[原创]使用pysqlcipher3操作Windows微信数据库-逆向工程-看雪安全社区

## 写在前面
之前写过一系列微信数据库的文章，包括找句柄、获取数据库密钥、调用`sqlite3_exec`查询、备份、解密等。但是一直不知道怎么直接操作加密的库，近来发现腾讯开源了<a href="elink@9c5K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6f1k6h3&6U0k6h3&6@1i4K6u0r3N6$3y4V1j5R3`.`.">WCDB</a>，几个平台的微信数据库都是以这个作为底层，Windows微信也不例外，遂拉代码，编译，记录下打开数据库后执行的一系列`PRAGMA`命令，再使用普通的`sqlcipher`执行相似操作，也可以打开。
## 编译WCDB
### 前置操作
1、拉取<a href="elink@2a8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6f1k6h3&6U0k6h3&6@1i4K6u0r3N6$3y4V1j5R3`.`.">WCDB</a>
2、在WCDB目录下拉取<a href="elink@f27K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6f1k6h3&6U0k6h3&6@1i4K6u0r3M7%4q4D9j5$3W2H3K9r3g2J5">sqlcipher</a>并检出`035036eb02f68c2978ae18693427cd0f786df93e`分支
3、在WCDB目录下拉取<a href="elink@0edK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6X3j5h3y4W2j5X3!0G2K9#2)9J5c8Y4A6K6N6r3b7`.">zstd</a>并检出`69036dffe50f385bd3b7b187e3fd230f4b2ef97e`分支
4、安装cmake
5、安装Visual Studio（我使用的是VS2022）
注：因为在WCDB中已经提供了`openssl`的二进制文件，所以这里不需要拉取源码
### 构建解决方案
 ![](upload/attach/202404/993075_XBDUEEZF6BBVSU3.webp)
然后打开解决方案，平台配置选择`Release`，然后右键`ALL_BUILD`，构建完成后可以在`build\Relese`中找到生成的`WCDB.dll`、`WCDB.lib`和其他静态库。
## 使用WCDB打开微信数据库
以下是一个小demo，可以把上一步操作中生成的`WCDB`项目中的附加包含目录拷贝到自己的项目中，这样就不会缺头文件，然后还需要链接`WCDB.lib`。
吐槽一下，本来我是打算写个sql查询的，无奈文档实在是一坨，搞不明白为什么execute的入参为什么要一个Statement，而且还难以构造，应该是我太菜了，无奈写了个`tableExists`。
```cpp
#include<iostream>
#include<string>
#include<WCDBCpp.h>

static std::string bytesFromHex(const std::string& _Src) {
	std::string _Out;
	for (unsigned int i = 0; i < _Src.length(); i += 2) {
		_Out.push_back(std::stoi(_Src.substr(i, 2), 0, 16));
	}
	return _Out;
}

int main() {
	int rc = 0;
    // 这个key是微信服务器下发的，请想办法获取自己的key
	std::string szDbKey = "0C1ADFFBE53345BAA59C748B7660EAC8542AD78C64FC422F9B278E5336EE3EB0";
	std::string binDbKey = bytesFromHex(szDbKey);
	WCDB::UnsafeData usDbKey((unsigned char*)binDbKey.data(), binDbKey.size());
	std::string szDbPath = R"(D:\CPLUSPLUS\wcdb_test\MicroMsg.db)";
	WCDB::Database database(szDbPath);
    // pc端使用的pagesize是4096字节
	database.setCipherKey(usDbKey, 4096, WCDB::Database::Version3);
	if (!database.canOpen() || !database.isOpened())
		goto wrapup;
	std::cout << database.tableExists("Contact").value() << std::endl; 
wrapup:
	database.close();
	return 0;
}
```
### PRAGMA命令
之后我在所有的PRAGMA字符串打了断点，发现调用顺序大致如下：
1、`PRAGMA wal_autocheckpoint = 0`;
2、`PRAGMA checkpoint_fullfsync = true`;
3、`PRAGMA temp_store = 1;`
4、`PRAGMA journal_mode = "WAL";`
5、`database.setCipherKey`
6、`PRAGMA cipher_compatibility = 3;`
7、`PRAGMA cipher_page_size = 4096;`
有以下几处需要注意：
1、第四步会出现错误信息，因为此时还无法操作数据库。
2、第五步可以使用腾讯提供的`sqlcipher`中的`sqlite3_key_v2`函数代替，使用同样的key。原生`sqlcipher`暂不知是否有效。
3、第五步可以用`PRAGMA key = "x'...'";`，但是不能直接使用`setCipherKey`函数所使用的key，需要经过一些转换，这个后面会提及。
## 使用sqlcipher打开微信数据库
这里使用的`sqlcipher`是编译`WCDB`时生成的静态库，如果要做尝试，您还需要配置`openssl`。以下是一个demo：
```cpp
// 需要在预处理器中添加下面两个宏
// SQLITE_WCDB
// SQLITE_HAS_CODEC
#include<iostream>
#include<string>
#include<sqlcipher/sqlite3.h>
#include<sqlcipher/sqlite3_wcdb.h>

static int callback(void* notUsed, int argc, char** argv, char** azColName)
{
	for (int i = 0; i < argc; i++)
		std::cout << azColName[i] << ":" << (argv[i] ? argv[i] : "NULL") << "\t";
	std::cout << std::endl;
	return 0;
}

int main() {
	int rc = 0;
	std::string szDbKey = "0C1ADFFBE53345BAA59C748B7660EAC8542AD78C64FC422F9B278E5336EE3EB0";
	std::string binDbKey = bytesFromHex(szDbKey);
	std::string szDbPath = R"(D:\CPLUSPLUS\wcdb_test\MicroMsg.db)";
	sqlite3* db = nullptr;
	char* errmsg = nullptr;
	char* zKey = nullptr;
	int nKey = 0;
	int index = 0;
	rc = sqlite3_open_v2(szDbPath.c_str(), &db, SQLITE_OPEN_READWRITE | SQLITE_OPEN_CREATE | SQLITE_OPEN_MAINDB_READONLY, 0);
	if (rc != SQLITE_OK) {
		std::cout << "打开或创建数据库失败" << std::endl;
		goto wrapup;
	}
	rc = sqlite3_exec(db, R"(PRAGMA wal_autocheckpoint = 0;)", nullptr, nullptr, &errmsg);
	std::cout << rc << std::endl;
	rc = sqlite3_exec(db, R"(PRAGMA checkpoint_fullfsync = true;)", nullptr, nullptr, &errmsg);
	std::cout << rc << std::endl;
	rc = sqlite3_exec(db, R"(PRAGMA temp_store = 1;)", nullptr, nullptr, &errmsg);
	std::cout << rc << std::endl;
    // sqlite3_key和sqlite3_key_v2都有效
	rc = sqlite3_key(db, binDbKey.c_str(), (int)binDbKey.size());
	std::cout << rc << std::endl;

rc = sqlite3_exec(db, R"(PRAGMA cipher_compatibility = 3;)", nullptr, nullptr, &errmsg);
	std::cout << rc << std::endl;
	rc = sqlite3_exec(db, R"(PRAGMA cipher_page_size = 4096;)", nullptr, nullptr, &errmsg);
	std::cout << rc << std::endl;
    // 因为我知道这一步在前面会出错所以放到后面了
	rc = sqlite3_exec(db, R"(PRAGMA journal_mode = "WAL";)", nullptr, nullptr, &errmsg);
	std::cout << rc << std::endl;
    // 这一步的`binary`我随便写的，不知道该写什么
	index = sqlcipher_find_db_index(db, "binary");
    // 这里的index只要是0就会有返回
	sqlite3CodecGetKey(db, index, (void**)&zKey, &nKey);
	rc = sqlite3_exec(db, "SELECT COUNT(*) FROM Contact;", callback, NULL, &errmsg);
	if (rc != SQLITE_OK) {
		std::cout << "SQL语句执行时发生错误: " << errmsg << std::endl;
		goto wrapup;
	}
wrapup:
	rc = sqlite3_close(db);
	std::cout << rc << std::endl;
	return 0;
}
```
大家可以注意到在demo中使用了一个`sqlite3CodecGetKey`函数，这个函数，我开始以为它会返回设置的密钥，但是却得到了一个长度为96的hex字符串，这里就很迷惑了，在迷惑的时候我尝试把那个字符串作为key并使用`PRAGMA`命令输入，发现可以成功打开数据库，接下来就是找到key的生成，并验证普通的`sqlcipher`能否使用上述流程打开数据库。
## Key的生成
这一步就简单说下思路吧，很久之前网上就有某大佬写的离线解密数据库的博客，这里面其实就有计算Key的过程。
1、读取数据库文件前16字节
2、使用hkdf对原始密钥扩展64000次，salt是第一步读取的内容，扩展后的密钥的进行hex得到Key前64位
3、第二步得到的Key和hex后的salt拼接起来，就是该数据库的访问密钥
也难怪那些Sqlcipher查看工具无法打开Windows微信数据库，因为每个数据库本质上有不同的Key。
## 使用pysqlcipher3打开微信数据库
### 编译pysqlcipher3
此处略过，可以参考网上的指南，但介绍踩过的两个坑。
1、执行`python setup.py build_amalgamation`报错，可以修改`setup.py`中的`quote_argument`函数，实际上是宏定义的问题。
```python
def quote_argument(arg):
    # quote = '"' if sys.platform != 'win32' else '\\"'
    quote = '"' if sys.platform != 'win32' else '"'
    return quote + arg + quote
```
2、`from pysqlcipher3 import dbapi2`报错`_sqlite3`找不到指定的模块，解决方案是拷贝`libcrypto-1_1-x64.dll`到`pysqlcipher3`安装目录。
### 打开数据库
这里还是提供一个demo，相信大家一看就能懂。
```python
import hashlib
from pysqlcipher3 import dbapi2 as sqlite3

KEY_SIZE = 32
SALT_SIZE = 16
DEFAULT_PAGESIZE = 4096
DEFAULT_ITER = 64000

def make_cipher_key(db_path, password):
    f = open(db_path, "rb")
    mac_salt = f.read(SALT_SIZE)
    f.close()
    rawKey = bytes.fromhex(password)
    mac_key = hashlib.pbkdf2_hmac('sha1', rawKey, mac_salt, DEFAULT_ITER, KEY_SIZE)
    return (mac_key + mac_salt).hex()
    
def open_wcdb(db_path, password):
    # 扩展出真实的密钥
    realKey = make_cipher_key(db_path, password)
    _db = sqlite3.connect(db_path)
    _db.execute("PRAGMA wal_autocheckpoint = 0;")
    _db.execute("PRAGMA checkpoint_fullfsync = true;")
    _db.execute("PRAGMA temp_store = 1;")
    _db.execute("PRAGMA key = \"x'{}'\";".format(realKey))
    # 这两步操作必须在set database key之后
    _db.execute("PRAGMA cipher_compatibility = 3;")
    _db.execute("PRAGMA cipher_page_size = 4096;")
    _db.execute("PRAGMA journal_mode = \"WAL\";")
    return _db

if __name__ == "__main__":
    file_path = r"D:\MicroMsg.db"
    # 这个是微信服务器下发的key
    key = "0C1ADFFBE53345BAA59C748B7660EAC8542AD78C64FC422F9B278E5336EE3EB0"
    db = open_wcdb(file_path, key)
    result = db.execute("SELECT userName FROM Contact limit 100;").fetchall()
    print(result)
    
```
## 使用第三方数据库查看工具打开
工具是`DB Browser for SQLCipher`。
用真实的Key(选择rawKey，前两个字符必须是`0x`)+自定义配置(`4096+64000+SHA1+SHA1`)，也可以成功打开。
## 写在后面
本文章中所有内容仅供学习交流使用，不用于其他任何目的，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关！
若有侵权，请联系我立即删除。
## PC微信4.0
变化不大，主要是sqlcipher版本的变化。
```python
import hashlib
from pysqlcipher3 import dbapi2 as sqlite3

KEY_SIZE = 32
SALT_SIZE = 16
DEFAULT_PAGESIZE = 4096
# 迭代次数变更为256000
DEFAULT_ITER = 256000

def make_cipher_key(db_path, password):
    f = open(db_path, "rb")
    mac_salt = f.read(SALT_SIZE)
    f.close()
    rawKey = bytes.fromhex(password)
    # 密钥扩展算法变更为sha512
    mac_key = hashlib.pbkdf2_hmac('sha512', rawKey, mac_salt, DEFAULT_ITER, KEY_SIZE)
    return (mac_key + mac_salt).hex()
    
def open_wcdb(db_path, password):
    # 扩展出真实的密钥
    realKey = make_cipher_key(db_path, password)
    _db = sqlite3.connect(db_path)
    _db.execute("PRAGMA wal_autocheckpoint = 0;")
    _db.execute("PRAGMA checkpoint_fullfsync = true;")
    _db.execute("PRAGMA temp_store = 1;")
    _db.execute("PRAGMA key = \"x'{}'\";".format(realKey))
    # 这两步操作必须在set database key之后
    _db.execute("PRAGMA cipher_compatibility = 4;") # sqlcipher版本变化为4
    _db.execute("PRAGMA cipher_page_size = {};".format(DEFAULT_PAGESIZE))
    _db.execute("PRAGMA journal_mode = \"WAL\";")
    return _db

if __name__ == "__main__":
    file_path = r"D:\contact.db"
    # 这个是微信服务器下发的key
    key = "0C1ADFFBE53345BAA59C748B7660EAC8542AD78C64FC422F9B278E5336EE3EB0"
    db = open_wcdb(file_path, key)
   
```
`DB Browser for SQLCipher`使用sqlcipher4默认配置即可。

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-1-7 09:23 被ljc545w编辑，原因：支持Windows微信4.0

#软件保护

最新回复 (12)
ljc545w 雪币： 212 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 18 关注私信	ljc545w 2 楼创作不易，希望版主大大给个优秀好让我转正呀 2024-4-26 13:54 1
mb_gwefxcvo 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_gwefxcvo 3 楼楼主有没有试过修改数据库内的聊天内容再塞回微信？我之前对着解密过程用python写了个重新加密的代码，并在解密后的数据库中修改聊天记录并重新加密塞回去，但微信识别出了这个数据库文件有问题，直接将原来的文件加后缀改名，如“MSG0.db_SQLITE_NOTADB1716651089868”，然后重新上网拉一份聊天记录回来。不知道楼主这方法能不能改成功？ 2024-6-16 21:38 1
ljc545w 雪币： 212 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 18 关注私信	ljc545w 4 楼 mb_gwefxcvo 楼主有没有试过修改数据库内的聊天内容再塞回微信？我之前对着解密过程用python写了个重新加密的代码，并在解密后的数据库中修改聊天记录并重新加密塞回去，但微信识别出了这个数据库文件有问题，直接将原 ... 修改过，没有问题的，切换一下聊天界面就生效。 2024-8-1 15:49 0
mb_hzfcelhs 雪币： 1847 活跃值： (3438) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 44 粉丝 1 关注私信	mb_hzfcelhs 5 楼有遇到过这个问题嘛我在这里编译不过去 2024-9-2 19:14 0
point2019 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	point2019 6 楼 “Database Viewer For Sqlite”，作者可以发一下这个软件的截图么？网上到处也搜不到这个软件，排前面的只有本文本身提到了这个软件。 2024-10-11 18:36 0
mb_ikwqpnpl 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_ikwqpnpl 7 楼楼主，可以指导一下怎么写回去吗？可付费咨询 2024-12-25 21:48 0
仙子雪币： 729 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	仙子 8 楼请问楼主。3.9.x 成功。然后微信4.0.x 用同样的方法提示错误 Traceback (most recent call last): File "C:\Users\swing\Desktop\sql.py", line 36, in <module> db = open_wcdb(file_path, key) File "C:\Users\swing\Desktop\sql.py", line 28, in open_wcdb _db.execute("PRAGMA journal_mode = \"WAL\";") pysqlcipher3.dbapi2.DatabaseError: file is not a database 有解决办法吗? 2024-12-30 14:34 0
ljc545w 雪币： 212 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 18 关注私信	ljc545w 9 楼 point2019 “Database Viewer For Sqlite”，作者可以发一下这个软件的截图么？网上到处也搜不到这个软件，排前面的只有本文本身提到了这个软件。软件名之前写错了一点，现在改正了。 2025-1-7 09:24 0
ljc545w 雪币： 212 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 18 关注私信	ljc545w 10 楼 mb_ikwqpnpl 楼主，可以指导一下怎么写回去吗？可付费咨询就用sql来update然后commit。 2025-1-7 09:24 0
ljc545w 雪币： 212 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 18 关注私信	ljc545w 11 楼仙子请问楼主。3.9.x 成功。然后微信4.0.x 用同样的方法提示错误 Traceback (most recent call last): File "C:\Users\swin ... 已经更新了，注意密钥要重新获取。 2025-1-7 09:25 0
我要修仙雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	我要修仙 12 楼佬，有偿咨询一个获取问题，加企鹅可以不3668和3173 2026-1-17 21:00 0
mb_avxhfbwd 雪币： 327 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 7 粉丝 0 关注私信	mb_avxhfbwd 13 楼大佬，不知道怎么联系你啊。安卓端微信求助，不白忙活 2026-3-13 16:16 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复