较旧的华为手机需要恢复部分手机录音。 最后，根据手机录音的“缓存”文件，成功找到并分析了手机录音的原始文件，完成了录音文件的“恢复”，为案件提供了关键证据。 。
01 初步调查
根据线索提供的信息，已知检查材料中存在一些录音，但提取的录音文件不相关，怀疑录音文件被删除或清除。 检查手机中的Sounds目录，没有录音文件。 常规恢复删除的文件需要root手机提取手机原始的Ext4化学镜像，然后使用该镜像扫描删除的文件，无论从复杂度还是恢复率上来说都不容易。 而且，技术人员分析发现，Sounds目录下有一个.vtdata的隐藏目录，其中包含以时间戳开头的文本文件。 文件尺寸较大，引起了技术人员的注意。
注：附图为测试机数据截图，与测试材料的数据格式类似
02 文件分析
初步调查
文件较大，可能与音频有关。 众所周知，Android图片的缓存（缩略图）也存放在以“.”开头的隐藏目录中，那么这个文件有没有可能是语音的“缓存”文件呢？ 先百度搜索-_-！
在华为官方峰会上有人问了这个问题。 “官方”的技术答案是，这些文件是8.x系统下音频转文本功能的备份文件。 9.0系统的音频转文字不再依赖这个功能，所以如果已经升级到9.0就可以删除了。 除了这个结果之外，没有其他有用的信息。
如果你对这个文件的作用有一个大概的了解，那么这个文件很可能是某种格式的音频文件。 以十六进制补码查看文件内容：
开头的大00区域没有任何与文件头相关的信息手机录干音的软件，下面包含数据的内容类似于重复的条带。
03 思考
手机上的音频文件通常是m4a和amr编码格式，这种编码格式的文件有重要的文件头信息，但大小通常比较小（因为编码是压缩）。 m4a等文件头信息为：
因此排除是音频文件的常见编码格式。
刚才在网上查到的资料中，提到了“用于录音到文本功能的备份文件”这句话。 根据开发经验，录音转文本功能输入的音频格式通常为mp3、wav、pcm等常规格式。 首先排除mp3格式，因为没有文件头，而且比较大。 wav和pcm是原始音频流但文件大小一般都比较大，而且wav格式有文件头，所以也排除在外。 pcm是原始音频流，它不包含文件头信息，只存储音频内容，那么这个文件是否可能是pcm原始音频流？
注：wav是pcm加上了文件头，文件头包含采样率、通道、位数等信息。wav和mp3的关系有点像bmp和jpg的关系，bmp是原始的位图数据和jpg在编码和压缩时音质损失最小，并且大大压缩了文件大小，质量损失更小。
04 尝试
拿出万能播放器ffplay，尝试以pcm格式播放。 ffplay的主要参数有：ffplay -ar 采样率 -ac 通道 -f 位数信息 -i 文件名
问题来了，有些信息未知。 一般来说手机录干音的软件，采样率是4000的倍数。手机录音、微信语音等通常使用8000-24000之间。 通道通常为1。位数使用默认的公共16位。 结合它，尝试第一次播放命令参数为：ffplay-ar24000-ac1-fs1616le-i20190221_105211_text
执行后，可以流畅地看到声音，但明显感觉说话速度快了很多，就像打开倍速功能看视频一样，这说明采样率设置太高，尝试调整一下降低。 调到16000时，声音听起来很清晰、正常。 至此，已经验证该语音为pcm音频流，但参数已确定。 最终播放命令为：ffplay-ar16000-ac1-fs1616le-i20190221_105211_text
05 格式转换
语音已经可以播放了，虽然pcm播放起来比较麻烦，但是为了不损失任何音效，还是将pcm转成了wav格式。 ffmpeg命令参数为：ffmpeg-fs1616le-ar16000-ac1-i20180920_150048_text20180920_150048_text.wav
生成同名wav文件，用vlc播放器正常播放。
06 总结
Android手机中存在大量的应用程序缓存，但各个厂商的定制系统中却加入了很多非谷歌官方的东西，这些在检材数据分析中就会发现。 办案过程中的数据分析是一项需要极其细心和耐心的工作。 本文提供的思路和技巧也为广大办案人员提供一点帮助。
