-
-
[原创]我的微信数据监控研究发展过程
-
发表于: 2019-1-29 17:49
-
严重声明
本文的意图只有一个就是通过分析app学习更多的逆向技术，如果有人利用本文知识和技术进行非法操作进行牟利，带来的任何法律责任都将由操作者本人承担，和本文作者无任何关系，最终还是希望大家能够秉着学习的心态阅读此文
严重声明
本文的意图只有一个就是通过分析app学习更多的逆向技术，如果有人利用本文知识和技术进行非法操作进行牟利，带来的任何法律责任都将由操作者本人承担，和本文作者无任何关系，最终还是希望大家能够秉着学习的心态阅读此文
以下内容适用范围：已经获取root权限的手机
近两年来一直在做Android端微信的消息备份功能，一开始是调研自己实现，现在是公司业务需要，现已实现好友相关信息备份，监控消息、领取红包、监控发布朋友圈数据、监控朋友圈点赞回复等功能。
2.EnMicroMsg.db地址是/data/data/com.tencent.mm/MicroMsg/32位字符串/EnMicroMsg.db，32位字符串是通过MD5加密("mm"+uin码)得出的，如果有多个32位字符串的文件夹，说明登录过多个微信号，微信号不同，uin码不同。同一级的还有其他数据库，比如SnsMicroMsg.db，存放的是微信朋友圈相关表，该数据库无密码，可直接查看。
3.EnMicroMsg.db的密码是MD5(imei码+uin码).substring(0, 7).toLowerCase()得到，imei码是通过获取手机IMEI码得到，uin码是微信SharedPerferences中存储的，文件位置\data\data\com.tencent.mm\shared_prefs\auth_info_key_prefs.xml，通过解析xml文件来得到"_auth_uin"字段的值。
4.当前登录微信的账号ID存放于\data\data\com.tencent.mm\shared_prefs\notify_key_pref_no_account.xml文件中，通过解析xml文件来得到"login_weixin_username"字段的值。
定时复制微信的数据库文件到我的文件夹下，计算得到密码后，使用sqlcipher连接并传入密码来读取数据，然后发送到服务器。
可以说微信是我反编译大厂app后发现的少数不做加固的app之一，让我省去了脱壳的步骤
这里主要对监控发布朋友圈数据进行详细教程，包含xposed的大多数使用。
微信相关基本知识：
1.聊天消息表、联系人表、头像信息表、联系人标签表、红包转账信息表等都存在EnMicroMsg.db数据库中，但该数据库被加密，需要密码才能查看。2.EnMicroMsg.db地址是/data/data/com.tencent.mm/MicroMsg/32位字符串/EnMicroMsg.db，32位字符串是通过MD5加密("mm"+uin码)得出的，如果有多个32位字符串的文件夹，说明登录过多个微信号，微信号不同，uin码不同。同一级的还有其他数据库，比如SnsMicroMsg.db，存放的是微信朋友圈相关表，该数据库无密码，可直接查看。
3.EnMicroMsg.db的密码是MD5(imei码+uin码).substring(0, 7).toLowerCase()得到，imei码是通过获取手机IMEI码得到，uin码是微信SharedPerferences中存储的，文件位置\data\data\com.tencent.mm\shared_prefs\auth_info_key_prefs.xml，通过解析xml文件来得到"_auth_uin"字段的值。
4.当前登录微信的账号ID存放于\data\data\com.tencent.mm\shared_prefs\notify_key_pref_no_account.xml文件中，通过解析xml文件来得到"login_weixin_username"字段的值。
1.静态监控
是我一开始参考网上文章后实现监控的方法，使用的是定时复制数据库，并读取的方法定时复制微信的数据库文件到我的文件夹下，计算得到密码后，使用sqlcipher连接并传入密码来读取数据，然后发送到服务器。
2.动态监控
可以看到静态监控的方法并不完善，并不能做到实时监控，在我接触到Xposed后开始使用hook 拦截的方式来监控微信数据可以说微信是我反编译大厂app后发现的少数不做加固的app之一，让我省去了脱壳的步骤
这里主要对监控发布朋友圈数据进行详细教程，包含xposed的大多数使用。
-1使用 当前Activity 这个app来查看发布朋友圈页面的包名和Activity。
以下内容适用范围：已经获取root权限的手机
近两年来一直在做Android端微信的消息备份功能，一开始是调研自己实现，现在是公司业务需要，现已实现好友相关信息备份，监控消息、领取红包、监控发布朋友圈数据、监控朋友圈点赞回复等功能。
2.EnMicroMsg.db地址是/data/data/com.tencent.mm/MicroMsg/32位字符串/EnMicroMsg.db，32位字符串是通过MD5加密("mm"+uin码)得出的，如果有多个32位字符串的文件夹，说明登录过多个微信号，微信号不同，uin码不同。同一级的还有其他数据库，比如SnsMicroMsg.db，存放的是微信朋友圈相关表，该数据库无密码，可直接查看。
3.EnMicroMsg.db的密码是MD5(imei码+uin码).substring(0, 7).toLowerCase()得到，imei码是通过获取手机IMEI码得到，uin码是微信SharedPerferences中存储的，文件位置\data\data\com.tencent.mm\shared_prefs\auth_info_key_prefs.xml，通过解析xml文件来得到"_auth_uin"字段的值。
4.当前登录微信的账号ID存放于\data\data\com.tencent.mm\shared_prefs\notify_key_pref_no_account.xml文件中，通过解析xml文件来得到"login_weixin_username"字段的值。
定时复制微信的数据库文件到我的文件夹下，计算得到密码后，使用sqlcipher连接并传入密码来读取数据，然后发送到服务器。
可以说微信是我反编译大厂app后发现的少数不做加固的app之一，让我省去了脱壳的步骤
这里主要对监控发布朋友圈数据进行详细教程，包含xposed的大多数使用。
微信相关基本知识：
1.聊天消息表、联系人表、头像信息表、联系人标签表、红包转账信息表等都存在EnMicroMsg.db数据库中，但该数据库被加密，需要密码才能查看。2.EnMicroMsg.db地址是/data/data/com.tencent.mm/MicroMsg/32位字符串/EnMicroMsg.db，32位字符串是通过MD5加密("mm"+uin码)得出的，如果有多个32位字符串的文件夹，说明登录过多个微信号，微信号不同，uin码不同。同一级的还有其他数据库，比如SnsMicroMsg.db，存放的是微信朋友圈相关表，该数据库无密码，可直接查看。
3.EnMicroMsg.db的密码是MD5(imei码+uin码).substring(0, 7).toLowerCase()得到，imei码是通过获取手机IMEI码得到，uin码是微信SharedPerferences中存储的，文件位置\data\data\com.tencent.mm\shared_prefs\auth_info_key_prefs.xml，通过解析xml文件来得到"_auth_uin"字段的值。
4.当前登录微信的账号ID存放于\data\data\com.tencent.mm\shared_prefs\notify_key_pref_no_account.xml文件中，通过解析xml文件来得到"login_weixin_username"字段的值。
1.静态监控
是我一开始参考网上文章后实现监控的方法，使用的是定时复制数据库，并读取的方法定时复制微信的数据库文件到我的文件夹下，计算得到密码后，使用sqlcipher连接并传入密码来读取数据，然后发送到服务器。
2.动态监控
可以看到静态监控的方法并不完善，并不能做到实时监控，在我接触到Xposed后开始使用hook 拦截的方式来监控微信数据可以说微信是我反编译大厂app后发现的少数不做加固的app之一，让我省去了脱壳的步骤
这里主要对监控发布朋友圈数据进行详细教程，包含xposed的大多数使用。
-1使用 当前Activity 这个app来查看发布朋友圈页面的包名和Activity。
当然也可以使用adb来查看
可以看到有一个SnsEditText的变量，很大把握可以确定这个变量就是发朋友圈的文本输入框，
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
最后于 2019-1-30 13:59
被JovenHe编辑
，原因：
打赏
+ 6.00雪花
| 打赏次数 3 | 雪花 + 6.00 |
Editor
|
+2.00 | 2019/02/25 | 精品文章～ |
supperlitt
|
+2.00 | 2019/02/16 | |
junkboy
|
+2.00 | 2019/01/29 |
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 ，辛苦辛苦
|
|
|
|
|
|
|
|
|
我的微信测试号一直在用我写的Xposed的模块，至今两年多，从来没有封号或者警告过。 要么是你的模块某些行为触及到微信底线，要么你的微信号是新注册的，是有封号风险的。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
封号后如何解开呢 
|
|
|
永封无解，不是永封的它会告诉你怎么解 |
|
|
|
|
|
|
|
|
用xposed被让企鹅发现么 
|
|
|
抢红包（微x） |
|
|
你用xposed抢到多少钱红包呢 
|
|
|
|
|
|
没多少，正常使用而已 |
|
|
那企鹅为啥要封你呢 
|
|
|
可以用用 FastHook——一种高效稳定、简洁易用的Android Hook框架 hook框架。
基于yahfa hook方案 改进的。填了好多坑。。应该会比xpose 好用。 当时也是基于 微信做的。基本上什么坏事都可以干吧。 
最后于 2019-3-13 11:19
被乐宝daddy编辑
，原因： 添加超链接
|
|
|
因为用了 Xposed |
小黄鸭爱学习
