[发明专利]一种对应用程序取证分析的方法和装置

权利要求书

1.一种对应用程序取证分析的方法，其特征在于，包括：

获取应用程序的历史登录账号以及所述历史登录账号对应的数据库文件；

通过逆向分析的方法在所述应用程序对应的内存镜像文件中确定所述数据库文件的解密密钥；

基于所述解密密钥对所述数据库文件进行解密，获取所述历史登录账号对应的记录信息，完成对所述应用程序的取证分析。

2.根据权利要求1所述的对应用程序取证分析的方法，其特征在于，所述获取应用程序的历史登录账号以及所述历史登录账号对应的数据库文件包括：

依据视窗操作系统版本的应用程序并将所述应用程序下载到本地，从本地的存储目录中获取应用程序的历史登录账号以及历史登录账号对应的数据库文件。

3.根据权利要求1所述的对应用程序取证分析的方法，其特征在于，所述通过逆向分析的方法在所述应用程序对应的内存镜像文件中确定所述数据库文件的解密密钥包括：

通过逆向分析的方法对所述应用程序进行解析，并在所述应用程序对应的内存中获取所述数据库文件的解密密钥特征；

基于所述解密密钥特征，在所述应用程序对应的内存镜像文件中查找目标解密密钥特征，并通过目标解密密钥特征确定所述数据库文件的解密密钥。

4.根据权利要求3所述的对应用程序取证分析的方法，其特征在于，所述基于所述解密密钥特征，在所述应用程序对应的内存镜像文件中查找目标解密密钥特征，并通过目标解密密钥特征确定所述数据库文件的解密密钥包括：

基于所述解密密钥特征，在所述应用程序的内存镜像文件中查找与所述解密密钥特征相同的目标解密密钥特征；

通过所述目标解密密钥特征的前缀标识确定所述数据库文件的解密密钥。

5.根据权利要求1所述的对应用程序取证分析的方法，其特征在于，所述基于所述解密密钥对所述数据库文件进行解密，获取所述历史登录账号对应的记录信息包括：

基于所述解密密钥对所述数据库文件进行解密，生成所述数据库文件对应的用明文标识的数据库文件；

对所述用明文标识的数据库文件进行解析，获取数据表信息；

根据所述数据表信息，获取所述历史登录账号对应的记录信息。

6.一种对应用程序取证分析的装置，其特征在于，包括：

获取模块，用于获取应用程序的历史登录账号以及所述历史登录账号对应的数据库文件；

解析模块，用于通过逆向分析的方法在所述应用程序对应的内存镜像文件中确定所述数据库文件的解密密钥；

解密模块，用于基于所述解密密钥对所述数据库文件进行解密，获取所述历史登录账号对应的记录信息，完成对所述应用程序的取证分析。

7.根据权利要求6所述的对应用程序取证分析的装置，其特征在于，所述获取应用程序的历史登录账号以及所述历史登录账号对应的数据库文件包括：

依据视窗操作系统版本的应用程序并将所述应用程序下载到本地，从本地的存储目录中获取应用程序的历史登录账号以及历史登录账号对应的数据库文件。

8.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至5任一项所述对应用程序取证分析的方法的步骤。

9.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述对应用程序取证分析的方法的步骤。

10.一种计算机程序产品，包括计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述对应用程序取证分析的方法的步骤。