看来书太好了！
把果果大神也炸出来了
他的分享的“小秘密”
亲手摸索出来的
十分珍贵
值得品味
————————————
由于赠书活动大家热情太高啦
五本书没有拉
不过我觉得再赖皮几本
直到人家不再理我为止
后面我们还有两篇稿子待发
没办法
大家都太牛了
———————————————
再次感谢平航科技裴总提供内部学习资料《智能手机取证》
点链接了解活动
赶紧来参加吧
你值得拥有
以前遇到过好几个系统版本为7.1.2的VIVO手机使用多个软件降级备份提取均以失败告终。最近刚好又遇到一部VIVO X9 版本为7.1.2，还是使用降级提取的方法，结果还是失败。好奇心使我决定一探究竟，研究一下失败的具体原因。
首先使用按照常规操作
1、adb devices 检测手机连接
2、adb shell pm path com.tencent.mm 查询程序安装文件路径
3、adb pull /data/app/com.tencent.mm-2/base.apk d:/mmnew.apk将当前版本微信apk文件备份
4、adb shell pm uninstall -k com.tencent.mm 保数据卸载微信，显示Success成功了。完成后重启手机。
5、Adb install 遇到vivo账户锁使用命令安装低版本微信APK文件（版本号为2.0）失败
6、将低版本微信APK复制进手机，在文件管理里找到apk文件进行安装。
7、adb backup -noapk -noshared -nosystem com.tencent.mm -f d:mm.ab 使用adb backup命令将微信数据备份www.58yuanyou.com到d盘，命名为mm.ab
8、备份文件完毕，发现mm.ab大小只有750M，手机应用程序信息显示微信的存储原由网使用2.29GB，明显备份文件过小，转换后使用取证软件解析失败。
9、重复adb backup -noapk -noshared -nosystem com.tencent.mm -f d:mm2.ab 备份微信数据到d盘，命名为mm2.ab。备份文件完毕，发现mm2.ab大小有786M，转换成ta//www.58yuanyou.comr格式后解压失败，提示压缩包损坏。
10、使用FTK将mm.tar文件导出，发现微信的数据库文件均在，但未发现记录UIN信息的文件。
每次备份的数据大小不一样，猜测会不会是VIVO手机该版本设置了备份限制呢？数据过大导致备份超时，所以备份数据不全，手机取证软件提取失败的原因应该就是此。然后怎么解决呢？
此路不通，绕道而行。直接备份到手机同时加上不压缩的参数试试。
1、adb shell
2、bu backup -noapk -noshared -nosystem -nocompress com.tencent.mm > /data/local/tmp/mm.ab 将微信数据备份到手机/data/local/tmp/文件夹下，命名为mm.ab
3、cd /data/local/tmp/ 进入/data/local/tmp/文件夹。使用ls -al查看备份文件。备份文件mm.ab大小有2G多，与手机应用程序信息显示微信的存储使用2.29GB基本相符。
4、adb pull /data/local/tmp/mm.ab d:/ 使用pull命令将mm.ab文件复制到电脑d盘，文件大小2.25G。
5、rm /data/local/tmp/mm.ab 删除mm.ab文件。
6、取证软件加载解析备份文件，成功解析。
我们来具体分析下备份文件，一探究竟。
1、使用android-backup-extractor(abe)工具将mm.ab转换为tar文件。使用命令为：java -jar abe.jar unpack d:mm.ab d:mm.tar
2、用压缩软件解压mm.tar文件。发现确实多出许多文件和文件夹。
3、在com.tencent.mm_preferences.xml找到uin为154883281，在CompatibleInfo.cfg文件中找到IMEI为863504032708858，
4、计算出微信数据库文件秘钥为46fe978，对应的微信文件夹为ef31fa950a491a074608b8d4192f0bcf。
5、正常打开微信数据库文件。
6、我又尝试将开始用adb backup命令直接备份到电脑的数据中的EnMicroMsg.db用数据库打开，输入密码后显示失败。
推测原因是vivo7.1.2版本手机备份有时间限制，数据量能在限制时间内用backup命令完成备份，数据量大了以后会用adb backuo命令备份到电脑上超时导致备份不完整。
后来又尝试了bu backup -noapk -noshared -nosystem com.tencent.mm > /data/local/tmp/mm.ab命令，该命令没加-nocompress参数，产生一个压缩的备份文件，该备份时间会比不压缩备份时间长，产生了一个860M的压缩的mm.ab文件，转换后得到了一个zDbZyuzQQz1.25G的tar文件zDbZyuzQQz，同样的解压失败，解析也失败。
题外话：
Vivo的降级备份近2年在取证中被广泛的使用，但是随着vivo公司推出了vivo互传助手PC端的，也到了vivo手机降级备份方法被淘汰的时候了。想想也挺失落的，但是其他品牌手机没有官方备份功能，降级备份又失败的时候不防拿出来试试，说不定能解决些难题呢!
互传主界面如下，不仅可以备份通讯录、通话记录等文件还可以备份微信、微信分身版、第三方的APP数据真的好用，最近各大手机取证厂商应该会陆续推出该功能吧。
