用途：对 SQLite 数据库做数字取证，超越普通 SQL 查询，检查内部 B-tree 页结构、freelist 页中的已删除记录、WAL 文件保留的事务历史，以及页内未分配空间中可能残留的可恢复数据。常见证据源包括浏览器历史、消息记录、通话记录、GPS 位置、应用偏好与缓存内容。
主要能力：解析数据库头部（魔数、页大小、freelist 首页号与总页数、文本编码等）；识别页类型（B-tree 内部/叶子、索引内部/叶子、freelist 主干/叶子、溢出页）；遍历 freelist 主干链并导出叶子页原始内容；解析 WAL 头部与帧清单；分析指定 B-tree 页的未分配空间；解码 Chrome/WebKit、Unix、Mac Absolute Time、Mozilla PRTime 等时间戳。
使用方式：需准备 DB Browser for SQLite、sqlite3 命令行工具、Python 3.8+（含 sqlite3 模块）、十六进制编辑器，商业工具可选 Belkasoft Evidence Center 或 Axiom，并理解 B-tree 数据结构。示例命令：python3 sqlite_forensics.py --db /evidence/chrome/Default/History --wal /evidence/chrome/Default/History-wal --journal /evidence/chrome/Default/History-journal --output /analysis/sqlite_report。
适用场景：安全评估、事件响应、定期安全测试与审计、通过实操验证安全控制。
限制：资料未提供具体收费、价格、平台支持范围与效果保证；恢复成功率取决于数据库是否被覆盖或 vacuum，需结合具体案件判断。