SQLite Forense

¿Qué es SQLite?

SQLite es un sistema de gestión de bases de datos relacional embebido. A diferencia de MySQL o PostgreSQL, no requiere un servidor: toda la base de datos se almacena en un único archivo. Esta simplicidad lo ha convertido en el estándar para aplicaciones móviles.

Aplicaciones que Usan SQLite

Estructura de SQLite

Componentes Principales

┌─────────────────────────────────────┐
│           Archivo .db               │
├─────────────────────────────────────┤
│  Header (100 bytes)                 │
│  - Magic number: "SQLite format 3"  │
│  - Page size, encoding, version     │
├─────────────────────────────────────┤
│  Páginas de datos                   │
│  - Tablas                           │
│  - Índices                          │
│  - Espacio libre (freelist)         │
├─────────────────────────────────────┤
│  WAL (Write-Ahead Log) - opcional   │
└─────────────────────────────────────┘

Archivos Asociados

Técnicas de Análisis Forense

1. Análisis Estructural

Examinar tablas, columnas, relaciones y tipos de datos.

-- Listar todas las tablas
SELECT name FROM sqlite_master WHERE type='table';

-- Ver estructura de una tabla
PRAGMA table_info(messages);

-- Contar registros
SELECT COUNT(*) FROM messages;

2. Análisis de Contenido

Extraer y analizar los datos almacenados.

-- Ejemplo: Mensajes de WhatsApp
SELECT
    datetime(timestamp/1000, 'unixepoch', 'localtime') as fecha,
    key_remote_jid as contacto,
    data as mensaje
FROM messages
WHERE data IS NOT NULL
ORDER BY timestamp DESC;

3. Recuperación de Datos Eliminados

4. Análisis Temporal

Los timestamps en SQLite pueden estar en varios formatos:

Herramientas Especializadas

Gratuitas

Comerciales

Caso: Análisis de WhatsApp

Ubicación de Bases de Datos

Android:

/data/data/com.whatsapp/databases/msgstore.db
/data/data/com.whatsapp/databases/wa.db (contactos)

iOS:

/private/var/mobile/Containers/Shared/AppGroup/
  group.net.whatsapp.WhatsApp.shared/ChatStorage.sqlite

Estructura de msgstore.db

Consulta de Ejemplo

-- Mensajes con un contacto específico
SELECT
    m._id,
    datetime(m.timestamp/1000, 'unixepoch', 'localtime') as fecha,
    CASE m.key_from_me
        WHEN 0 THEN 'Recibido'
        WHEN 1 THEN 'Enviado'
    END as direccion,
    m.data as mensaje,
    mm.file_path as archivo_adjunto
FROM messages m
LEFT JOIN message_media mm ON m._id = mm.message_row_id
WHERE m.key_remote_jid LIKE '%34666777888%'
ORDER BY m.timestamp;

Recuperación de Mensajes Borrados

Por Qué Funciona

Cuando SQLite “borra” un registro:

1. Marca el espacio como libre en el freelist
2. NO sobrescribe los datos inmediatamente
3. Los datos permanecen hasta que se reutiliza ese espacio

Técnica de Carving

# Ejemplo conceptual de carving en SQLite
import sqlite3

def find_deleted_records(db_path):
    with open(db_path, 'rb') as f:
        data = f.read()

    # Buscar patrones de registros de WhatsApp
    # (mensaje, timestamp, etc.)
    # Análisis de páginas marcadas como libres
    # ...

Integridad y Validación

Verificaciones de Integridad

-- Verificar integridad de la base de datos
PRAGMA integrity_check;

-- Verificar integridad rápida
PRAGMA quick_check;

-- Ver versión de SQLite
SELECT sqlite_version();

Documentación Forense

Para cada base de datos analizada, documentar:

• Hash MD5/SHA-256 del archivo original
• Ruta original en el dispositivo
• Fecha de última modificación
• Herramientas utilizadas
• Consultas ejecutadas

Ejemplo Práctico: Investigación de Fraude

Escenario

Un empleado es sospechoso de filtrar información confidencial a la competencia. Se requiere analizar sus comunicaciones de WhatsApp.

Proceso

1. Extracción forense del dispositivo Android del empleado.

2. Localización de /data/data/com.whatsapp/databases/msgstore.db

3. Cálculo de hash: SHA-256 para cadena de custodia.

4. Análisis estructural: Identificar tablas y relaciones.

5. Búsqueda específica:

SELECT * FROM messages
WHERE data LIKE '%confidencial%'
   OR data LIKE '%proyecto%'
   OR data LIKE '%cliente%';

6. Análisis temporal: Correlacionar fechas de mensajes con eventos conocidos.

7. Recuperación de eliminados: Carving del espacio libre.

Hallazgos

• 47 mensajes con información de clientes enviados a número externo
• 12 mensajes eliminados recuperados con datos de proyectos
• Timeline coincide con período de negociación con competidor

Conclusión

El análisis forense de SQLite es una habilidad fundamental para cualquier perito digital. La ubicuidad de este formato en dispositivos móviles significa que casi toda investigación forense móvil implica analizar bases de datos SQLite. La capacidad de recuperar datos eliminados y correlacionar información entre múltiples bases de datos proporciona evidencia crucial en procedimientos judiciales.

Última actualización: 18 de enero de 2026 Categoría: Forense Digital Código: SQL-001