Toggle sidebar Toggle sidebar
РАЗБОР DFIR Статья

Преобразование в читабельный вид Даты Времени в БД SQLite (Web Browser)

Unison
Unison Newbie · 41 сообщений
Подписаться
7,7 тыс.
[ обложка статьи ]
Режим чтения
Всем привет! В процессе работы с БД SQLite в таблицах Дата и Время хранится с типом данных integet:
4.jpg
3.jpg
Для преобразования Даты и времени в БД History(Opera) используем следующий код SQL в программе DB Browser for SQLite:
SQL: 
SELECT datetime(last_visit_time / 1000000 + (strftime('%s', '1601-01-01')), 'unixepoch','localtime') AS [Дата],
    url AS [URL], title AS [Сайт], visit_count AS [Количество посещений]
FROM urls
ORDER BY last_visit_time DESC
1.jpg
Значение в ячейке last_visit_time – это дата и время, которая хранится в 17 символах и исчисление идёт с 01.01.1601, поэтому для её преобразования потребуется нехитрая конструкция:
SQL: 
datetime(last_visit_time / 1000000 + (strftime('%s', '1601-01-01')), 'unixepoch','localtime')
Пример запроса преобразования даты в БД Viber(viber_messages):
SQL: 
SELECT CASE type
        WHEN '1' THEN 'Принятый'
        WHEN '2' THEN 'Набранный'
        WHEN '3' THEN 'Пропущенный'
    END AS [Тип],
    number,DATETIME(SUBSTR(date , 1,10), 'unixepoch', 'localtime') AS [Дата], TIME(duration,'unixepoch') AS [Продолжительность]
FROM calls
ORDER BY duration DESC
2.jpg
В БД Viber в ячейке date храниться дата-время в юниксоидном формате, для его преобразования используем : DATETIME(SUBSTR(date , 1,10), 'unixepoch', 'localtime')

В обоих примерах 'localtime' используем для вывода времени в текущем часовом поясе Windows. Данный способ можно использовать и для других БД, где Дата и Время храниться в ячейке с типом integer.

Исходник запроса к БД History(Opera): Запрос к БД History(Opera)
Исходник запроса к БД Viber(viber_messages): Запрос к БД Viber(viber_messages)
Исходный код на git.codeby к БД Viber(viber_messages): Запрос к БД Viber(viber_messages)
Исходный код на git.codeby к БД History(Opera):Запроса к БД History(Opera)

Спасибо идейному вдохновителю @Sunnych !

Спасибо за внимание.
Специально для CODEBY.NET
Предисловие: Forensics Web Browser Artifacts (history, cookie, cache) Windows - search handmade
Полезно · 8
#browser #sqlite

Комментарии

2
#2
Подскажите, пожалуйста, в viber_messages в таблице messages, есть поле read_message_time, я так понимаю это время когда кто-то прочёл сообщение, но видимо оно относительное... Относительно чего?? Проверял от начала текущих суток - не оно...

Пока мыслей больше нет...
 

Вложения

  • Screenshot_20191216-002212672.jpg
    Screenshot_20191216-002212672.jpg
    65,9 КБ · Просмотры: 1 282
#3
Хорошо расписал. Спасибо
 
Для ответа нужно войти/зарегистрироваться
Продолжить чтение
Следующий разбор Драйвер для Windows стал инструментом киберпреступников

Ещё по теме

4
Unison СтатьяCellebrite Reader не освобождает от проверки вручную файлов смартфона. Unison·29.05.2019·Мои статьи 4 8 тыс. 04.06.2019 Sunnych СтатьяФорензика Android, расшифровать и собрать данные из баз Viber Sunnych·06.08.2018·Мои статьи 3 9 тыс. 23.12.2018 Sunnych СтатьяForensics Web Browser Artifacts (history, cookie, cache) Windows - search handmade Sunnych·27.07.2018·Мои статьи 2 5 тыс. 18.08.2018 Sunnych КаталогКомпьютерная криминалистика (Форензика - Forensics): каталог статей "list of articles". Sunnych·27.07.2018·OSINT и Форензика 11 31 тыс. 17.06.2021
Верх Низ
Назад