众所周知的，微信PC版存放聊天记录等数据采用的是sqlite3去存放的，实现功能的核心dll是wechatwin.dll。所以帮wechat数据库解密需要两步，第一步是找到key，第二步是代码还原。

在目前版本wechat 3.7.0版本再去通过搜寻“encryptDB %s DBKey can’t be nul”上下文来寻找pkey的方法已经失效，,既然如此，把思路打开，sqlite3在使用加密数据库的时候必定先解密，解密必然会调用sqlite3_key函数去解密。
函数原型为：

直接wechatwin.dll 扒出来，扔到ida去看看。 找到关键字 cipher_version 和 4.2.0 ，看来用wechat用的是sqlcipher 4.2.0 ，直接上github.com/sqlcipher/sqlcipher 找到4.2.0版本，编译出来。
有了符号，我们可以通过对照找到sqlit3_key()函数，在wechatwein.dll 3.7.0版本中，并没有sqlite3_key()函数，应该是编译器优化掉了，通过阅读源码可知，sqlite3_key_v2()调用了sqlcipher_find_db_index 和 sqlite3CodecAttach函数。 sqlite3_key_v2函数原型为：

到这里已经大概清楚，pkey是解密数据库的密钥，一种做法是直接hook函数sqlite3CodecAttach，通过hook的方式获取key（什么？不知道wechatwin.dll的sqlite3CodeAttach函数在哪里？方法很多种，我用的是目测对比法。），另一种方法是直接还原他的算法，很不幸的是3.7.0版本的核心算法是vm掉的，本菜鸡找到一个2.9.0版本的wechatwin.dll 关键函数也是vm掉的。所以还原算法就先需要还原VM掉的代码。难度太大了，（我这种小菜鸡做不来。有大佬会的教教我）。

通过资料得知sqlite3_rekey()可以解密函数，但是万万没想到的是这里面有个大坑，sqlcipher的sqlite3_rekey()因为文档在低版本标注出错了，导致我想了好长时间，扒开源码才发现sqlite3_rekey()在参数pkey和nkey == NULL的时候直接返回错误。
附3.4.2文档错误注释：

4.2.0版本注释

很明显 社区版的明确告知 没有实现通过sqlite3_rekey()来解密数据库。应该使用sqlcipher_export() 来解密。
既然这样，不如使用一下tx的传统艺能，复制粘贴。扒下微信的操作，直接上od看看微信是怎么操作数据库的。
先通过符号 对照找到wechatwin.dll中 sqlite3_exec()这个函数，函数原型为：

把参数记录下来，找到 一下几条关键数据库语句操作
PRAGMA cipher_compatibility = 3
PRAGMA cipher_page_size = 4096
PRAGMA synchronous=NORMAL
SELECT name, rootpage, sql FROM \"main\".sqlite_master ORDER BY rowid
PRAGMA auto_vacuum=0
PRAGMA journal_mode = WAL
然后外加好多回调函数，不过大多数也是vm掉的回调，脑子疼。
附：（想问这些语句是什么意思的可以具参考一下 https://www.zetetic.net/sqlcipher/sqlcipher-api/文档介绍。）
额，很显然，没有找到任何线索。
不过参考sqlcipher文档，可以清晰的知道如何解密数据库的，我还是直接复制粘贴了

关键是使用SELECT sqlcipher_export('plaintext');来重新生成一个未加密的数据库
直接上代码

然后在 当前路径下会生成一个解密后的数据库。 直接使用数据库连接工具打开即可。
注：垃圾佬的日常垃圾分析。没有任何技术含量的分析。有不对的地方请告知。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！