你微信了嗎？ 在iOS鑑識WeChat跡證

搜尋「附近的人」與「搖一搖」的陌生交友方式，雖然方便，但仍須小心提防，畢竟不了解對方的生活背景還需謹慎，才是明哲保身之道。

洩漏個人的資訊或者有不明人士的搭訕，是一般人不想碰觸到的問題，而WeChat也想到了此點，除了要求使用者須填寫個人名片外，WeChat將交友的權利交由用戶自己決定，當有人提出交友邀請時，雙方都需要彼此認證過後才能成為WeChat的朋友。

我們常見在故事或電影中，因船難受困於無人島中的受難者，為了讓外界的人知道他們的位置，而將求救訊息塞入瓶內並丟入大海中，希望在某天裡，有人拾起瓶子看到求救信後，能夠去營救他們，這樣的概念就是WeChat漂流瓶的想法。

如圖3所示，將瓶中信丟入大海中，當瓶中信被拾起時，對方就能回覆訊息，故事與電影中的瓶中信，也能在真實生活中發生。

▲圖3 WeChat的漂流瓶。

活潑的對話方式，溝通無障礙
可曾見到過執法人員手持無線對講機，劈哩啪啦對著另一頭的人講話，這樣的對話方式也能出現在我們的生活當中。

如圖4所示，WeChat 4.5版推出了「即時對講」功能，對話的人只要按住對講鈕，聲音就會自動地送出。不同於語音訊息，它不需要先把聲音錄製好才能發送。

▲圖4 WeChat的即時對講。

此外，視訊通話也是WeChat非常強調的對話功能，彷彿就像是面對面地在聊天，但如果在網路頻寬不足的地方，視訊通話就會自動切換成語音通話，通話的方式要依環境狀況做選擇，如此才會有好的通話品質。

而分享的訊息中，除了文字、圖案、影音檔外，目前的位置資訊也是訊息之一，這就像Facebook的打卡功能——將位置訊息標示並分享出去，讓朋友知道自己的動態。

iDevice中的WeChat跡證

當有非法人士利用WeChat進行犯罪時，WeChat的數位跡證就變得非常重要。但數位跡證會隨著軟體的改版、設備的不同而所變異，以下將就iDevice（iPad 2、iPod touch）進行WeChat的數位跡證進行探討，透過iTunes的邏輯萃取方法，將WeChat數位跡證萃取出。

這裡所舉的範例，iOS版本為6.0.1、WeChat版本為4.5，如表1所示。在確認備份檔的路徑後，將使用免付費軟體Plist Editor Pro for Windows（version 2.0.0.1）、SQLite Database Browser（version 2.0 b1）查看iTunes產生的備份檔。

表1 iTunes備份檔案儲存路徑

如圖5所示，這裡也使用了另一個工具iTools幫助查看備份檔資料的工作，其功能讓使用者能夠直覺地管理iDevice，以模擬裝置連結的方式管理備份檔案。接著說明WeChat在iDevice內的數位跡證。

▲圖5 iTools將iPad的備份檔以介面化的形式呈現。

WeChat在iPad 2內的數位跡證
WeChat在iPad 2內的數位跡證可以分成圖片與音樂、對話紀錄以及使用者資料等三方面來加以探討。

圖片與音樂

如圖6所示，在WeChat儲存語音訊息和圖檔的路徑下，資料夾名稱是16進位制Hash值，而這一串Hash值其實是WeChat針對每一位與用戶對話的人所產生的識別名稱。

▲圖6 WeChat備份檔中Audio及Img的紀錄情形。

每一個Hash值資料夾下的檔案都是屬於用戶針對不同人的對話過程中傳送的訊息檔案，如語音、圖片等。因此，當鑑識人員在蒐集WeChat的數位跡證時，就可從WeChat的Hash值識別名稱來確認訊息是由誰產生，進而還原對話的歷史過程。

WeChat的檔案格式採用容量較小的格式，這是為了避免增加檔案傳送時的負擔。而WeChat的語音紀錄採用.aud的聲音格式，但目前的影音播放軟體如Media Player、Winamp、KMPlayer都無法成功播放。

在圖片的儲存上，使用iPad 2內建相機拍攝出的相片是以JPG格式作儲存，但WeChat會將原本的JPG圖檔轉為JFIF，JFIF的原名為JPEG File Interchange Format（檔案交換格式），此圖檔格式是被設計於網路傳輸之用，所以觀察iPad 2圖片的容量，就會發現儘管是同一張圖片，iPad 2的圖片容量遠大於WeChat的圖片容量。