-
-
[原创]在微信4.10如何配合claude 4.8找出微信sqlite key
-
发表于: 2026-7-8 17:59
-
完整的 frida-trace 命令写在 357K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6&6K9h3&6U0L8$3&6Y4j5%4W2A6L8X3y4G2L8X3N6Q4x3V1k6%4k6h3y4Z5j5i4c8Q4y4h3k6U0K9r3q4@1N6r3g2J5 这里了,需要的可以去翻。
先说背景。我一直在用一些开源库获取微信的 SQLCipher 的密钥。这东西从微信 4.1.10 开始就变了,以前那套在内存里扫 x'...' 十六进制字面量的老办法彻底失效——我自己写脚本扫过,五百多万个候选 key 全军覆没,一个都对不上。所以只能上逆向。
这个是我成功的截图哈：
第一步是用 IDA Pro 加载微信的二进制。这里有个大坑一定要提醒你:微信 app 包里有两个同名的 wechat.dylib,一个在 /Applications/WeChat.app/Contents/Resources/wechat.dylib,另一个在 /Applications/WeChat.app/Contents/Frameworks/wechat.dylib。千万别搞错,要加载的是 Resources 那个。这俩文件的 sha 完全不一样,Frameworks 里那个只有 16KB,是个空壳,真正带 SQLCipher 代码的是 Resources 里那个,一百多兆,里面能搜到三十来处 SQLite 的特征字符串。当时我就是靠 strings 扫了一遍,发现只有 Resources 版有 SQLite 相关的东西,才确认对象没找错。
加载完之后我挂上了 IDA Pro 的 MCP,这样就能让 Claude 直接读反编译、查交叉引用、跟调用链,不用我一个函数一个函数手点。
然后我就让 Claude 帮我找加密相关的东西。这一步花了非常久。Claude 顺着 cipher、pragma、AES 那些线索,定位了好几个函数,什么 pragma 分发器、key handler、hexkey handler、还有 OpenSSL 的 hexstr2buf 和 AES setkey 之类的。看着都挺像那么回事。
冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
