悠哉杂学 - 微信逆向
type: channel
link: https://uinit.cn/index.php/tag/微信逆向/
items: PC微信逆向尝试：破解聊天记录文件！

PC微信逆向尝试：破解聊天记录文件！
type: item
date: 2021-07-02T11:43:00+08:00
description: [scode type="share"]本文转载于：newx，学习一下。[/scode]在电子取证过程中，也会遇到提取PC版微信数据的情况，看雪、52破解和CSDN等网上的PC版微信数据库破解文章实在是太简略了，大多数只有结果没有过程。经过反复试验终于成功解密了数据库，现在把详细过程记录下来，希望大家不要继续在已经解决的问题上过度浪费时间，以便更投入地研究尚未解决的问题。通过查阅资料得知，与安卓手机版微信的7位密码不同，PC版微信的密码是32字节（64位），加密算法没有说明，但是可以通过OllyDbg工具从内存中获取到这个密码，然后通过一段C++代码进行解密。首先下载OllyDbg 2.01汉化版，我用的版本如下图所示：运行OllyDbg，然后运行PC版微信（需要下载客户端的，不是网页版）。先不要点击登录按钮。切换到Ollydbg界面：点击文件菜单，选择“附加”，在弹出的对话框中找到名称为WeChat的进程，其窗口名称为“登录”。然后点击“附加”。附加成功后OllyDbg开始加载，成功加载后可以看到最上面OllyDbg后面有WeChat.exe的字样：在查看菜单中选择“可执行模块”：找到名称为WeChatWin的模块，双击选中。为了方便观察，在窗口菜单中选择水平平铺。在CPU窗口标题栏可以看到“模块WeChatWin”字样。在插件中选择“StrFinder字符查找”中的“查找ASCII字符串”（注意如果下载的OllyDbg版本不对，可能没有相关插件，因此一定要找对版本），要稍微等一会儿，会出现搜索结果的窗口。在此窗口点击鼠标右键，选择“Find”，在搜索框中输入“DBFactory::encryptDB”。会自动定位在第一处，但我们需要的是第二处，即“encryptDB %s DBKey can’t be null”下面这一处。可以用鼠标点击滚动条向下，找到第二处，用鼠标双击此处。在CPU窗口中可以看到已经定位到了相应的位置。用鼠标点击滚动条向下翻。下面第六行应该是TEST EDX,EDX，就是用来比对密码的汇编语言代码。在最前面地址位置（本文中是0F9712BA）双击设置断点（设置断点成功则地址会被标红，而且可以在断点窗口中看到设置成功的断点）点击“运行”按钮（或者在调试菜单中选择“运行”），这时寄存器窗口中的EDX的值应该是00000000。切换到微信登录页面，点击登录，然后到手机端确认登录。这是OllyDbg界面中的数据不断滚动，直到EDX不再为全0并且各个窗口内容停止滚动为止。在EDX的值上面点击鼠标右键，在弹出的菜单里面选择“数据窗口中跟随”，则数据窗口中显示的就是EDX的内容。图示中从0B946A80（这个数值是变化的，不但每台电脑不同，每次调试也可能完全不同）到0B946A9F共32个字节就是微信的加密密码，本图中就是：“53E9BFB23B724195A2BC6EB5BFEB0610DC2164756B9B4279BA32157639A40BB1” 一共32个字节，共64位。得到这个之后，就可以关闭OllyDbg了，微信也会自动被关闭。接下来就是解密过程。在看雪、52破解等多个论坛中都有相关的C++源码，开始企图使用Dev-C++或者C-Free等轻量级IDE进行编译，也使用过Visual C++ 6.0绿色精简版，结果多次尝试出现各种错误，反复失败，最终不得已使用Visual Studio，并对代码进行了一定的修正，终于调试成功。正好Visual Studio 2019刚刚发布直接到官方网站下载了社区版。根据查到的资料，需要先安装openssl，为了省事直接下载了最新的Win64OpenSSL-1_1_1b，安装后发现各种报错，继续查找资料发现原来sqlcipher使用的是低版本的openssl，之后找到了一个Win64OpenSSL-1_0_2r也报错，最后发现还是官方这个直接解压缩的版本靠谱：https://www.openssl.org/source/openssl-1.0.2r.tar.gz把压缩包直接解压到任意目录，比如c:openssl-1.0.2r启动Visual Studio 2019社区版（估计Visual Studio 2008以后的都应该可以，懒得找就直接官网下载最新的吧）在启动界面右下方选择“创建新项目”滚动下拉条，在窗口中选择C++控制台应用：给项目随便起个名字，选择保存位置：然后点击“创建”，即可完成新项目创建。生成默认的Hello World代码：先要做好项目的基础配置，之前调试失败主要问题就出在这里了。在项目菜单中最下面选择项目属性“dewechat属性”（这个跟设置的项目名称一致）对话框最左上角的配置后面，可以选择配置的是Debug模式还是Release模式（Release模…