Análise forense de SQLite: Micro-curso WAL & SHM
Learn how to recover deleted, uncommitted, and overwritten SQLite data
advanced level | 2 HouRS | updated 2026
Explore SQLite’s WAL and SHM files and uncover database activity that standard decoded views may overlook. This focused 2-hour micro-course teaches you how to analyze WAL frames and the SHM index, identify pre-checkpoint records, track database changes, and reconstruct app activity with confidence.
Análise forense de SQLite: WAL & SHM (Micro-curso)
Explore SQLite’s WAL and SHM files and uncover database activity that standard decoded views may overlook. This focused 2-hour micro-course teaches you how to analyze WAL frames and the SHM index, identify pre-checkpoint records, track database changes, and reconstruct app activity with confidence.
Visão geral do que vai aprender
● Compreender como os ficheiros WAL e SHM acompanham as alterações da base de dados SQLite ao longo do tempo
● Descodificar quadros WAL e estruturas de índice SHM para localizar dados eliminados ou substituídos
● Recupere provas que não são detectadas por ferramentas forenses comuns
● Reconstruir linhas de tempo da atividade da aplicação
● Validar a saída da ferramenta e detetar adulterações ou anomalias
Este curso é para si?
Este curso é ideal para profissionais forenses que:
● Necessidade de rastrear a sequência de eventos da atividade da aplicação móvel
● Pretende analisar manualmente registos SQLite eliminados ou não confirmados
● Estão a trabalhar em investigações de alto risco ou urgentes
● Prefere uma formação centrada e prática com resultados imediatos
Porque é que os investigadores escolhem este curso
● Controlo de alterações ao nível da página , follow the flow of data between versions and edits
● Dados WAL e SHM do mundo real , work with live forensic samples
● Não é necessário scripting , clear, step-by-step instruction
● 2 horas no total , concise and focused
● Entrega flexível , on-demand or live online
● Certificado incluído , proof of training and skills
Por dentro do curso (Vídeo)
Formato e preços dos cursos
A pedido: ao ritmo que lhe for mais conveniente
Live Online: Get a quote for groups
O que vai aprender
Neste curso, você aprenderá a:
- Descodificar o sistema de controlo de alterações do SQLite Compreender como os ficheiros Write-Ahead Logs (WAL) e Shared Memory (SHM) controlam o que mudou, quando e como.
- Recuperar conteúdos substituídos e eliminados Extrair provas valiosas de transacções não confirmadas e de quadros WAL intocados que as ferramentas padrão não conseguem detetar.
- Reconstruir a atividade da base de dados Utilize as molduras WAL e as páginas de índice do SHM para seguir a ordem, o momento e a natureza das alterações ao longo do tempo.
- Validar ou contestar os resultados da ferramenta Comparar os resultados da ferramenta com os dados brutos ao nível do quadro para detetar lacunas ou adulterações.
- Explicar claramente as alterações à base de dados Learn to document what changed, why it matters, and how you proved it , suitable for reports or court.
- Trabalhar com dados forenses do mundo real Pratique as suas competências em conjuntos de dados autênticos retirados de cenários de casos móveis.
Incluído na sua formação
- Foco nas linhas de tempo do SQLite Go beyond snapshots , see what happened antes de os dados foram introduzidos ou eliminados.
- Domínio de WAL e SHM Saiba como os quadros estão estruturados, como as páginas de índice SHM orientam a interpretação e como navegar em ambos.
- Técnicas independentes de ferramentas Learn to verify findings manually , without relying on automated parsing.
- Entrega passo-a-passo, sem código Designed for examiners , no SQL or programming required.
- Formato flexível Participe em direto ou estude a pedido ao seu próprio ritmo.
- Certificado de conclusão Receber o reconhecimento oficial das suas competências após a conclusão do curso.
Conteúdo do curso
Expandir todas as secções- Compreender o papel do WAL e do SHM na arquitetura do SQLite
- Saiba como o WAL permite o controlo de alterações e as gravações atrasadas
- Descodificar quadros e cabeçalhos WAL individuais
- Identificar mudanças de página e limites de transação
- Explorar os ficheiros SHM e a sua função de indexação
- Utilizar os dados SHM para navegar e interpretar os quadros WAL
- Localizar dados eliminados em segmentos WAL não verificados
- Identificar inserções, actualizações e dados não confirmados que nunca chegaram à base de dados principal
- Reconstruir os calendários de ação a partir das alterações WAL e SHM
- Fazer corresponder as modificações a pontos de transação precisos
- Validar os resultados da ferramenta comparando os dados WAL/SHM em bruto
- Detetar lacunas, anomalias e possíveis adulterações
A quem se destina este curso?
This course is for digital forensic professionals, incident responders, and analysts who need to extract evidence from the often-overlooked WAL and SHM files in SQLite databases. It's ideal when deleted or modified content isn't available in the main database file , and your tools don't go far enough.
É especialmente útil se:
- Investigar dados de aplicações móveis de dispositivos iOS ou Android
- Necessidade de recuperar registos eliminados ou analisar entradas substituídas
- São responsáveis pela validação dos resultados das ferramentas ou pela identificação de adulterações
- Pretende reconstruir a atividade da base de dados ao longo do tempo
- Trabalhar em ambientes jurídicos, regulamentares ou de investigação interna
- Prefere a aprendizagem prática, baseada em casos, em vez de diapositivos ou teoria
Whether you're working in law enforcement, corporate investigations, or digital forensics labs , this course gives you the skills to uncover critical evidence in WAL and SHM files.
A quem se destina este curso
Investigadores de aplicações móveis
Vá além do ficheiro da base de dados para extrair conteúdo apagado ou substituído dos ficheiros WAL e SHM.
Validadores de ferramentas
Teste os limites das suas ferramentas forenses, comparando os resultados descodificados com as provas brutas da camada de transação.
Analistas técnicos
Understand how SQLite tracks changes using WAL frames and SHM index pages , and how to parse them manually.
Redactores de relatórios
Explain how and when data changed, not just what was recovered , with clarity that stands up in court.
Aprendizes práticos
Nada de tretas. Trabalhe com amostras forenses reais de WAL/SHM num formato guiado e orientado para o laboratório, concebido para uma retenção profunda.
Equipas jurídicas e de conformidade
Precisa de provas que mostrem o que mudou e quando? Aprenda técnicas que resistem a um exame minucioso.
O seu instrutor
This course is taught by James Eichbaum, a leading expert in digital forensics and one of the most experienced instructors in mobile and database analysis. With over 15 years of experience teaching SQLite forensics, James has trained professionals across 30+ countries.
Anteriormente, foi Diretor de Formação Global na MSAB e liderou formação avançada para centenas de organizações em todo o mundo, incluindo agências nacionais de polícia, governos e laboratórios privados de DFIR. A sua formação combina uma profunda competência técnica com uma vasta experiência de campo em investigações reais.
Neste micro-curso, James guia-o através do funcionamento interno das bases de dados SQLite, incluindo registos eliminados, páginas freelist e estruturas de overflow, utilizando uma abordagem prática e independente de ferramentas, concebida para lhe dar competências que pode aplicar de imediato.
Ligar ao James no LinkedIn- Mais de 15 anos a lecionar perícia digital e móvel
- Ex-gerente de treinamento global da MSAB
- Antigo instrutor de P.O.S.T. na Califórnia
- Detetive da Força de Intervenção para os Crimes de Alta Tecnologia de Sacramento Valley
- Delegado especial do U.S. Marshal no Grupo de Trabalho sobre Crimes Cibernéticos do FBI
- Recebeu o prémio de Caso do Ano da HTCIA (2011)
Escolha o seu formato de formação
- Iniciar a qualquer momento
- 90 dias de acesso total
- Trabalhe ao seu próprio ritmo
- Certificação incluída
- Suporte por correio eletrónico e biblioteca de recursos
Em direto online
Join instructor-led sessions remotely. Request a private team session.
- Private virtual sessions
- Instruções e perguntas e respostas em direto
- Laboratórios interactivos
- Certificação incluída
- Suporte por correio eletrónico e biblioteca de recursos
Contacte-nos para obter preços para grupos ⟶
Certificação e créditos CPE
Este micro-curso e o curso completo de SQLite Forensics
Este microcurso específico é um módulo autónomo concebido para uma aprendizagem rápida e direcionada. Foi concebido para ajudar os investigadores digitais a compreender como o SQLite rastreia as alterações através dos ficheiros WAL e SHM , especially when you need to recover deleted data or reconstruct database activity that standard tools miss. In just 2 hours, you'll gain expertise in WAL frame analysis, SHM index interpretation, and timeline reconstruction.
Este micro-curso faz parte da nossa estratégia de formação mais alargada e foi cuidadosamente selecionado a partir da lista completa de Curso avançado de análise forense de SQLite. Esse curso maior abrange três dias inteiros (ou equivalente sob demanda) e oferece laboratórios avançados, certificação e até 24 créditos CPE.
Na versão completa do curso, também aprenderá:
- Estrutura interna completa da SQLite (páginas, cabeçalhos, VarInts)
- Análise de páginas Freelist e recuperação de registos de excesso
- Análise de aplicações personalizadas e navegação B-Tree
- Técnicas avançadas de aproveitamento de espaço não atribuído
- Advanced workflows for unsupported app database analysis
- Desafios CTF baseados em cenários para testar e reforçar competências
FAQ
Expandir tudoA pedido: Aceda a todas as 2 horas de conteúdo ao seu próprio ritmo. Ideal para profissionais que querem flexibilidade para treinar entre casos activos.
Em direto online: Sessões orientadas por instrutores conduzidas remotamente. O horário pode ser personalizado para a sua equipa.
Yes , this course has been completely redesigned and updated for 2026. It reflects the latest findings, updated SQLite behavior, and modern forensic challenges based on real-world casework.
Yes! We offer flexible group training options , including discounted rates for teams of 5 or more. Agencies, labs, and organizations can request custom scheduling and onboarding support tailored to their needs.
Sem dúvida. Fornecemos apoio por e-mail ao instrutor para que possa continuar a progredir com confiança ao seu próprio ritmo.
Perfect. This course complements those skills by going deeper into WAL and SHM file analysis. You'll learn what automated tools often overlook , like reconstructing timeline data from WAL frames and recovering deleted activity from SHM indexes.
O curso é conduzido pelo instrutor sénior da Elusive Data, James Eichbaum, um especialista forense que já formou profissionais de forças policiais nacionais, forças policiais federais, estatais e locais, agências governamentais e militares e equipas DFIR globais. Aprenderá com alguém com experiência profunda e prática em investigações reais. James ensina forense de banco de dados há mais de 15 anos.
Sim. Cada módulo inclui laboratórios interactivos utilizando ficheiros WAL e SHM reais. Aplicará imediatamente a sua aprendizagem através de exercícios guiados que analisam a reconstrução da linha temporal e a recuperação de dados eliminados.
Este microcurso foi concebido para preencher uma lacuna crucial na formação forense: compreender como os ficheiros WAL e SHM do SQLite controlam as alterações da base de dados e armazenam dados recuperáveis.
Em apenas 2 horas concentradas, aprenderá como as molduras WAL capturam o histórico de transacções, como os índices SHM controlam as modificações de páginas e como reconstruir linhas de tempo de atividade que as ferramentas padrão não conseguem.
Através de exemplos realistas e aplicações não suportadas, irá trabalhar de forma prática para analisar cabeçalhos WAL, interpretar dados de pontos de controlo e recuperar transacções eliminadas com precisão.
Continuamente atualizado e concebido para profissionais em atividade, este curso proporciona uma formação rápida, orientada e prática, sem poupar nos custos.
Deve sentir-se confortável a navegar em ferramentas forenses e a trabalhar com artefactos móveis, mas não precisa de ser um programador. Iremos guiá-lo através de conceitos de baixo nível, como análise de quadros WAL, análise de pontos de controlo e interpretação de índices SHM, com explicações claras e laboratórios práticos.
Sim. O curso é baseado em certificados e concebido por um antigo examinador da polícia com experiência em testemunhos reais. Os fluxos de trabalho ensinados estão preparados para a sala de audiências e foram concebidos para resistir a revisões.
Yes. The course is built around real-world app data, not generic examples. You'll learn practical workflows you can apply immediately , even when your tools fall short.
Great , this course is designed to work alongside them. You'll learn how to verify tool output, investigate unsupported apps, and recover evidence those tools often overlook.
Sim! Programamos regularmente sessões online em direto nas quais pode participar juntamente com outros profissionais. Estes cursos programados oferecem o mesmo conteúdo abrangente com interação em tempo real e sessões de perguntas e respostas.
Verificar a nossa calendário de cursos para ver as próximas datas agendadas e inscrever-se nas sessões disponíveis.
Com certeza! Se as datas programadas do curso não forem adequadas para si, teremos todo o gosto em organizar uma sessão privada ao vivo numa altura que se adeqúe à sua agenda.
Simplesmente enviar um pedido de reserva com as suas datas e horas preferidas, e trabalharemos consigo para encontrar uma vaga conveniente. Isto é perfeito para equipas ou organizações com requisitos de tempo específicos.
No , if you later decide to enroll in the complete SQLite Forensics course, we'll deduct the full cost of this microcourse from your total. Just reach out to us before enrolling in the full course.