[原创]2025企业微信4.1.36.6011调试Duilib获取界面XML-逆向工程-看雪安全社区

起因: 最近公司某个项目 需要根据用户在群里的聊天 处理OA工单状态 所以需要获取聊天数据 然后老板又不想花钱买聊天存档 所以只能让技术部做一个可以拦截企业微信聊天内容的插件 第一步 当然是解决登录问题 那就是获取登录二维码

然后我一个Java开发 开始学习逆向了 网上大部分都是 微信相关的教程 企业微信的很少 看到大佬的一篇文章[[原创]Dump微信PC端的界面Duilib文件](https://bbs.kanxue.com/thread-259443.htm) 就尝试在企业微信里面拦截试试

怎么学习 怎么踩坑的 暂时没时间写了 先直接上主要流程吧

> 企业微信的 duilib 是直接单独一个 dll 不是像微信一样打包在 WeChatWin.dll 里面的
> 企业微信的 XML 是存在 WxWorkResources.dll 里面的

# 1. 首次尝试
打开 企业微信 用 x32dbg 附加上 根据大佬的文章 找到微信修改过的 Duilib 代码
<a href="elink@c3dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6f1k6h3&6U0k6h3&6@1b7$3I4G2N6h3c8Q4x3V1k6f1d9f1#2e0c8p5E0Q4x3V1k6T1L8r3!0T1i4K6u0r3L8h3q4K6N6r3g2J5i4K6u0r3g2$3W2F1k6r3!0%4M7#2)9J5c8V1c8W2L8h3!0Q4x3V1k6n7j5i4y4A6j5#2)9J5c8X3c8#2K9h3I4A6j5W2)9J5c8W2g2@1K9h3I4K6i4K6u0r3g2$3W2F1d9h3#2H3L8p5u0S2M7$3g2Q4x3X3g2U0M7s2m8Q4x3U0y4x3x3K6x3$3i4K6u0V1e0o6x3#2y4H3`.`.">Utils/WinImplBase.cpp</a>
```c++
        CControlUI* pRoot = NULL;
        if (GetResourceType() == UILIB_RESOURCE)
        {
            STRINGorID xml(_ttoi(GetSkinFile().GetData()));
            pRoot = builder.Create(xml, _T("xml"), this, &m_pm);
        }
        else {
            pRoot = builder.Create(GetSkinFile().GetData(), (UINT)0, this, &m_pm);
        }
        ASSERT(pRoot);
        if (pRoot == NULL)
        {
            MessageBox(NULL, _T("加载资源文件失败"), _T("Duilib"), MB_OK | MB_ICONERROR);
            ExitProcess(1);
            return 0;
        }
        m_pm.AttachDialog(pRoot);
        // 添加Notify事件接口
        m_pm.AddNotifier(this);
```

回到 x32dbg 找到 duilib.dll 模块 然后在当前模块搜索字符串
![图片描述](upload/attach/202504/1029877_86EG55DU5ZE9Z2X.webp)
右键 转到反汇编
![图片描述](upload/attach/202504/1029877_9PTVYPQ3GREBQT4.webp)
可以看到 这里反汇编的代码 和 Github 上面的代码并不是一致的 但是大致逻辑差不多
往上几行反汇编代码 可以看到
```c++
<duilib.public: class DuiLib::CControlUI * __thiscall DuiLib::CDialogBuilder::Create(class DuiLib::IDialogBuilderCallback *, class DuiLib::CPaintManagerUI *, class DuiLib::CControlUI *)>
```
由于连C++都没怎么写过 所以只能根据 Java 的经验猜测 这是一个 类的方法
看到上面有一行 `lea ecx,dword ptr ss:[ebp-1A8]` 尝试在这里下了断点(老手应该看出来 这个是 this 指针(应该) 但是刚开始我反汇编都没咋学过 所以不知道)
下了断点之后重新启动一下微信

运行之后 在断点处停下来了 然后 F7 执行一下 lea 指令
![图片描述](upload/attach/202504/1029877_RJTN62YV969Y7KB.webp)
可以看到 ECX 是一个地址 然后跳到这个地址
然后用 看到有 xml 我就尝试换了一个编码加载 最后 UTF-16 可以加载出来
选中数据 `Ctrl+E` 切换到字符串界面
![图片描述](upload/attach/202504/1029877_63WW2H8Z44TTH2Y.webp)
然后我尝试复制内容出来 结果 出现问题了 怎么都没办法复制内容出来
一开始我还以为是远程桌面的问题 后来发现 如果我只是选择中间几个单词 可以复制
大概这样子 蓝色是我复制的内容 记事本是我黏贴的内容
![图片描述](upload/attach/202504/1029877_5WSZ2N2ZAXS5U43.webp)
然后在这里卡了很久 因为有别的工作要做 所以暂时摆烂了

# 2. 学习汇编基础 学习C++基础 再次尝试
之后每天晚上到家 我就开始去B站看汇编和C++的基础教程 大概花了一周左右 期间也是一直卡在这里
偶然间还发现了这个[看雪知识库](https://www.kanxue.com/chm.htm?id=6746&pid=node1000124)
把可能用到的知识都看了看 然后我们回到上次那个位置 根据这几天学习的内容
我大概知道了 ecx 可能是一个 对象的 this 指针
那么上面应该有创建对象的相关内容 或者加载这个对象的内容
![图片描述](upload/attach/202504/1029877_B989TU2678DHMSA.webp)
然后就发现了一个 XML 的文件名称 `login\wechat_login.xml`
往下几行看到了一个 感觉应该是 CDialogBuilder 的构造函数
```c++
<duilib.public: __thiscall DuiLib::CDialogBuilder::CDialogBuilder(wchar_t const *, int)>
```
![图片描述](upload/attach/202504/1029877_H98PW4X8BAVJFQ8.webp)
高亮了一下 ecx 感觉应该是同一个对象
于是就在这里打了断点 然后进入调试
![图片描述](upload/attach/202504/1029877_74JAVPD9UNBNM3A.webp)
里面发了一个疑似加载XML的方法
```c++
<duilib.private: bool __thiscall DuiLib::CDialogBuilder::Load(void)>
```
执行到这里之后看了看堆栈和寄存器 发现就一个名称没有其他的数据 于是 F7 进入这个方法
![图片描述](upload/attach/202504/1029877_S94URDBF7CVYH9U.webp)
根据反汇编的代码 看到一个 LoadContent 应该是加载XML的 下断点
```c++
<duilib.private: bool __thiscall DuiLib::CDialogBuilder::LoadContent(class std::basic_string<wchar_t, struct std::char_traits<wchar_t>, class std::allocator<wchar_t>> const &)>
```
执行到断点之后 发现在右侧 有 XML 内容 地址是 `0019ED08`
![图片描述](upload/attach/202504/1029877_96829RJXM4ND4FZ.webp)

# 3. 获取内存中的 XML 数据
对比了一下地址 发现就是 EAX 存的指针
在 x64dbg 命令那边 执行一下 `log {utf16@[eax]}`
![图片描述](upload/attach/202504/1029877_832AMRMZ7X3YTEG.webp)
感觉是读取出来了 切换到日志页面看看
![图片描述](upload/attach/202504/1029877_522BBE3U6QMVUWB.webp)
看起来像是正常的 XML 内容
右键 EAX 寄存器 跳转到内存窗口 
![图片描述](upload/attach/202504/1029877_JHP5Z7PSPDA8N4E.webp)
然后在内存窗口 把内存窗口2转到这个地址
![图片描述](upload/attach/202504/1029877_PKWJ9XKP55Z2UUP.webp)
切换展示格式 文本->代码页 选择 UTF16
![图片描述](upload/attach/202504/1029877_WPKV2HNMN9G79JY.webp)
然后选择XML的内容 右键 二进制编辑->编辑
![图片描述](upload/attach/202504/1029877_996THV335GQSUEY.webp)
这个时候 发现这里的内容可以正常被复制出来了
![图片描述](upload/attach/202504/1029877_RPJUKUYFHVC8D7V.webp)

# 4. 获取登录界面相关的 XML
经过上面的折腾 断点处拦截手动获取 XML 没问题了
但是会发现 刚启动的时候加载了很多 `style/****.xml` 的样式文件
这些文件不需要 所以 利用 x64dbg 的条件断点功能
往上几行 在call 了字符串处理的函数后 下条件断点 `strstr(utf16([esp+4]),"login")`
![图片描述](upload/attach/202504/1029877_4WXNZXFTEV6BA3Y.webp)
然后重复3里面的步骤 就可以手动把登录界面的XML都保存下来了(技术有限 还没学会怎么用代码拦截保存 希望大佬们可以指导一下)
![图片描述](upload/attach/202504/1029877_WDC5X95YJNM4AB9.webp)

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-4-14 13:21 被MiaoWoo编辑，原因：

#调试逆向

最新回复 (51) 1 2 3 ▶
mb_yoozcmhk 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	mb_yoozcmhk 2 楼感谢你的积极参与，期待更多精彩内容！ 2025-4-22 13:58 1
ThreadEx 雪币： 244 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 48 粉丝 0 关注私信	ThreadEx 3 楼 m 2025-4-24 16:54 0
KingSelyF 雪币： 1292 活跃值： (6348) 能力值： ( LV6，RANK：81 ) 在线值：发帖 11 回帖 291 粉丝 48 关注私信	KingSelyF 1 4 楼牛批 2025-4-30 14:32 0
xuzhenshan 雪币： 67 活跃值： (2391) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 65 粉丝 0 关注私信	xuzhenshan 5 楼谢谢分享 2025-5-4 16:49 0
mb_slbcpklw 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	mb_slbcpklw 6 楼谢谢分享 2025-5-4 17:33 0
Abelly 雪币： 388 活跃值： (2750) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 30 粉丝 2 关注私信	Abelly 7 楼谢谢分享 2025-5-8 18:49 0
易始雪币： 173 活跃值： (1713) 能力值： ( LV6，RANK：80 ) 在线值：发帖 14 回帖 72 粉丝 2 关注私信	易始 1 8 楼 1 2025-5-13 10:16 0
zxdpxl 雪币： 9 活跃值： (1450) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 49 粉丝 0 关注私信	zxdpxl 9 楼围观中 2025-5-13 13:31 0
mb_mvfmwfkm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_mvfmwfkm 10 楼 1 2025-5-13 20:34 0
zzg令狐雪币： 217 活跃值： (2082) 能力值： ( LV3，RANK：25 ) 在线值：发帖 4 回帖 51 粉丝 18 关注私信	zzg令狐 11 楼最近都在搞企微逆向了吗？我也搞了些功能 2025-5-15 11:30 0
揰掵佲雪币： 5068 活跃值： (3716) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 79 粉丝 6 关注私信	揰掵佲 12 楼学习了 2025-6-5 19:32 0
漂流的鱼雪币： 135 活跃值： (2980) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 59 粉丝 0 关注私信	漂流的鱼 13 楼学习 2025-6-5 19:36 0
Capdo 雪币： 268 活跃值： (513) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 27 粉丝 1 关注私信	Capdo 14 楼学习了 2025-6-7 14:13 0
加法器雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	加法器 15 楼好的 2025-6-10 18:43 0
wanttobeno 雪币： 6355 活跃值： (3435) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 217 粉丝 3 关注私信	wanttobeno 16 楼感谢分享！ 2025-6-11 09:58 0
lylxd 雪币： 7079 活跃值： (5192) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 257 粉丝 1 关注私信	lylxd 17 楼感谢分享！ 2025-6-11 11:25 0
WinDEI 雪币： 0 活跃值： (586) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 21 粉丝 0 关注私信	WinDEI 18 楼感谢分享 2025-6-11 12:04 0
大众雪币： 9025 活跃值： (4805) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 33 粉丝 1 关注私信	大众 19 楼感谢分享 2025-6-11 14:27 0
mb_pbowocpw 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_pbowocpw 20 楼感谢分享 2025-6-11 15:55 0
wx_陌尘雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	wx_陌尘 21 楼感谢 2025-6-13 01:20 0
fangliangz 雪币： 5717 活跃值： (4104) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 112 粉丝 1 关注私信	fangliangz 22 楼 666 2025-6-13 09:54 0
边缘雪币： 3923 活跃值： (3979) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 55 粉丝 1 关注私信	边缘 23 楼 666 2025-6-29 13:37 0
zx_1042466 雪币： 31 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 7 粉丝 0 关注私信	zx_1042466 24 楼感谢分享 2025-7-2 09:56 0
mb_jspojcnf 雪币： 269 活跃值： (100) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_jspojcnf 25 楼学习一下 2025-7-15 15:45 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复