微信图片和视频的取证细节

编者按

“犯罪痕迹”与应用广泛性密切相关，如今，对微信类电子数据的取证，研究到什么程度都不为过。本号以前推送过不少微信数据取证的文章，有兴趣的可以翻一翻。今天这篇文章算是一个不错的研究范例，感谢作者授权发布。

看到“E安网事”发的一篇的文章，里面的一些细节字眼引起了我的关注，这些在侦查分析过程中非常有用(在线索推理上，细节可以佐证一些操作顺序推定，非常关键)，于是进行了验证、补充了截图，我认为较重要的标红了(图文对照细品，能品出什么场景看各人造化)，以安卓手机(或电脑版)为例，全文如下： 

1、“tencent\MicroMsg\<user—md5>(长字符串)\video”文件夹，为存放聊天中的视频的临时文件夹，当聊天记录中收到视频时，点击查看此视频就会在video文件夹下出现这个视频和一张jpg格式的图片（类似于这个视频的封面），如果没有点击查看这个视频，video文件夹下只有一张图片。当将此视频转发时，随之会出现这个视频和图片，每转发一次产生一次。当删除聊天记录时，video文件夹下的视频和图片会随之删除掉。如果聊天中视频一直没有查看，24小时后查看将提示“视频已过期或已被清理”。

 

2、“tencent\MicroMsg\<user—md5>(长字符串)\image2”文件夹，为存放聊天中的图片的临时文件夹，此文件夹下有很多以数字和字母组合而成的文件夹，聊天图片藏的比较深，不是很好找。同样删除聊天记录时，这些图片会随之删除，转发图片时也会在这些文件夹下产生临时文件。如果聊天记录中的图片3天未查看，再点击时会提示“无法加载图片”。

 3、“tencent\MicroMsg\<user—md5>(长字符串)\record”文件夹，保存的是聊天中转发的“聊天记录合集”中的图片视频保持内有已数字命名的文件夹，此文件夹下的内容不随聊天记录的删除而删除。

 

4、 “tencent\MicroMsg\<user—md5>(长字符串)\scanner”下存放使用微信自带功能“翻译图片中文字”后生成的图片，此类图片不随聊天记录的删除而删除。 

5、 “tencent\MicroMsg\<user—md5>(长字符串)\image”文件夹下存放的是查看的公众号或是链接中的图片，只有点击放大的图片才存放此处，且此文件夹下的内容不随聊天记录的删除而删除。

 

6、“Tencent\MicroMsg\<user—md5>(长字符串)\voice2”文件夹下，存放的是聊天中语音文件，内有数字和字母命名的文件夹，语音会随聊天记录删除而删除，聊天语音不能保存，只能收藏。语音文件默认保存3天时间。  

 

7、“tencent\MicroMsg\weixin”文件夹，存放的是微信聊天中保存或下载的视频和图片，另如果微信通用设置中将拍摄或编辑后的内容保存到系统相册时，你发送或是编辑的图片视频也将保存在此文件夹下。  

 

8、“tencent\MicroMsg\sns_ad_landingpages”该文件夹里存放的为广告视频、图片等的缓存。

9、“Tencen\MicroMsg\Wxacahe”文件夹，为微信缓存的文件，各类游戏、广告类等产生的部分图片存放于此。(这个图片没截到)。

10、“Tencent\MicroMsg\Download”文件夹下存放的是所有微信账号聊天记录中接收到的文档等文件。

 

11、“Tencent\MicroMsg\<user—md5>(长字符串)\attachment”文件夹下存放的是该微信账号发送的文档等文件。均随聊天记录的删除而删除，如查看下载后进行编辑等操作的将保存，如未查看下载，3天后将提示文件过期或已被清理。