首页
社区
课程
招聘
[推荐][原创][分享]取出PC WeChat的语音数据
发表于: 2020-7-9 23:54 3834

[推荐][原创][分享]取出PC WeChat的语音数据

2020-7-9 23:54
3834

取出PC WeChat的语音数据

        事情是这样子的,和师傅约定一个季度一篇精华帖子来巩固自己的修为,我也坚信自己有一天能成为斗帝强者,踏空而行。

        废话不多说,接下来分享一下子今天分析wechat语音的过程吧。

        首先,我算是比较了解wechat了,所以猜测wechat语音过来是一个xml的数据,会进入消息分发函数(doAddMsg),给另一个线程分发任务,然后进行下载(其实后来才知道猜测的是错误的),所以直接ida搜索doAddMsg这个消息分发函数。

分析整个函数 ,上面是一些字符串处理,生成路径,处理结构体的一些函数。

而这个switch 是消息分发函数,到界面的一些分支 ,所以在这里OD下一个断点。

因为switch 语句在od里面分析个人感觉很恶心,所以我习惯直接单步一下,再到ida看是哪个分支。

上面的 case 0x22  的分支 , 那么 这个分支也就只有两个函数 ,想都不用想 点进第二个函数看一眼 。

进去以后 ,一个又靓又显眼的 VoiceMgr::processSyncMsg  出来了   ,那么基本可以确定他是分发下载语音任务的函数(其实语音本身就在这里)

到了这一步 ,因为我的猜测思路是错误的,ida分析经验也不足,来来回回走了很多弯路,各种搜索 voice 无奈之下只能再回来看看

我的习惯是先跟进去看看都有什么重要的数据。参考ida 进来会有两个分支  ,看他走哪一个 。

跟下来以后    10DE06C0这个函数   三个参数   V8 是一个this , v11  和v47是两个重要的参数  

栈上两个参数分别是 ,语音数据 ,和 语音长度 ,那么这个语音是哪里来的呢? 是xml过来以后又下载了一遍吗?

如果是下载就需要找一找他的下载函数了。

那就只能看看伪代码  v11 的来源  他的来源就在上面不远处  也就是 v9 +4的位置  ,再看v9 , 是v6 +32 得来的 ,那么就再往上看  v6 = a2   也就是  这个语音是参数传进来的。

那就继续跟上层函数

第二个参数 v215   = v330  这样看可能不太明显 ,转成汇编看

也就是说 语音也在 doAddMsg的上层  ,然后我就这样找啊找啊找  , 发现当这个xml消息过来的时候,最上面的分支 ,语音消息也就存在了 。所以当收到语音的时候 ,xml的消息会和语音消息一起发过来  ,接下来可以直接随便找一个点hook拿到这条语音消息。然后写出一个.silk,那么这条消息就可以直接拿到啦。。。。。

拿到的数据也就是它  2477的长度。


因为还在学习中,只能发这些小白贴了 。希望可以拿到我人生第一封精华。


[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

最后于 2020-11-4 19:26 被逃避不能对付一切编辑 ,原因:
收藏
免费 2
支持
分享
最新回复 (7)
雪    币: 914
活跃值: (2438)
能力值: ( LV5,RANK:68 )
在线值:
发帖
回帖
粉丝
2
你这精华有点难
2020-7-10 10:06
0
雪    币: 3176
活跃值: (1781)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
你这精华有点难
2020-7-10 10:26
0
雪    币: 96
活跃值: (225)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
MsScotch 你这精华有点难
我也觉得有点难,下回换个题材
2020-7-10 10:40
0
雪    币: 6524
活跃值: (4316)
能力值: ( LV10,RANK:163 )
在线值:
发帖
回帖
粉丝
5
以前发的特征码搜索一下就有了。
2020-7-10 10:49
0
雪    币: 20
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
6
有点难啊
2020-7-10 15:37
0
雪    币: 1624
活跃值: (1689)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
斗皇强者竟恐怖如斯
2020-7-10 15:42
0
雪    币: 96
活跃值: (225)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
yimingqpa 以前发的特征码搜索一下就有了。
大牛不能比呀,这样特征码我都找不到
2020-7-11 00:52
0
游客
登录 | 注册 方可回帖
返回
//