SQLite Database
| Format | SQLite Database |
|---|---|
| Kurzname | SQLite |
| Kategorie | Datenbank |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (SQLiteParser) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Die vorherrschende eingebettete Datenbank unter iOS, Android, macOS und Windows. Von praktisch jeder App verwendet, für Nachrichten, Anruflisten, Kontakte, Browserverlauf, Standortdaten und App-Zustand. Erkennbar an einem 16-Byte-Magic-String ('SQLite format 3\000') an Offset 0. Der 100-Byte-Datei-Header enthält: Page-Größe, Write-Version (rollback=1, WAL=2), Kodierung und Change Counter. Wichtige forensische Wiederherstellungsmechanismen: (1) Freelist: Gelöschte Pages bleiben in einer Liste freier Pages erhalten; Datensätze überdauern, bis sie durch neue Einfügungen überschrieben werden. (2) Freeblocks und Page-Slack: Gelöschte Datensätze in aktiven Pages können in Freeblocks oder teilweise im Unallocated-Bereich unterhalb des aktuellen Cell Pointer Arrays erhalten bleiben. (3) WAL (Write-Ahead Log): Im WAL-Modus enthält die -wal-Datei nicht committete und kürzlich per Checkpoint übernommene Pages; sie muss zusammen mit der Hauptdatenbank analysiert werden. WAL slack: Nach einem Checkpoint bleiben alte Pages im WAL erhalten, bis sie vom Anfang her überschrieben werden, frühere Datenbankzustände sind wiederherstellbar. KRITISCH: Das Öffnen einer Datenbank im WAL-Modus mit einem Standard-SQLite-Treiber löst einen Checkpoint aus, der die Inhalte des WAL unumkehrbar in die Datenbank überträgt und den WAL leert. Nur forensische Tools mit Lesezugriff oder Low-Level-Parsing verwenden. Lücken in der Tabelle sqlite_sequence zeigen gelöschte AUTOINCREMENT-Zeilen.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 53 51 4C 69 74 65 20 66 6F 72 6D 61 74 20 33 00 | SQLite format 3. | SQLite-Magic-String ('SQLite format 3\x00') |
Bekannte Dateiendungen
.db, .sqlite, .sqlite3, .db3
Referenzen
- SQLite file format specification https://www.sqlite.org/fileformat.html
- Mobile Forensics – The File Format Handbook: SQLite (Springer, 2022) https://doi.org/10.1007/978-3-030-98467-0_5
- Forensic analysis of SQLite databases: free lists, WAL, unallocated space and carving (Belkasoft) https://belkasoft.com/sqlite-analysis
- Forensic examination of SQLite Write Ahead Log files (Sanderson Forensics) https://sqliteforensictoolkit.com/forensic-examination-of-sqlite-write-ahead-log-wal-files/
- FQLite — deleted SQLite record recovery (Pawlaszczyk; see 'Making the Invisible Visible', 2021) https://github.com/pawlaszczyk/fqlite
- A comprehensive analysis and evaluation of SQLite deleted record recovery techniques: a survey (Lee et al., FSI: Digital Investigation 2025) https://www.sciencedirect.com/science/article/abs/pii/S2666281725001714
- What Hides in the WAL — SQLite Forensics with crush (beBinary) https://bebinary4n6.blogspot.com/2026/05/what-hides-in-wal-sqlite-forensics-with.html
Diesen Eintrag zitieren
Crush-Format-Referenz, „SQLite Database“. https://kalink0.github.io/crush-forensics/formats/de/sqlite/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden