       m.text_data AS Message_Body
   FROM message m
   LEFT JOIN chat c ON m.chat_row_id = c._id
   LEFT JOIN jid ON c.jid_row_id = jid._id
   ORDER BY m.timestamp ASC;
   " > recovered_whatsapp_transcript.csv
   

ทำให้ข้อความที่กู้คืนของคุณได้รับการยอมรับในศาล 100% (หลีกเลี่ยงการคัดค้าน "ภาพหน้าจอปลอม")¶

ทุกสัปดาห์ในศาลครอบครัว ศาลคดีมโนสาเร่ การพิจารณาคดีตามคำสั่งห้าม และการดำเนินคดีทางแพ่ง ผู้คนจะเดินขึ้นไปหาผู้พิพากษาพร้อมกับจับภาพหน้าจอสมาร์ทโฟนที่หลวมและครอบตัด โดยส่วนหัวด้านบนของผู้ติดต่อจะพูดชื่อเล่นเช่น "Ex-Husband" หรือ "Landlord Mike" โดยไม่มีหมายเลขโทรศัพท์และไม่มีวันที่เต็ม ทนายความฝ่ายตรงข้ามคัดค้านทันทีภายใต้ Federal Rule of Evidence 901 (ขาดการรับรองความถูกต้อง) และ กฎ 106 (กฎแห่งความสมบูรณ์) โดยโต้แย้งว่าใครๆ ก็สามารถเปลี่ยนชื่อโทรศัพท์แบบเติมเงินเครื่องที่สองได้ "Landlord Mike" ในแอปรายชื่อติดต่อและส่งข้อความปลอมให้ตัวเองภายใน 30 วินาที

รายการตรวจสอบการรับรองความถูกต้องในห้องพิจารณาคดี 5 จุดสำหรับหลักฐานข้อความและแชท¶

1. ลบหรือเปลี่ยนชื่อชื่อเล่นของผู้ติดต่อชั่วคราวก่อนส่งออก/จับภาพหน้าจอเพื่อให้ได้หมายเลขโทรศัพท์ดิบ (+1-555-019-2834) หรืออีเมลปรากฏในทุกส่วนหัว:
2. ก่อนที่จะถ่ายภาพหน้าจอสำรอง (หรือดีกว่านั้น ให้ใช้เครื่องมือส่งออก PDF แบบเต็มเธรด เช่น iMazing, Decipher TextMessageหรือแบบสอบถาม SQLite CSV ด้านบนที่พิมพ์ทั้งชื่อที่แสดงและดิบ handle.id หมายเลขโทรศัพท์ในทุกฟองข้อความ) ตรวจสอบให้แน่ใจว่า หมายเลขโทรศัพท์ 10 หลักจริงหรืออีเมล Apple ID ของผู้ส่งปรากฏที่ด้านบนของเธรด ไม่ใช่เพียงชื่อเล่นผู้ติดต่อที่ปรับแต่งได้
3. ดึงบันทึกรายละเอียดการโทรของผู้ให้บริการมือถืออย่างเป็นทางการ (CDR) และบันทึกการประทับเวลา SMS/MMS ให้เป็นการยืนยันโดยบุคคลที่สามที่เป็นอิสระ:
4. แม้ว่าผู้ให้บริการมือถือของคุณ (AT&T, Verizon, T-Mobile, EE, Vodafone, Rogers, Telstra) จะไม่เก็บ เนื้อหาข้อความ ของข้อความ SMS ไว้นาน (และไม่เคยเห็นเนื้อหา iMessage/WhatsApp ที่เข้ารหัส) ใบแจ้งยอดของผู้ให้บริการรายเดือนหรือพอร์ทัลบัญชีออนไลน์ของคุณจะให้ บันทึกโดยบุคคลที่สามอิสระซึ่งระบุวันที่ นาที ทิศทาง (ขาเข้า/ขาออก) และหมายเลขโทรศัพท์ของข้อความ SMS/MMS และการโทรทุกรายการ
5. การแนบ บันทึกการใช้งาน AT&T / Verizon / T-Mobile อย่างเป็นทางการของคุณไว้ด้านหลังข้อความที่พิมพ์ออกมาเป็นการพิสูจน์ว่าหมายเลขโทรศัพท์ของอีกฝ่ายส่ง SMS ไปยังโทรศัพท์ของคุณที่ 14:22:09 on October 12ทำลายการอ้างสิทธิ์ใด ๆ ที่คุณแกล้งทำเป็นภาพหน้าจอ
6. ส่งออกหัวข้อสนทนาที่ยังไม่ได้แก้ไขทั้งหมด (กฎแห่งความสมบูรณ์ - กฎ FRE 106):
7. อย่าเลือกภาพหน้าจอที่แยกจากกันหรือครอบตัดการตอบกลับของคุณเอง ภายใต้ Federal Rule of Evidence 106 หากคุณเสนอส่วนหนึ่งของการสนทนาที่บันทึกไว้ ฝ่ายตรงข้ามสามารถเรียกร้องกระทู้ที่อยู่รอบๆ ทั้งหมดได้ และผู้พิพากษาไม่ไว้วางใจภาพที่ครอบตัดซึ่งละเว้นการประทับเวลาหรือข้อความก่อนหน้า พิมพ์ลำดับการสนทนาตามลำดับเวลาทั้งหมด
8. เก็บรักษาอุปกรณ์ดั้งเดิมและไฟล์สำรองข้อมูลที่แฮช SHA-256 (กฎหลักฐานที่ดีที่สุด - กฎ FRE 1002 และการตรวจสอบสิทธิ์ด้วยตนเอง - กฎ FRE 902(14)):
9. นำโทรศัพท์จริง (ชาร์จและปลดล็อคแล้ว) ติดตัวไปที่โต๊ะพิจารณาคดีในห้องพิจารณาคดี เพื่อว่าหากทนายความของฝ่ายตรงข้ามท้าทายการพิมพ์ คุณสามารถบอกผู้พิพากษาได้ว่า "ท่านที่เคารพ ฉันมีอุปกรณ์ดั้งเดิมอยู่ที่นี่ที่โต๊ะที่ปรึกษาสำหรับการตรวจสอบของศาลตามกฎหลักฐานที่ดีที่สุด"
10. นอกจากนี้ ภายใต้ Federal Rule of Evidence 902(14) (และข้อกำหนดของรัฐที่เทียบเท่าทั่วทั้งสหรัฐอเมริกา) ข้อมูลที่คัดลอกจากอุปกรณ์อิเล็กทรอนิกส์จะได้รับ การตรวจสอบสิทธิ์ด้วยตนเอง เมื่อมาพร้อมกับใบรับรองที่เป็นลายลักษณ์อักษรซึ่งกำหนด ค่าแฮชดิจิทัล SHA-256 ของการแยกต้นฉบับและสำเนา
11. แนบ "การประกาศรับรองความถูกต้องของข้อความอิเล็กทรอนิกส์/ข้อความแชท" ที่ลงนามแล้ว (เทมเพลตคัดลอกและวางด้านล่าง):

DECLARATION AUTHENTICATING ELECTRONIC MESSAGE EVIDENCE
(Pursuant to Federal Rules of Evidence 901(b)(1), 901(b)(4), and 902(14) / State Equivalents)

I, [YOUR FULL LEGAL NAME], declare under penalty of perjury under the laws of the State of [STATE] and the United States of America that the following is true and correct:

1. I am the [Plaintiff / Defendant / Petitioner / Respondent] in this action and have personal knowledge of the facts set forth herein.
2. I am the sole owner and user of the [Apple iPhone / Android Smartphone], assigned telephone number [YOUR 10-DIGIT PHONE NUMBER].
3. Attached hereto as EXHIBIT A is a true, complete, and unedited chronological transcript and printout of [SMS / iMessage / WhatsApp / Signal] messages exchanged between my telephone number ([YOUR NUMBER]) and [NAME OF OTHER PARTY] at telephone number [OTHER PARTY'S 10-DIGIT PHONE NUMBER] between [START DATE] and [END DATE].
4. I personally know that telephone number [OTHER PARTY'S NUMBER] belongs to and is used by [NAME OF OTHER PARTY] because: (a) we have communicated at that number regularly since [YEAR]; (b) I have spoken to [NAME OF OTHER PARTY] by voice call at that exact number and recognized their voice; and (c) the messages inside Exhibit A contain distinctive personal facts, photographs, and references known uniquely to [NAME OF OTHER PARTY] (pursuant to FRE Rule 901(b)(4) Distinctive Characteristics).
5. Not a single message, timestamp, or attachment in Exhibit A has been altered, deleted, or modified in any way. On [DATE OF EXTRACTION], a complete forensic backup of the original messaging database (`[FILENAME, e.g., sms.db / msgstore.db]`) was preserved prior to printing Exhibit A, yielding the following cryptographic SHA-256 hash fingerprint:
   SHA-256 Hash: [INSERT 64-CHARACTER HEXADECIMAL SHA-256 HASH FROM sha256sum / Get-FileHash]
6. Attached hereto as EXHIBIT B are true and correct copies of my official mobile carrier call/message detail records from [NAME OF CARRIER] independently corroborating the dates, times, and telephone numbers of the communications.
7. The original smartphone device and the SHA-256 verified backup archive remain in my secure custody and are available for immediate inspection by the Court.

Executed on [DATE] at [CITY, STATE].

____________________________________
[YOUR SIGNATURE]
[YOUR PRINTED NAME]

คำถามที่พบบ่อย¶

ตรวจสอบแหล่งที่มาแล้ว¶

• สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST สหรัฐอเมริกา): NIST Special Publication 800-101 Rev. 1: Guidelines on Mobile Device Forensics (Preservation, Airplane Mode RF Isolation, SQLite Database Artifacts และ Hash Verification)
• สำนักงานบริหารของศาลสหรัฐอเมริกา: Federal Rules of Evidence (FRE) Rule 106 (ส่วนที่เหลือหรืองานเขียนที่เกี่ยวข้องหรือข้อความที่บันทึกไว้), Rule 901(b)(1), (b)(4) และ (b)(9) (การตรวจสอบความถูกต้องของหลักฐานทางอิเล็กทรอนิกส์), Rule 902(13) และ 902(14) (ข้อมูลที่ได้รับการรับรองคัดลอกจากอุปกรณ์อิเล็กทรอนิกส์ผ่านค่าแฮช) และกฎ 1002 (ข้อกำหนดของต้นฉบับ)
• SQLite Consortium: เอกสาร SQLite อย่างเป็นทางการเกี่ยวกับการบันทึกการเขียนล่วงหน้า (โหมด WAL) รูปแบบไฟล์ของฐานข้อมูลที่เสียหาย หน้ารายการอิสระ และ .recover คำสั่ง CLI
• Apple Inc.: คำแนะนำด้านความปลอดภัยของแพลตฟอร์ม Apple (คลาสการปกป้องข้อมูล ก่อนการปลดล็อกครั้งแรกเทียบกับลำดับชั้นของคีย์การปลดล็อกครั้งแรก และโครงสร้างรายการสำรองของ iTunes/Finder)
• คณะทำงานทางวิทยาศาสตร์เกี่ยวกับหลักฐานดิจิทัล (SWGDE): แนวทางปฏิบัติที่ดีที่สุดสำหรับนิติเวชโทรศัพท์มือถือและการตรวจสอบฐานข้อมูล SQLite

คำแนะนำที่เกี่ยวข้อง¶

• โทรศัพท์ที่เสียหายหรือเสียหายจากน้ำ: การช่วยเหลือข้อมูลฉุกเฉิน
• การลบไฟล์โดยไม่ได้ตั้งใจ ฟอร์แมตไดรฟ์ และการกู้คืนรูปภาพ
• การกู้คืนไฟล์ Word, Excel, PDF หรือฐานข้อมูลที่เสียหาย
• หมายเรียกพยาน หมายเรียกพยาน และเอกสารกำหนดเส้นตายการผลิต
• คำสั่งห้าม คำสั่งคุ้มครอง และคำสั่งฉุกเฉิน
• หมายเลขฉุกเฉินทั่วโลก