1. 程式人生 > >【取證的祕密... ...】手機音訊AUD-AMR

【取證的祕密... ...】手機音訊AUD-AMR

640?

來源:盤石軟體PANSAFE

ID:Pansafe

作者:母東昇

amr是個什麼鬼?

amr(全稱是Adaptive  Multi-Rate),是一種音訊編碼檔案格式,專用於有效地壓縮語音訊率。AMR主要用於移動裝置的音訊壓縮,壓縮比非常高,但是音質比較差,主要用於語音類的音訊,不適合對音質要求較高的音樂類音訊的壓縮。目前amr格式出現比較多的是安卓智慧裝置,大多都是通過語音方式替代了常規通話。

amr檔案由檔案頭和資料幀組成,檔案頭標識佔6個位元組,後面緊跟著就是音訊、幀,音訊的編碼方式頻率不同幀大小也不同,這裡不做詳述,如圖: 

640?wx_fmt=png

格式如下所示:

640?wx_fmt=png

aud又是個什麼鬼?

aud是騰訊公司修改的一種amr格式,aud格式暫時無法在任何的播放器上播放,我們可以把aud轉成amr或mp3後在電腦或者移動裝置上正常播放。

結構對比

1

過備份的方式分別獲取到蘋果微信中的aud檔案和安卓微信中的amr檔案,如圖所示為蘋果備份中的aud檔案:

640?wx_fmt=png

2

使用winhex開啟aud檔案在十六進位制下檢視檔案頭為“02 23 21 52 49 4C”內容顯示為“.#!SILK_v3”,如圖:

640?wx_fmt=png

3

使winhex開啟amr檔案在十六進位制下檢視檔案頭為“23 21 41 4D 52 0A”內容顯示“#!AMR..#!SILK_v3”,如圖:

640?wx_fmt=png

因我們無法判斷aud檔案怎麼播放,所以通過測試將安卓和蘋果手機之間通過微信好友方式相互間傳送語音檔案,然後將兩個同一語音檔案匯出使用工具進行比對,發現aud檔案沒有amr的檔案頭,所有amr檔案頭標誌是6個位元組(最後一個位元組是換行符“\n”),可以判斷aud即為變種的amr檔案。

解決方法

1通俗易懂法

使用小工具 “微信Aud音訊轉換Amr.exe”,開啟並執行,如圖所示:

640?wx_fmt=png

開啟需要轉換的檔案進行操作,如圖:

640?wx_fmt=png

640?wx_fmt=png

轉換完成後的檔案使用播放器正常播放即可。 

2心領神會法

使用notepad++,新建文字輸入: #!AMR(回車),在“選單—編輯—文件格式轉換—轉換為UNIX格式”,儲存檔名為test.txt,如圖:

640?wx_fmt=png

640?wx_fmt=png

使用cmd命令: copy test.txt/b + xxxx.aud/b  xxxx.amr (copy命令,就是將test.txt和446.aud檔案合併成一個446.amr檔案),如圖:

640?wx_fmt=png

轉換完成後的檔案使用播放器正常播放即可。

當然,直接通過手機取證軟體解析出的微信aud語音檔案已經完成了轉換,可以直接播放。

以上作者個人實驗及理解,如有錯誤或不同觀點請留言指正。

640?wx_fmt=jpeg

640?wx_fmt=jpeg

640?wx_fmt=png