数据库取证通用方法
前面几篇都是具体引擎的具体做法。本篇讲骨架。
知识节点
应用数据库
在 移动取证 中继续浏览相关技术、方法与案例。
关联资源
围绕“应用数据库”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
SQLite 基础与结构
手机端最常见的数据库——几乎每个应用都有。嵌入式用得最广——浏览器缓存、桌面应用、浏览器书签都是它。也是取证工具的首选解析对象。
SQLite WAL 取证
移动端几乎所有主流应用都把 SQLite 配成 WAL 模式。
MySQL 数据库取证
MySQL 取证的最大特征是：它不是"一个文件"，而是一整套文件协同描述数据库状态。只看 .ibd 或只看 .frm，都会得出错误结论。
MongoDB 与 Redis 取证
这两类存储放在同一篇，不是凑数——它们共享一个最关键的取证特征：大量有价值的数据可能不在磁盘文件里。