幹貨｜微軟語音助手Cortana應用解析

2015年7月29日，微軟正式發布了Windows10操作係統。Windows10是微軟史上第一款跨平台操作係統，可以在PC、平板、智能手機、遊戲主機間共享同一個Windows應用商店。Windows10運行的硬件要求低，為用戶提供更出色的性能，更高的安全性保護，更爽的遊戲和上網體驗。

伴隨而來，WinXP係統已經停止維護，Windows7也將於2020年全麵停止更新，WinXP和Windows7的用戶正遭遇日益嚴重的網絡安全威脅。因此，微軟也在極力推廣普及Windows10，鼓勵和督促Windows7用戶升級最新的Windows10係統。

隨著越來越多的個人和公司評估、更新和使用Windows10操作係統，Windows10正式發布2年來，普及率得到很大提升，對Windows10取證支持的需求也日益重要和迫切。

Cortana是微軟發布的全球第一款個人的人工智能助理，能夠了解用戶的喜好和習慣，幫助用戶進行日程安排、回答問題等。Cortana會記憶計算機的使用習慣，利用雲計算、搜索引擎和“非結構化數據”分析，讀取和學習包括手機中的文本文件、電子郵件、圖片、視頻等數據，來理解用戶的語義和語境，從而實現人機交互。

圖1.1 Cortana界麵

Cortana智能語音助手為了實現對工作和生活等方麵的強大輔助作用，涉及數據種類較多，主要是【搜索關鍵詞】和【提醒】。這些數據一般都會同步到微軟雲平台的登錄賬號，以實現數據備份和設備間數據共享。

本文將從【搜索關鍵詞】、【提醒】、【最喜歡的地點】、【聯網數據】這4個主要方麵介紹Cortana應用解析。

Cortana數據的根目錄在：/Users/[UserName]/AppData/Local/Packages/Microsoft.Windows.Cortana_[Number]。以下的路徑描述沒有特別說明，都是此根目錄下的子目錄。

2.1 搜索關鍵詞

搜索關鍵詞主要分為2個部分：【手動輸入搜索關鍵字】、【語音音頻文件】。

【手動輸入搜索關鍵字】:Cortana根據鍵盤輸入關鍵詞，給出建議提示，幫助快速打開應用，或打開Edge瀏覽器搜索網頁，或打開地圖進行導航等。主要放在以下2個目錄：

關鍵詞存放在[CortanaDir]/AC/INetCache/的子目錄下json後綴文件。這些文件以json數據格式存放。由於Cortana對輸入有自動補全和建議功能，關鍵詞可能有分詞的情況。這部分主要是【搜索關鍵詞】、【json文件生成的時間】。

圖2.1.1 qsonhs文件中的關鍵詞

圖2.1.2 Suggestions文件中的關鍵詞

圖2.1.3 其他json文件中的關鍵詞

圖2.1.4 取證大師解析json的關鍵詞

關鍵詞存放在[CortanaDir]/AppData/Indexed DB/IndexedDB.edb，信息以esedb數據庫格式保存。同樣的，這部分關鍵詞可能有分詞的情況。這部分主要是【搜索關鍵詞】、【數據存入數據庫的時間】。

圖2.1.5 取證大師解析IndexedDB的關鍵詞

【語音音頻文件】:Cortana會根據語音輸入，嚐試理解用戶語意，進行類似【手動輸入搜索關鍵字】的處理，幫助用戶解決問題。語音文件主要存放在[CortanaDir]/LocalState/LocalRecorder/Speech目錄下。這部分主要羅列Cortana語音文件，顯示【文件名】、【文件大小】、【創建時間】等信息。

圖2.1.6 取證大師解析的語音文件

2.2 提醒

【提醒】功能，類似手機鬧鍾，提醒用戶各種日程安排或任務。這些信息主要存放在[CortanaDir]/LocalState/ESEDatabase_CortanaCoreInstance/CortanaCoreDb.dat，以esedb數據庫格式保存，信息分為【時間提醒】、【地點提醒】、【聯係人提醒】。

圖2.2.1 【提醒】的界麵

圖2.2.2 數據庫中的【位置提醒】

【時間提醒】：主要是起到提醒用戶在【何時】要處理【何事】的作用。【時間提醒】對於工作和日程安排是一個比較重要、頻繁使用的功能，是一個價值比較高的功能。這個部分主要是【標題】（何事）、【創建時間】、【下次提醒的時間點】（何時）等信息。

圖2.2.3 取證大師解析的【時間提醒】

【位置提醒】：主要是起到提醒用戶在到達或離開【何地】時要處理【何事】的作用。這個部分主要是【標題】（何事）、【地點名稱】（何地）、【地點查詢】、【經度】、【緯度】、【範圍半徑】等信息。

圖2.2.4 取證大師解析的【位置提醒】

【聯係人提醒】：主要是起到提醒用戶在下次聯係【何人】時要處理【什麼事】的作用。這個部分主要是【標題】（何事）、【聯係人】（何人）、【創建時間】等信息。

圖2.2.5 取證大師解析的【聯係人提醒】

2.3 最喜歡的地點

【最喜歡的地點】是常去的地點或常關注地點，便於Cortana為用戶提示這些地點的天氣情況和路況；出行時規劃導航路線；推薦美食、景點等周邊服務。這些信息主要存放在[CortanaDir]/LocalState/Graph/[UserID]/Me/00000000.ttl。這個部分主要是【標題】、【地區地址】、【經度】、【緯度】等信息。

圖2.3.1 【最喜歡的地點】的界麵

圖2.3.2 【常用地點】的源數據

圖2.3.3 取證大師解析的【最喜歡的地點】

2.4 聯網數據

【聯網數據】是Cortana訪問互聯網的網站Cache數據情況，一般是預先設置的關注點等觸發Cortana聯網取得信息，為用戶提供關注的信息和資訊。但這些數據刷新頻度高，站點內容繁多，數據價值相對較低。這些信息存放在：

[CortanaDir]/AC

[係統盤]/Users/[UserName]/AppData/Microsoft/Windows/WebCache/WebCacheV01.dat。

圖2.4.1WebCacheV01.dat的Cortana數據

目前，Windows10操作係統已有相當普及度，Cortana也相對成熟穩定。對Windows10的Cortana應用解析是計算機取證重要的研究對象之一，美亞柏科將持續跟進Cortana的更新，研究Cortana的新功能、新特性。美亞柏科作為電子數據取證的龍頭企業，一直關注行業動向，注重產品的完善拓展，努力研究新技術解決新問題，著力提升對用戶的服務品質和用戶體驗。美亞柏科的取證大師V5版本能夠快速解析Cortana應用數據，界麵簡潔清爽，數據直觀準確。若您想要詳細了解該技術或有技術支持需求，可以聯係我們獲取試用版本。