QQ聊天记录恢复深度研究

[align=center]QQ聊天记录恢复深度研究[/align]
[align=center] [/align]
一、研究的背景及意义：
　　QQ作为国内目前使用最为广泛的即时通讯工具，给人们的工作、生活带来了极大的便利。同时，QQ中的聊天记录作为保存用户数据的载体，成为很多用户个人重要数据的组成部分，受到极高的重视。
　　但是，电脑使用过程中，也伴随着种种意料不到的灾难和意外，使QQ聊天记录丢失。比如重装操作系统、人为误删除文件、格式化分区等意外情况，占大多数的，就是在消息管理器中直接删除有关的聊天记录。我们的研究，也是主要针对在消息管理器中直接删除的情况。
　　由于保存聊天记录的数据库文件，其本身有着复杂的结构和加密方式，长久以来，在整个数据恢复领域内都没有有效的、具有实质效果的恢复手段，致使删除的聊天记录永久丢失，不可恢复，让用户宝贵的数据成为遗憾。
　　我们大唐数据恢复一直关注这一课题，全力进行技术攻坚。经过长期的潜心研究，终于获得了初步成果，取得了一系列恢复方案。使删除的聊天记录成功恢复，在一定程度上成为可能。并将研究成果在多种环境、多种情形下测试，均获得通过，最终形成具有可实际操作意义的恢复方案。

二、基础知识：
　　1、数据丢失后，首先要作好数据保全工作，防止发生后续数据覆盖。具体来讲，在删除QQ聊天消息记录后，应立即退出QQ，找到该QQ号对应的msg2.0文件，将该文件复制一份，放到别的地方，然后进行恢复操作。
　　2、关于msg2.0文件：
　　msg2.0文件是QQ2009、2010、2011版本所采用的数据库文件，凡在本机登陆过的每一个QQ号码，均有一个对应的msg2.0文件，用来保存该QQ号码在本机登陆所产生的所有的聊天消息记录，聊天记录恢复正是基于该文件。
　　3、msg2.0文件的位置：
位于QQ的安装目录下的user目录中，一般默认的位置为C:\Program Files\Tencent\QQ\Users\XXXXX(QQ号），如果不能确定，可把鼠标放在桌面QQ的图标上，停留几秒，即可看到安装目录，也可右键点击QQ图标，属性里也可获得。
Msg2.0.db文件的位置如下图所示：





三、QQ聊天记录数据丢失的各种情形及恢复思路：
　　以下描述了常见的聊天记录丢失的情形，并给出一些提示，有些是用户可以自己操作的，有些操作是用户不能进行的，但让用户了解一下非常有必要，这对最终成功恢复有极大的帮助。
1、重装操作系统，造成QQ聊天消息记录丢失；
　　故障表现：QQ安装在系统盘，常见的为C盘，并且用户没有自行更改过保存聊天记录的msg2.0的文件的保存位置，重装系统后，造成原来的msg文件不可见，聊天记录丢失。
　　恢复思路：这个情况属于格式化后有大量数据写入的恢复情形，目标是要找到完整的msg2.0文件，可以先用一些常用的数据恢复软件进行恢复，比如easyrecovery、finaldata等，找到该文件后，把该文件保存到别的盘，登陆QQ，在消息管理器中尝试导入该文件，如果提示成功，就可以看到丢失的聊天记录了。但由于msg文件在运行时会产生碎片，所以，一般的数据恢复软件找到的文件，很多情况下，并不能成功导入。但是不表示数据一定不在了，要重新用其他方法扫描恢复。
2、误删除Msg2.0文件，或者误删除整个目录，造成QQ聊天记录丢失；
　　故障表现：人为误删除QQ文件夹，或者该文件被病毒破坏导致不可见，或者被杀毒软件误杀等，造成聊天记录丢失。
　　恢复思路：这个情况属于删除文件后的数据恢复，也是要找到对应的msg2.0文件，在删除后，一定不要再在原分区存储数据，以免造成覆盖。恢复思路同上例相同，也要先用软件恢复，比如easyrecovery、finaldata等，找到该文件后，把该文件保存到别的盘，登陆QQ，在消息管理器中尝试导入该文件，如果提示成功，就可以看到丢失的聊天记录了。但由于msg文件在运行时会产生碎片，所以，一般的数据恢复软件找到的文件，很多情况下，并不能成功导入。但是不表示数据一定不在了，要重新用其他方法扫描恢复。这种情形用软件成功恢复的情形比较高。

3、Msg2.0文件所在的磁盘分区被格式化、无法打开或者重新分区，造成QQ聊天记录丢失；
　　故障表现：同上两例相同，同样属于一般意义上的数据恢复，都是由于msg2.0文件不可见，需要恢复出来该文件。
　　恢复思路同上例相同，也要先用软件恢复，比如easyrecovery、finaldata等，找到该文件后，把该文件保存到别的盘，登陆QQ，在消息管理器中尝试导入该文件，如果提示成功，就可以看到丢失的聊天记录了。但由于msg文件在运行时会产生碎片，所以，一般的数据恢复软件找到的文件，很多情况下，并不能成功导入。但是不表示数据一定不在了，要重新用其他方法扫描恢复。
4、升级QQ过程中造成聊天记录丢失；
　　故障表现：用户由低版本QQ升级到高版本QQ，或者重装QQ，安装好后，打开消息管理器，发现所有的消息记录都丢失。
　　恢复思路：上述情形比较棘手，如果在升级或者安装前，没有备份出来相应的msg2.0文件或者整个文件夹，那么，又安装到相同的目录下，这会造成直接覆盖，丢失的聊天记录将不可恢复。如果安装到不同的目录下，那么，需要找到原来安装的QQ目录，找到相应的msg2.0文件，在QQ里导入就可以。如果之前备份过QQ目录，那么，也可以在QQ里直接导入。但大情况是用户之前并没有备份msg2.0文件，能否成功恢复，要看用户具体的操作了。
5、删除某QQ号的一个好友的全部聊天记录；
　　故障表现：该情形及以下的情形是我重点研究的。大部分情形下的聊天记录丢失，都是在聊天面板中直接把聊天记录直接删除的，也就是直接在消息管理器中删除的。指的是把消息记录全部一次性删除，打开某一个好友的消息记录，选择删除消息记录－更多消息记录－全部删除。
　　恢复思路：如果删除的是某一个好友的全部记录，并且删除后马上退出QQ，这个情况是可以恢复的。退出QQ后，要马上备份该QQ对应的msg2.0文件，复制到别的地方，进行恢复操作。进行恢复操作后，得到一个恢复后的msg2.0文件，然后用户登陆QQ，将该文件在QQ里尝试导入，如果提示导入成功，那么，打开相应的好友的消息记录，就会看到删除的聊天消息记录了。具体的恢复操作，比较复杂，用户不可操作，用户能作的，就是要保留好删除消息后的msg2.0文件，及确认恢复后的记录是否正确。
6、删除某QQ号的多个好友的全部聊天记录；
　　故障表现：在消息管理器中将多个好友的聊天记录，逐个一次性全部删除。或者将某组好友的聊天记录，一次性全部删除。
　　恢复思路：操作与第5相同，不同之处在于，多个好友的聊天记录要挨个进行恢复，依次导入。提示导入成功后，打开各个好友的消息记录，将能看到删除的聊天记录。
7、删除某QQ号全部好友的全部聊天记录；
　　故障表现：将全部好友的聊天记录一次性全部删除，或者在QQ登陆面板中，将某QQ号的记录删除，或者系统设置为退出QQ时自动清除所有记录。
　　恢复思路：具体操作与第6类似。
8、在好友列表中直接删除好友；
　　故障表现：在好友列表名单中，直接将某好友删除，同时，相对应的聊天记录也丢失。
　　恢复思路：具体操作与第5类似。

9、在QQ登陆面板中删除某QQ号的全部聊天记录；
　　故障表现：在QQ登陆面板中，删除某QQ帐号，同时，将对应的记录全部删除。
　　恢复思路：具体操作与第7类似。
10、系统设置为退出QQ时自动清除所有记录；
　　故障表现：在QQ的系统设置中，消息记录安全－退出QQ时自动删除所有消息记录。
　　恢复思路：具体操作与第7类似。
11、在导入聊天记录时提示导入失败，或者无法打开文件，导入0条；
　　故障表现：用户之前备份了msg2.0文件，或者通过某些手段找到了msg2.0文件，但在消息管理器中尝试导入时，提示导入失败。
　　恢复思路：首先要明白，某QQ号只能导入自己的msg2.0文件，就是说，一个msg2.0文件只能在其对应的QQ号里才能导入打开，这是和msg2.0本身的加密有关的。还有其他情况，比如说用户恢复出来了该文件，文件大小也对，也确定是自己的文件，但还是导入失败。这可以肯定两点，一个是消息文件本身的数据是错误的，没有恢复成功，这个要具体对该文件分析，一个是找到的文件不是自己QQ号的。
12、其他情形。
　　注：以上所描述的某QQ号指用户可以正常登陆，适用于QQ2009、2010、2011版本，暂不支持手机QQ及其他操作系统QQ。
四、衍生研究成果：
　　在研究过程中，通过对QQ运行机制和数据结构的深入了解，也得到了一些其他相关的研究成果，并在试验中得到验证。
　　1、查看某QQ号在某台电脑最近登陆时产生的聊天记录；
　　可以查看到某台电脑在最近时间内，某在该电脑登陆过的QQ号，最后登陆时产生的聊天记录，或者该QQ号在该电脑以往产生的部分聊天记录。
　　即：某QQ号最近在某台电脑上说了些什么。
2、离线查看某QQ号的好友列表；
　　可以查看到某QQ号在某台电脑上登陆以来，与之产生过聊天记录，但没有将聊天记录全部删除的好友的名单，并可按联系频繁度对好友名单排序。
　　即：某QQ号在某台电脑上和哪些人联系过，和谁联系的最多。
3、查看所有在本机登陆过的QQ号；
　　可以查看到所有在本机曾经登陆过的QQ号，即使在登陆面板中将该QQ号删除。
　　即：都有哪些QQ号在某台电脑上登陆过，各QQ号和哪些人联系过。
4、查看某QQ号在某台电脑登陆的最后时间；
　　可以查看到某个QQ号在某台电脑上最后一次何时登陆，何时退出。
5、其他情形。
　　注：以上所描述的某QQ号不必登陆，可离线查看。适用于QQ2009、2010、2011各版本。
本文出自 “大唐数据恢复” 博客，请务必保留此出处http://dtrecovery.blog.51cto.com/3477456/648719