[原创]2025企业微信4.1.36.6011使用内联汇编导出所有的界面XML文件-逆向工程-看雪安全社区

之前[[原创]2025企业微信4.1.36.6011调试Duilib获取界面XML](https://bbs.kanxue.com/thread-286450.htm)实现了在调试器里面获取 XML
但是很不方便 毕竟企业微信的文件太多了 一个一个手动处理不现实
经过几天的学习 学会了用 `inline hook(内联汇编)` 修改指令 直接内容到文件里

# 1. 找到加载 `XML` 的地方
按照上次文章的方法 找到 `CDialogBuilder::LoadContent` 方法所在的地方
![图片描述](upload/attach/202504/1029877_BE3F4CPZ7YFXNBC.webp)
往上几行 有一个 `LoadXml` 方法 入参是文件名称 出参是文件内容
正好都是我们要的数据 我们可以替换这个指令

# 2. 替换指令 跳转到自定义逻辑
这里贴一下原始的字节码 我们需要修改的就是 `E8 F724F8FF` 这个 `call <duilib.public` 指令
```
70027863 | 50                       | push eax
70027864 | E8 F724F8FF              | call <duilib.public: static class std::basic_string<wchar_t, struct std::char_traits<wchar_t>, class std::allocator<wchar_t>> __cdecl DuiLib::CResManager::LoadXML(wchar_t const *, int)>
70027869 | 83C4 0C                  | add esp,0xC
7002786C | 8365 FC 00               | and dword ptr ss:[ebp-0x4],0x0
```
然后找个AI写一个 `inline hook` 的模板代码 稍微修改一下
```
// 生成跳转代码
void GenerateJmpCode(DWORD value, BYTE *byteArray)
{
    byteArray[0] = 0xE9;                       // 跳转指令 JMP E9
    byteArray[1] = (value & 0x000000FF);       // 最低位字节
    byteArray[2] = (value & 0x0000FF00) >> 8;  // 第二字节
    byteArray[3] = (value & 0x00FF0000) >> 16; // 第三字节
    byteArray[4] = (value & 0xFF000000) >> 24; // 最高位字节
}
void inline_hook()
{
    DWORD baseAddress = reinterpret_cast<DWORD>(GetModuleHandle(L"DuiLib.dll")); // 获取模块基址
    DWORD TargetAddress = (DWORD)ret_hook;                                       // 目标地址（自己定义的执行代码位置）
    BeginAddress = baseAddress + 0xE7864;                                        // 起始地址
    BackAddress = baseAddress + 0xE7869;                                         // 返回地址
    OriginAddress = baseAddress + 0x69D60;                                       // 原始Call地址

std::wstring message = std::format(L"BaseAddress: {:x} BeginAddress: {:x} BackAddress: {:x} OriginAddress: {:x}", //
                                       baseAddress, BeginAddress, BackAddress, OriginAddress);

MessageBoxW(NULL, message.c_str(), L"注入", MB_OK);

// 读取保存原来的字节码
    ReadProcessMemory(GetCurrentProcess(), (LPCVOID)BeginAddress, (LPVOID)&OriginBytes, 5, NULL);

BYTE jmpCode[5];
    GenerateJmpCode(TargetAddress - BeginAddress - 5, jmpCode); // 目标地址 - 当前地址 - 5

// 写入JMP跳转字节码
    WriteProcessMemory(GetCurrentProcess(), (LPVOID)BeginAddress, (LPVOID)&jmpCode, 5, NULL);
}
```
这里讲一下几个地址的获取方法
- 起始地址就是需要替换的地址 就是那个 `call <duilib.public xxxxx`
- 返回地址就是替换地址的下一行地址 也就是跳回的地址 `add esp,0xC`
- 原始地址就是被替换的那个 `call` 的地址 需要在自定义代码里执行一下

找到对应地址 然后右键 复制 选中 `RVA(相对虚拟地址)`
![图片描述](upload/attach/202504/1029877_JAY4PFKGCYV5HHR.webp)
原始地址 选中那个 call 然后 双击一下 就可以跳到对应的地址 然后复制一下 `RVA`
![图片描述](upload/attach/202504/1029877_4C8M3ZHR4KTBZMU.webp)
这里原始地址也可以直接代码读取然后写入 暂时不会 就先手写了

在 DLL 的 `DLL_PROCESS_ATTACH` 部分执行一下 `inline_hook`
```cpp
BOOL APIENTRY DllMain(HMODULE hModule,
                      DWORD ul_reason_for_call,
                      LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
    {
        // 附加的时候进行 hook
        saveXmlPath = L"D:\\repos\\wxworkdebug";
        inline_hook();
        break;
    }
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
        break;
    case DLL_PROCESS_DETACH:
    {
        // 卸载的时候恢复原来的代码
        WriteProcessMemory(GetCurrentProcess(), (LPVOID)BeginAddress, (LPVOID)&OriginBytes, 5, NULL);
        break;
    }
    }
    return TRUE;
}
```
然后我们生成一下 DLL 注入一下 看看效果
可以看到 `E8 F724F8FF` 被替换成了 `E9 376DB8F6`
```
70027863 | 50                       | push eax
70027864 | E9 376DB8F6              | jmp <wxworkxmlexport.void __cdecl ret_hook(void)>
70027869 | 83C4 0C                  | add esp,0xC
7002786C | 8365 FC 00               | and dword ptr ss:[ebp-0x4],0x0
```

# 3. 实现自定义逻辑 保存 `xml`
先写一个裸函数 然后用字节码保存一下相关的指针地址 然后执行保存的方法 然后跳回去
```cpp
inline __declspec(naked) void ret_hook()
{
    DWORD xmlNameAddress;
    DWORD xmlAddress;
    // 原程序代码务必要执行
    __asm
    {
         mov xmlNameAddress, ecx; // 保存入参 也就是 xml 的名称
         call OriginAddress; //执行原始的 LoadXml 的那个Call
         mov xmlAddress, eax; // 保存出参 也就是 xml 的内容
    }

saveXml(xmlNameAddress, xmlAddress); // 这里执行一下自定义的保存方法

__asm
    {
         jmp BackAddress; // 跳回原来的逻辑 继续执行
    }
}
```
```cpp
void save_utf16(const wchar_t *text_ptr, const std::wstring &filename)
{
    // 1. 提取目标文件的父目录路径
    fs::path file_path(filename);
    fs::path parent_dir = file_path.parent_path();

// 2. 判断父目录是否存在，若不存在则递归创建
    if (!parent_dir.empty() && !fs::exists(parent_dir))
    {
        bool created = fs::create_directories(parent_dir);
        if (!created)
        {
            return;
        }
    }
    std::ofstream file(filename, std::ios::binary);
    if (file)
    {
        // 写入 BOM（可选）
        const char bom[] = "\xFF\xFE"; // UTF-16 Little-Endian BOM
        file.write(bom, 2);
        file.write(reinterpret_cast<const char *>(text_ptr), wcslen(text_ptr) * sizeof(wchar_t));
        file.close();
    }
}

void saveXml(DWORD xmlNameAddress, DWORD xmlAddress)
{
    // save file to disk
    // MessageBox(NULL, std::format(L"xmlNameAddress: {:x} xmlAddress: {:x}", xmlNameAddress, xmlAddress).c_str(), L"注入", MB_OK);
    xmlNameAddress = *reinterpret_cast<DWORD *>(xmlNameAddress);
    xmlAddress = *reinterpret_cast<DWORD *>(xmlAddress);
    auto filePath = saveXmlPath + L"\\" + std::wstring(reinterpret_cast<wchar_t *>(xmlNameAddress));
    save_utf16(reinterpret_cast<wchar_t *>(xmlAddress), filePath);
}
```

# 4. 编译生成DLL 然后注入获取所有界面文件
!!!注意!!!
!!!注意!!!
!!!注意!!!
这里 `x32dbg` 要打开一下 `入口断点` 不然等启动后注入 会缺一部分文件
用 `x32dbg` 启动企业微信 然后在入口断点停下 然后注入 dll
```powershell
PS D:\repos\WxWorkXmlExport\Release> .\Injector.exe -n WxWork.exe -i .\WxWorkXmlExport.dll
Injector x86 [Version 20240218]
Copyright (c) 2009 Cypher, 2012-2024 Nefarius. All rights reserved.

# 项目配置 全局变量和需要导入的头文件
项目属性 C++20标准 不使用预编译头 Unicode 字符集
```cpp
// dllmain.cpp : 定义 DLL 应用程序的入口点。
#include "framework.h"
#include <format>
#include <fstream>
#include <filesystem>

namespace fs = std::filesystem;

std::wstring saveXmlPath = L"";
DWORD BeginAddress = 0;
DWORD BackAddress = 0;
BYTE OriginBytes[5] = {0, 0, 0, 0, 0};
DWORD OriginAddress = 0;
```

------
最近一直在整收发消息 然后发现企业微信是多线程的
- `UIThread` 把指令发给 `SendMessageThread`
- `ReceiveMessageThread` 把收到的消息发给 `UIThread` 渲染

暂时还没搞清楚具体怎么实现的 大概可以找到是哪里发出去和哪里收回来的
但是栈上面找不到具体的消息内容 只能找到用户ID
我猜可能是传递了对象 所以找不到
希望大佬们可以指点一下

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#调试逆向

最新回复 (30) 1 2 ▶
mb_yoozcmhk 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	mb_yoozcmhk 2 楼 666666 2025-4-22 14:20 0
FANTASYING 雪币： 2040 活跃值： (2430) 能力值： ( LV3，RANK：30 ) 在线值：发帖 8 回帖 158 粉丝 10 关注私信	FANTASYING 3 楼 ida搜 presendnewmessage 即可定位到发消息 2025-4-22 16:49 0
耿念雪币： 2868 活跃值： (2986) 能力值： ( LV5，RANK：60 ) 在线值：发帖 3 回帖 29 粉丝 15 关注私信	耿念 1 4 楼 2025-4-22 19:43 0
zzg令狐雪币： 217 活跃值： (2082) 能力值： ( LV3，RANK：25 ) 在线值：发帖 4 回帖 51 粉丝 18 关注私信	zzg令狐 5 楼不错啊 2025-4-23 14:39 0
Magic丶Sky 雪币： 56 活跃值： (71) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	Magic丶Sky 6 楼厉害大佬 2025-4-23 21:46 0
MiaoWoo 雪币： 2053 活跃值： (1967) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 7 粉丝 16 关注私信	MiaoWoo 7 楼 FANTASYING ida搜 presendnewmessage 即可定位到发消息这个我之前找到过然后消息内容的引用地址也找到过好像固定在 0019F114 但是直接改这个内容好像没用感觉是赋值给某个对象然后传递到发送线程了之前根据 sqlite 去追踪数据库执行的SQL 倒是找出来了不过还是没啥头绪怎么构造发送的消息体 2025-4-24 14:15 0
ThreadEx 雪币： 244 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 48 粉丝 0 关注私信	ThreadEx 8 楼 m 2025-4-24 16:39 0
FANTASYING 雪币： 2040 活跃值： (2430) 能力值： ( LV3，RANK：30 ) 在线值：发帖 8 回帖 158 粉丝 10 关注私信	FANTASYING 9 楼 MiaoWoo 这个我之前找到过然后消息内容的引用地址也找到过好像固定在 0019F114 但是直接改这个内容好像没用感觉是赋值给某个对象然后传递到发送线程了之前根据 sqlite 去追踪数据库执行的SQ ... 他参数全是对象,向上分析，去找pb构造，即可构造出参数拉~ 2025-4-24 19:41 0
xuzhenshan 雪币： 67 活跃值： (2391) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 65 粉丝 0 关注私信	xuzhenshan 10 楼谢谢如此好的分析 2025-5-4 16:49 0
mb_slbcpklw 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	mb_slbcpklw 11 楼谢谢分享 2025-5-4 17:37 0
Abelly 雪币： 388 活跃值： (2750) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 30 粉丝 2 关注私信	Abelly 12 楼谢谢分享 2025-5-8 18:54 0
guiq 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 1 关注私信	guiq 13 楼你的帖子非常有用，感谢分享！ 2025-5-13 16:35 0
漂流的鱼雪币： 135 活跃值： (2980) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 59 粉丝 0 关注私信	漂流的鱼 14 楼不错 2025-6-5 19:38 0
揰掵佲雪币： 5068 活跃值： (3716) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 79 粉丝 6 关注私信	揰掵佲 15 楼你的帖子非常有用，感谢分享！ 2025-6-5 19:42 0
mb_pbowocpw 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_pbowocpw 16 楼感谢分享 2025-6-11 15:58 0
linghaien 雪币： 6369 活跃值： (5136) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 84 粉丝 6 关注私信	linghaien 17 楼啥时候出期发送消息的CALL的帖子 2025-7-18 15:15 0
cmputer 雪币： 1912 活跃值： (2467) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 149 粉丝 1 关注私信	cmputer 18 楼看看主题 2025-7-21 10:51 0
MiaoWoo 雪币： 2053 活跃值： (1967) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 7 粉丝 16 关注私信	MiaoWoo 19 楼 linghaien 啥时候出期发送消息的CALL的帖子最近估计没啥时间之前那个项目后来停掉了就没研究了 2025-8-4 13:59 0
ahdxww 雪币： 205 活跃值： (293) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 1 关注私信	ahdxww 20 楼好贴，有用 2025-8-7 14:47 0
mb_mhqhvrqq 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	mb_mhqhvrqq 21 楼学习 2025-9-15 18:17 0
mb_rqlksylg 雪币： 96 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 74 粉丝 0 关注私信	mb_rqlksylg 22 楼学习 2025-9-17 05:20 0
yige_2019 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	yige_2019 23 楼学习 2025-10-24 23:48 0
mb_bfptkhmb 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 15 粉丝 0 关注私信	mb_bfptkhmb 24 楼 1111 2025-10-26 11:06 0
mb_ifjlatem 雪币： 10 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 66 粉丝 0 关注私信	mb_ifjlatem 25 楼啥时候出期发送消息的CALL的帖子 2025-11-23 15:19 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复