点击上方蓝色字体关注我们
我们在日常工作中获取微信记录，一般是使用取证软件对嫌疑人的手机进行提取，这样获取到的数据是最完整全面的，但有时会碰到一些特殊情况：比如在案件现场需要快速获取其中部分人员电脑内的聊天记录用于讯问，也有手机端微信被删除只能在PC端获取的情况。
取证行业常用的电脑取证工具中大多包含获取电脑微信的功能，可直接使用取证软件提取。
优点：取证方式简单，有软件就行；
缺点：（1）不适用于快速采集；（2）电脑中需安装取证工具，容易造成检材污染，或者需将检材硬盘拆卸，还需配备只读设备。
准备一台清理过微信数据的手机，使用电脑版微信“备份与迁移”功能，将电脑微信转化为手机端微信数据进行采集。
优点：微信数据传入手机端之后，退出微信后依然可以提取。在未配备电脑取证软件时可尝试此方案。
缺点：（1）取证流程复杂；（2）手机需要大量存储空间。
要选择合适的工具，我们就需要先了解电脑端微信取证原理，获取电脑端微信聊天消息数据库内数据需要对数据库进行AES 解密和 HMAC 验证，而实现该过程则需要使用特定的密钥才能实现。该秘钥获取又分为两种情况：
在电脑端微信已登录且知道账号密码的情况下，可以使用账号来获取密钥，通过读取进程内存中的数据，找到账号对应的偏移量，然后再读取相应的内存地址来获取密钥。
在已登录但不知道账号密码的情况下，可以使用公钥字符串来获取密钥，首先在进程的所有内存中搜索包含指定公钥字符串的地址，然后再根据找到的地址来获取密钥。
基于电脑端微信解密原理，我们可以使用一些快速采集工具获取微信秘钥或者直接获取微信聊天数据。
所需设备：取证专用U盘或其他移动设备
所需工具：WechatBakTool
（1）准备
将工具安装于取证专用U盘内；
（2）取证
将取证专用U盘连接在需取证的电脑上，以管理员身份运行程序“WechatBakTool.exe”。
点击软件界面中的新建工作区按钮，读取当前操作系统中已登录的微信账号信息。
使用“固定地址查找”或“公钥头推断查找”创建工作区，等待软件扫描完成后可以在软件界面左侧查看获取到的微信ID以及该微信内的好友和消息总数。
在消息查看界面可以选择聊天对话进行导出，也可以使用搜索功能查找某个好友的名字后进行导出操作。
可以批量导出所有好友聊天记录或群聊记录，也可以通过分析工具对聊天内容进行精准搜索。
导出的聊天记录会自动保存在软件目录中“\WechatBakTool\workspace”路径下的文件夹内，并会生成以“好友微信ID+微信昵称”或“群聊ID+群名”命名的html文件和文件夹，也可以选择导出为文本文档。
使用网页浏览器打开html文件可以查看该组聊天记录，微信聊天记录中已获取到本地的图片、语音、视频、文件和分享的链接都可以在页面中点击查看。
优点：（1）采集快速；（2）方便检索
缺点：电脑中需要有NET Framework 6.0环境
本文在讨论电脑微信采集时均为电脑微信可授权登录的情况。在遇到电脑微信无法获得登录授权的情况，还能通过查找、获取微信聊天记录中已保存到本地的文档、表格、压缩包、视频等数据来获取部分微信数据，微信文件默认位于电脑内“我的文档\WeChat Files”目录下，用户也可以自定义该位置，但只要留意查找“WeChat Files”文件夹就能找到。
点击下方在看，一起防入坑
如有侵权请联系:admin#unsafe.sh