【技术视界】第33期：操作系统中的操作系统——微信小程序数据提取研究

       在手机电子数据取证领域，微信数据提取一直都是行业关注的焦点。自微信正式小程序发布以来，在行业内外引发了高度关注。目前，针对微信小程序数据提取与解析还处于空白阶段，市面上还未出现任何可以提取微信小程序数据的软件或工具，这也给手机取证带来难题。为此，数据恢复四川省重点实验室科研人员将以手机中的一些高频程序为例，讲解微信小程序的存储结构及如何提取。

        2017年1月9日，万众瞩目的微信小程序正式发布。微信小程序是一种不需要下载安装即可使用的应用，用户只需扫一扫或搜一下即可打开应用。这不仅解决了手机安装多个应用APP的内存问题，同时也为急需使用某应用的用户解决了燃眉之急，不用在软件商店下载安装，也体现了“用完即走”的理念，用户不用关心是否安装太多应用的问题。

【图1】

       微信小程序具有无处不在，随时可用，但又无需安装卸载等优点，极具普及性及广泛性。目前，美团外卖、滴滴公交查询、车来了、大众点评、京东购物、摩拜单车、滴滴出行、携程网等高频使用软件都已开始进入微信小程序，未来将会有更多的应用软件进入，甚至完全替代现有网络应用模式。

        微信小程序会记录当前小程序产生的用户数据，包括地理位置、聊天记录、行踪轨迹等，这些数据在案件侦破中往往可以起到关键作用，使案件线索更加明朗，可以提升办案人员工作效率。目前，市面上的取证工具和软件，针对的都是对手机应用软件数据进行直接提取，未发现任何可以支持提取微信小程序数据的软件或工具，一旦取证过程中需要提取微信小程序里的数据，办案人员便会束手无策。因此，研究微信小程序的数据分析与提取，对整个电子数据取证行业都有重要指导意义。

1、升级微信到最新版本6.5.3；

     首批接受邀请的企业小程序已经上线，由于微信内部对于小程序的大小进行设定（目前大小为一兆），企业只能实现一些简单功能。在AppBrandComm.db中，某表则存储了小程序与包名的关联，如图3。

【图3】

2、获取使用的微信小程序本地存储数据

       微信小程序以key-data的键值方式存储数据。其中，key值指明“程序名——操作”，data值为具体数据，表中标明数据存储类型。

       每项表中每个小程序都有一个wxXXXXXXXXXX++@@@TOTAL@DATA@SIZE@@@值，表明总共数据大小，统计该程序所有key-data的数据大小总和，如图4。

【图4】

【图5】

       KEY值：appId_关键词[如history]；

       Data:对应的键值数据；

       如：“大众点评”的key为“wx734c1ad7b3562129__keyword_history”，对应data为Object类型的关键词搜索历史，如图6。

【图6】