[原创]微信视频号视频加密逆向-逆向工程-看雪安全社区

# tl;dr

拿WxIsaac64(Isaac64的变种?)生成2^17个字节。然后和视频的前2^17字节做异或。

# 前言

略去, 总之就是WeChatVideoDownloader不能用了。

原文链接: <a href="elink@d2aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2S2P5h3&6S2K9$3g2&6j5g2)9J5k6h3y4G2L8g2)9J5c8X3q4J5N6r3W2U0L8r3g2K6i4K6u0r3j5%4c8X3i4K6u0r3N6$3g2U0K9r3q4@1i4K6u0V1N6X3W2V1k6h3!0Q4x3X3c8W2L8X3y4J5P5i4m8@1K9h3!0F1i4K6u0V1M7X3g2$3k6i4u0K6k6g2)9J5k6r3g2F1k6$3W2F1k6h3g2J5i4K6u0r3">here</a>

# 准备工作

在正式开始逆向之前，我们首先需要能够在微信视频号中打开开发者工具，由于微信默认肯定是不会启用的，所以我们要对微信的某个动态链接库进行小小的修改。

总之就是找到`xweb-enable-inspect`这个启动选项，修改branch指令，这个启动选项所在的分支变成永远执行就行了。

最后实现效果如图下

![](upload/attach/202312/967169_XY8E8PR23RKQ26N.webp)
# 逆向

## Javascript初步分析

首先随便打开一个视频，我们可以看到很多请求。其中带有`stodownload`的就是下载的视频文件，但这些视频链接下载下来的内容是加密的。

![](upload/attach/202312/967169_4QG7BTD5WW9APSD.webp)

先看一下加密前的视频文件头，我们可以明显发现，它的文件头格式并不正确。

```
aynakeya @ ThinkStation]:~/workspace/weixinshipin
01:59:21 $ xxd -l 32 v2.bin
00000000: 75a2 b80f 5db2 528b af76 c5f0 9407 a7e9  u...].R..v......
00000010: 4c31 99a8 60ef a5de c64e ce1e 3ab1 6e74  L1..`....N..:.nt
```

对比之下，一个正常的mp4文件的文件头应该如下所示：

```
00000000: 0000 0020 6674 7970 6973 6f6d 0000 0200  ... ftypisom....
00000010: 6973 6f6d 6973 6f32 6176 6331 6d70 3431  isomiso2avc1mp41
```

那么确认了文件被加密。那么我们要从哪里开始呢。因为解密必然是文件下载完成后才解密的。所以解密的函数或者过程很有可能就在文件下载完成后。

查看请求是从哪行代码发起的，我们可以追踪到`worker_release.js`中的`g.send()`

![](upload/attach/202312/967169_WCH7EM65C6Y86JX.webp)

这个时候，写过Javascript XMLRequest的人可能就很熟悉这个了，在完成所有callback设置之后，发送请求用的就是`.send()`，所以往上翻，我们可以找到如下的返回值处理。

![](upload/attach/202312/967169_94ZXWJF4ZSAJ9J6.webp)

这里我们可以发现解密函数就是函数M，参数分别为数据和startIndex(也就是文件的第几个byte)

函数M非常的简单易懂，把数据和decryptor_array进行异或即可。如果当前的startIdx大于decryptor_array的长度，则不进行异或，不改变原有数据。

![](upload/attach/202312/967169_2JP3R5VZH2JAD7V.webp)

如果我们在这个函数M的地方打个断点，我们可以发现这个`decryptor_array`的长度实际上是一个常量2^17 = 131072 (一直都是这个长度)

![](upload/attach/202312/967169_V45YR26JDJRWQVD.webp)

从这里我们可以推断出，`decryptor_array`的长度是有限的。

我们从`decryptor_array`的恒定长度可以推断出，视频加密只作用于文件的前131072字节。这样的加密策略似乎合理——如果需要对整个视频数据进行加密和解密，那么播放视频时消耗的资源可能会显著增加。

(虽然DRM好像就是全文加密的，我也不太了解就是了)

另外，我们还发现，对于同一视频，`decryptor_array`是一致的。不同的视频文件则对应不同的`decryptor_array`。这表明`decryptor_array`是通过某种特定的方法生成或获取的。

经过搜索，我们了解到`decryptor_array`的赋值仅在`wasm_isaac_generate`函数中进行。

![](upload/attach/202312/967169_8PTMUMJS32RR3FJ.webp)

而`wasm_isaac_generate`函数在代码中只被一个地方调用，即`wasm_video_decode.js`。

在`wasm_video_decode.js`中，`wasm_isaac_generate`作为一个汇编函数，可以在WebAssembly中通过`_emscripten_asm_const_int`接口被调用。

![](upload/attach/202312/967169_DR76TTR8HA6TAXU.webp)

![](upload/attach/202312/967169_UCDWNQKFR45QCTD.webp)

那么接下来，就要开始逆向可爱的的wasm了

## WebAssembly 进一步分析

下载`wasm_video_decode.wasm`后，我们使用<a href="elink@7e8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6i4k6h3u0m8M7%4y4W2L8h3u0D9P5g2)9J5c8Y4N6S2j5Y4b7`.">wabt</a>工具将其转换为`.o`文件，以便在反编译软件中进行分析。

```bash
./path/to/wasm2c wasm_video_decode.wasm -o wasm_video_decode.c
cp /path/to/wasm-rt-impl.c .
cp /path/to/wasm-rt-impl.h .
cp /path/to/wasm-rt.h .
gcc -c wasm_video_decode.c -o wasm_video_decode.o
```

完成这些步骤后，我们得到一个二进制文件`wasm_video_decode.o`。将此文件拖入反编译软件，搜索`_emscripten_asm_const_int`的调用。我们发现`wasm_isaac_generate`在函数`f378`处被调用。

![](upload/attach/202312/967169_UQF2BX7Y8JZW9WW.webp)

进一步通过断点和调用栈的检查，我们发现`worker_release.js`中的`decryptor.generate()`最终触发了`wasm_isaac_generate`的调用。

仔细分析揭示出decryptor也是WebAssembly环境中的一个对象，即`WxIsaac64`。

![](upload/attach/202312/967169_Z4XUMCWNRCS8RPG.webp)

经过研究，我们了解到Isaac64实际上是一个随机数生成算法。

![](upload/attach/202312/967169_C5SPKVQWM5ZXHUP.webp)

因此，我们可以合理推测：

1. decryptor使用视频对应的seed进行初始化。
2. JavaScript调用`decryptor.generate()`，指示wasm在其内存中生成2^17即131072个随机数。
3. wasm生成随机数后，通过`wasm_isaac_generate`将这些随机数写回JavaScript，赋值给`decryptor_array`。

现在，我们知道了`decryptor_array`的来源，接下来的问题是确定初始化Isaac64算法的seed的来源。

## Tracebackbackbackbackback

接下来就是不停的打断点，看call stack， 直到找到`seed`最早出现的地方就行了。

![](upload/attach/202312/967169_P4SQFZC6D9RXJAT.webp)

![](upload/attach/202312/967169_XKRVK44WHNU7RXZ.webp)

![](upload/attach/202312/967169_QN37DA2262UHDYB.webp)

简单来说呢就是顺序就是从`FinderGetCommentDetail(objectid)`->`objectDesc.media.decodeKey-`>`seed`。

## 注入WeixinJSBridge

那么`FinderGetCommentDetail`又是通过什么获取到信息的呢。继续追踪调用。可以发现`FinderGetCommentDetail`最后使用了`window.WeixinJSBridge.invoke`来获取数据。

![](upload/attach/202312/967169_RVNHKNXQACWMA63.webp)

`window.WeixinJSBridge` ？？？那接下來就要逆向微信的通信协议了。这边有点不想做。所以就没做。

立刻启动后备隐藏能源，发动注入模式

```javascript
(function () {
    function wrapper(name,origin) {
        console.log(`injecting ${name}`);
        return function() {
            let cmdName = arguments[0];
            console.log(`${name}("${cmdName}", ...) => args: `);
            console.log(arguments[1])
            if (arguments.length == 3) {
                let original_callback = arguments[2];
                arguments[2] = async function () {
                    console.log(`${name}("${cmdName}", ...) => callback result (length: ${arguments.length}):`);
                    if (arguments.length == 1) {
                        console.log(arguments[0]);
                    }else {
                        console.log(arguments);
                    }
                    return await original_callback.apply(this, arguments);
                }
            }
            let result = origin.apply(this,arguments);
            return result;
        }
    }
    window.WeixinJSBridge.invoke = wrapper("WeixinJSBridge.invoke",window.WeixinJSBridge.invoke);
})()
```

总之结果很好，获得了需要的所有数据

![](upload/attach/202312/967169_AQD274QZ9ZWAYR2.webp)

![](upload/attach/202312/967169_HN7UW2Q5T92NRN6.webp)

## 总结

1. 通过`FinderGetCommentDetail`获取到视频的`decode_key`(就是`seed`)，`url`，`title`等信息
2. 通过seed生成`decryptor_array`
3. 通过url下载加密后的视频文件，把视频的加密段数据和`decryptor_array`做异或运算即可。

# 如何实现一个视频下载器

总之为了让WechatVideoDownloader能够解密，我思考了以下的思路

由于获取`seed`需要逆向微信协议，我不想在逆向这个协议上花费太多时间。

既然WechatVideoDownloader已经使用代理获取视频地址，我们可以进一步使用中间人攻击来获取视频链接及对应的`decode_key`。

只需将注入`WeixinJSBridge.invoke`的代码插入到某个JS文件中，当微信客户端请求视频链接时，就把获取到的视频链接发送到本地服务器。

这样不仅解决了seed和链接的问题，连视频标题也能获取到。

最后，下载完视频后，通过seed生成解密序列并对视频进行解密。

最后的劫持代码
```
(function () {
    if (window.wvds !== undefined) {
        return
    }
    let receiver_url = "https://wechat.video.download";
    function send_response_if_is_video(response) {
        if (response == undefined) {
            return;
        }
        if (response["err_msg"] != "H5ExtTransfer:ok") {
            return;
        }
        let value = JSON.parse(response["jsapi_resp"]["resp_json"]);
        if (value["object"] == undefined || value["object"]["object_desc"] == undefined  || value["object"]["object_desc"]["media"].length == 0) {
            return
        }
        let media = value["object"]["object_desc"]["media"][0];
        let video_data = {
            "decode_key": media["decode_key"],
            "url": media["url"]+media["url_token"],
            "size": media["file_size"],
            "description":  value["object"]["object_desc"]["description"].trim(),
            "uploader": value["object"]["nickname"]
        }
        fetch(receiver_url, {
            method: 'POST',
            mode: 'no-cors',
            body: JSON.stringify(video_data),
        }).then((resp) => {
            console.log(`video data for ${video_data["description"]} sent`);
        });
    }
    function wrapper(name,origin) {
        console.log(`injecting ${name}`);
        return function() {
            let cmdName = arguments[0];
            if (arguments.length == 3) {
                let original_callback = arguments[2];
                arguments[2] = async function () {
                    if (arguments.length == 1) {
                        send_response_if_is_video(arguments[0]);
                    }
                    return await original_callback.apply(this, arguments);
                }
            }
            let result = origin.apply(this,arguments);
            return result;
        }
    }
    console.log(`------- Invoke WechatVideoDownloader Service ---------`);
    window.WeixinJSBridge.invoke = wrapper("WeixinJSBridge.invoke",window.WeixinJSBridge.invoke);
    window.wvds = true;
})()
```

proof of work
 ![](upload/attach/202312/967169_4GAHQURB27MUVGJ.webp)

# 写在后面

CHATGPT生成的。

# Relevant Links

1. 微信 v3.9.8.15
2. <a href="elink@a5bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2L8r3q4V1K9h3&6Q4x3X3g2%4P5s2q4U0L8r3!0#2k6q4)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3j5h3I4S2k6r3W2F1i4K6u0r3k6X3k6E0k6i4m8W2k6#2)9J5c8Y4k6A6k6r3g2G2i4K6u0V1k6r3g2U0L8$3c8W2i4K6u0r3x3g2)9J5k6e0u0Q4x3X3f1@1y4W2)9J5c8Y4N6S2M7$3#2Q4y4h3k6$3K9h3c8W2L8#2)9#2k6X3c8W2j5$3!0V1k6g2)9J5k6i4N6S2M7$3@1`.">wasm_video_decode.wasm v1.2.46</a>
3. <a href="elink@2b2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2L8r3q4V1K9h3&6Q4x3X3g2%4P5s2q4U0L8r3!0#2k6q4)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3j5h3I4S2k6r3W2F1i4K6u0r3k6X3k6E0k6i4m8W2k6#2)9J5c8Y4k6A6k6r3g2G2i4K6u0V1k6r3g2U0L8$3c8W2i4K6u0r3x3g2)9J5k6e0u0Q4x3X3f1@1y4W2)9J5c8Y4N6G2M7X3E0W2M7W2)9#2k6Y4u0W2L8r3g2S2M7$3g2Q4x3X3g2B7M7H3`.`.">worker_release.js v1.2.46</a>
4. <a href="elink@81fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2L8r3q4V1K9h3&6Q4x3X3g2%4P5s2q4U0L8r3!0#2k6q4)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3j5h3I4S2k6r3W2F1i4K6u0r3k6X3k6E0k6i4m8W2k6#2)9J5c8Y4k6A6k6r3g2G2i4K6u0V1k6r3g2U0L8$3c8W2i4K6u0r3x3g2)9J5k6e0u0Q4x3X3f1@1y4W2)9J5c8Y4N6S2M7$3#2Q4y4h3k6$3K9h3c8W2L8#2)9#2k6X3c8W2j5$3!0V1k6g2)9J5k6h3A6K6">wasm_video_decode.js v1.2.46</a>
5. <a href="elink@fc9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2L8r3q4V1K9h3&6Q4x3X3g2%4P5s2q4U0L8r3!0#2k6q4)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3j5h3I4S2k6r3W2F1i4K6u0r3k6X3k6E0k6i4m8W2k6#2)9J5c8Y4k6A6k6r3g2G2i4K6u0V1k6r3g2U0L8$3c8W2i4K6u0r3x3g2)9J5k6e0u0Q4x3X3f1@1y4W2)9J5c8Y4N6S2M7$3#2Q4y4h3k6$3K9h3c8W2L8#2)9#2k6X3c8W2j5$3!0V1k6g2)9#2k6X3k6S2L8r3I4T1j5h3y4C8i4K6u0W2K9Y4x3`.">wasm_video_decode_fallback.js v1.2.46</a>

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#调试逆向

最新回复 (22)
ydshk 雪币： 2935 活跃值： (1444) 能力值： ( LV2，RANK：15 ) 在线值：发帖 6 回帖 82 粉丝 1 关注私信	ydshk 2 楼 6 2023-12-2 13:49 1
秋狝雪币： 10080 活跃值： (34156) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 3 楼感谢分享 2023-12-2 20:57 2
UserXCh 雪币： 7138 活跃值： (6878) 能力值： ( LV3，RANK：30 ) 在线值：发帖 4 回帖 14 粉丝 5 关注私信	UserXCh 4 楼 xweb-enable-inspect怎么修改？直接修改文件会被还原吧？ 2023-12-3 00:35 1
xed 雪币： 64 活跃值： (750) 能力值： ( LV3，RANK：20 ) 在线值：发帖 17 回帖 221 粉丝 4 关注私信	xed 5 楼修改文件后导出替换wechatwin.dll或者启动注入修改 2023-12-4 14:19 1
胡家二少雪币： 137 活跃值： (1681) 能力值： ( LV3，RANK：20 ) 在线值：发帖 5 回帖 28 粉丝 40 关注私信	胡家二少 6 楼哪位巨佬给我解惑下xweb-enable-inspect这个修改对微信小游戏，小程序是否同样适用？ 2023-12-4 17:25 1
青眼白龙雪币： 7329 活跃值： (8238) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 152 粉丝 1 关注私信	青眼白龙 7 楼感谢分享 2023-12-4 18:59 0
UserXCh 雪币： 7138 活跃值： (6878) 能力值： ( LV3，RANK：30 ) 在线值：发帖 4 回帖 14 粉丝 5 关注私信	UserXCh 8 楼胡家二少哪位巨佬给我解惑下xweb-enable-inspect这个修改对微信小游戏，小程序是否同样适用？没有用，首先就不知道大佬咋改的，改了会被还原，会被封号。敬请查阅腾讯微信使用条款和隐私政策。 2023-12-4 19:01 1
我的小拇指啊雪币： 12744 活跃值： (13056) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 36 粉丝 1 关注私信	我的小拇指啊 9 楼小程序可以打开调试工具吗 2023-12-4 20:26 0
yuchen198 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	yuchen198 10 楼 666 2023-12-11 17:53 0
qmzyy 雪币： 203 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	qmzyy 11 楼其实只需要抓到包含正确token的直链即可 2023-12-12 22:56 0
Aynakeya 雪币： 1639 活跃值： (934) 能力值： ( LV5，RANK：70 ) 在线值：发帖 5 回帖 6 粉丝 62 关注私信	Aynakeya 1 12 楼 update: 实际上就是isaac64算法，一动没动过。 2023-12-13 20:01 1
natpacket 雪币： 32 活跃值： (897) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 1 关注私信	natpacket 13 楼 Aynakeya update: 实际上就是isaac64算法，一动没动过。搜了一个go的isaac64算法尝试了一下但是不一样真的是isaac64算法吗能给一个例子看看么谢谢 2023-12-29 14:21 0
KayaK-Z 雪币： 26 活跃值： (105) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	KayaK-Z 14 楼小程序是xdebug 2024-1-5 10:11 0
Python成长路雪币： 297 活跃值： (5161) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 53 粉丝 11 关注私信	Python成长路 15 楼是不是可以直接劫持decryptor_array的结果发送给客户端 2024-1-25 14:13 0
Python成长路雪币： 297 活跃值： (5161) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 53 粉丝 11 关注私信	Python成长路 16 楼执念成狂是不是可以直接劫持decryptor_array的结果发送给客户端测试了下确实可以，写了个下载工具，这是完整代码: c58K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6C8j5h3&6S2k6r3g2T1L8r3W2K6M7%4b7H3x3q4)9J5c8W2N6W2j5$3S2S2N6q4k6A6k6r3g2G2f1$3&6A6k6X3k6W2M7R3`.`. 2024-1-27 18:17 0
crackwiki 雪币： 982 活跃值： (3566) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 57 粉丝 6 关注私信	crackwiki 17 楼执念成狂测试了下确实可以，写了个下载工具，这是完整代码: 505K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6C8j5h3&6S2k6r3g2T1L8r3W2K6M7%4b7H3x3q4)9J5c8W2N6W2j5$3S2S2N6q4k6A6k6r3g2G2f1$3&6A6k6X3k6W2M7R3`.`. 十分感谢！正好工作中需要下载几个微信视频，用你的微信python库写了个根据工作群内容自动回复收到的工具。 2024-1-28 11:04 0
暴躁老铁匠雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	暴躁老铁匠 18 楼通过seed生成decryptor_array 如何做到? 感谢. 2024-4-13 12:07 0
跃迁雪币： 240 活跃值： (90) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	跃迁 19 楼 qmzyy 其实只需要抓到包含正确token的直链即可这个好像不行了只能抓下载链接然后直接解密视频 2024-5-18 21:03 0
mb_zmdwucmt 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_zmdwucmt 20 楼大佬一看就是逆向技术大佬能帮个忙不，有偿服务 2024-7-16 18:58 0
overlords 雪币： 190 活跃值： (106) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 31 粉丝 1 关注私信	overlords 21 楼跃迁这个好像不行了只能抓下载链接然后直接解密视频应该还是可以的，很多小程序提供的是直链 2024-11-27 00:24 0
coneco 雪币： 5151 活跃值： (4978) 能力值： ( LV10，RANK：171 ) 在线值：发帖 10 回帖 141 粉丝 88 关注私信	coneco 3 22 楼赞，感谢分享！ 2024-11-27 10:08 0
mb_pgmblfxz 雪币： 226 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_pgmblfxz 23 楼 update: 实际上就是isaac64算法，一动没动过。 2026-7-19 17:24 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复