SQLite: Hidden Data en Plain Sight

La clave para entender SQLite es aprender el lenguaje de consulta de estructura (SQL). Uno de los mejores recursos en línea que he encontrado para esto es w3schools.com. Las lecciones son breves, y en menos de una docena de sesiones de 5-10 minutos, usted tendrá los fundamentos de SQL bajo su cinturón. Y con los conceptos básicos, puede lograr mucho.

El lenguaje de consulta está diseñado para ser legible por humanos, que, dicho sea de paso, hace que sea más fácil de recordar . Se compone de frases compuestas de sujetos y predicados. Por ejemplo, para ver todo el contenido de una tabla:

Entonces, ¿cómo podemos superar las deficiencias de la base de datos SQLite común técnicas de análisis? Vamos a tomar un examen reciente que realicé como ejemplo. Yo estaba buscando para las comunicaciones grabadas en una copia de seguridad v.6.1.3 iPhone iOS. Yo había restaurado la copia de seguridad a su estructura de archivo original (DOMINIO / ruta) para facilitar el análisis. Después de examinar el Sms.db, descubrí un gran bloque de mensajes eliminados (por análisis ROWID) durante el tiempo que fue objeto de la investigación. Los mensajes no eran recuperables (más en la recuperación de SQLite registros eliminados otra vez).

decidí echar un vistazo a otras aplicaciones de comunicaciones que podrían haber sido pasados ​​por alto cuando el usuario se borre información. Por desgracia, yo no conozco todas las diferentes aplicaciones disponibles para los dispositivos móviles de Apple de comunicación y probablemente nunca lo hará. Puedo obtener una lista de las aplicaciones instaladas en el dispositivo de la Info.plist en el directorio de copia de seguridad, pero en realidad, que en realidad no me ayudará mucho porque, como he dicho, no me reconozco a muchos de ellos. Yo hago saben, sin embargo, que la mayoría de las aplicaciones de comunicaciones almacenan sus datos en bases de datos SQLite. Así que busco en las personas:

Se puede ver que yo uso el encontrar para buscar archivos (tipo F) en el directorio "unback" y ejecute el archivo class="monospaced"> para determinar el tipo de archivo. Me toqué los resultados a través del comando grep , filtrando para "SQLite". Con el comando, aparece una lista de archivos de SQLite, es cierto, pero yo todavía no sé lo que hay todos son. Algunos son familiares y / o evidentes, pero otros no. Tome el último elemento de la lista abreviada arriba: Yesca por Cardify. Yo nunca había oído hablar de yesca (así como muchas otras aplicaciones que aparecieron en los resultados).

Desde la salida hasta el momento, veo que Yesca tiene una tabla de mensajes, así como el usuario y compartido tablas amigos. Parece que se trata de una aplicación de red social, y los datos pueden ser relevantes para la investigación. Así que, ¿cómo consigo ver el contenido de las tablas? Yo pude ver una tabla a la vez:

En el comando anterior, he utilizado el SQLite opción "-header" para mostrar los títulos de las columnas, y me limité la salida de cinco registros para tener una idea de los datos. Dejar caer el límite de sintaxis se traduciría en toda la tabla y todos los campos de registro que se imprime en la salida estándar (la pantalla).

¿Hay una manera que podríamos ver rápidamente algunos registros de cada mesa para ver lo que es de interés, en todo caso? ¡Por supuesto!

En pocas palabras, la diferencia principal en el último comando de los ejecutados anteriormente es el uso de un class="monospaced"> bucle. El bucle for toma el ouput del class="monospaced"> de comandos,

La salida anterior demuestra lo relacional naturaleza de las bases de datos SQLite. Mirando la tabla ZMESSAGE, vemos el contenido del mensaje, pero el usuario es un número entero (campo Zuser). El entero parece correlacionar con la tabla Zuser (campo Z_PK). La sola observación de la tabla ZMESSAGE, vemos la conversación, pero no sabemos con quién se le ocurrió.

SQLite nos permite consultar las tablas en relación con hacer que sea más comprensible.

En este comando, que se especifica los campos que quería regresar a diferencia de todos los campos. Esto es necesario cuando se está relacionando tablas entre sí. Usted puede haber notado que en el predicado pregunté ambas tablas ZMESSAGE y Zuser. El "como" instrucciones crean alias para las tablas (zmessage = m, Zuser = u) para mantener el comando más conciso. En la instrucción de selección, pedí el campo zname, que se encuentra en la tabla Zuser donde Zuser de la mesa ZMESSAGE igualada Z_PK de la mesa Zuser. En la instrucción de selección, tuve que especificar el campo Z_PK ( m.z_pk ) de la tabla ZMESSAGE porque ambas tablas contienen ese campo.

Ahora tenemos datos significativos al relacionar dos tablas, interpretación de banderas (expresión caso), y la conversión de las marcas de tiempo (función de fecha y hora). Usted puede encontrar más información acerca de la expresión caso aquí, y la función de fecha y hora aquí.

Cubrí mucho terreno en este post, el uso encontrar , archivo class="monospaced"> , grep , y class="monospaced"> y de bucles para uso básico e intermedio del programa de línea de comandos de SQLite. Dejé mucha explicación fuera de la discusión, y yo apenas arañado la superficie del análisis SQLite. Mi objetivo era: - poner de relieve el hecho de que las herramientas automatizadas y visor los usuarios están propensos dejando una gran cantidad de datos sobre la mesa (perdón por el juego de palabras) - muestran cómo las herramientas de línea de comandos se puede utilizar para localizar rápidamente y bases de datos SQLite evalute - demuestran que el aprendizaje de las consultas de SQLite que recorrer un largo camino para llenar el vacío dejado abierta por herramientas automatizadas -. le animamos a aprender más acerca de SQLite y mejorar sus habilidades de investigación

feliz Consultar!