微信Hook笔记

微信Hook笔记

honus

2022 年 06 月 05 日

loading 次浏览

2 条评论

1689字数

个人随笔

软件 vs2022 od ce

# OD使用教程

1. OD Attach WeChat进程，然后运行
2. t 快捷键用于线程暂停激活，右键进行操作
3. c 快捷键用于返回主界面
4. b 快捷键查看所有断点
5. dd 查看内存数据
   dc 查看中文数据
   du unicode编码
6. F2 快捷键加断点
7. Ctrl + g 搜索
8. F8 步进

# CE使用教程

1. 附加WeChat进程
2. Memory View中 Ctrl + g 搜索地址

# 汇编基础指令

1. E8 call
2. E9 jmp
3. 指令 [要跳转的地址 - hook的地址 - 5]

# 注入器实现 (LoadLibraryAddress)

1. 通过进程快照获取进程PID
   CreateToolhelp32Snapshot()
   Process32Next()
   OpenProcess()
2. 申请内存
   DllAddress = VirtualAllocEx()
3. 写入注入DLL路径
   WriteProcessMemory()
4. 获取Kernel32基址
   Kernem32_Address = GetModuleHandle("kernel32.dll")
5. 获取LoadLibrary函数的地址
   LoadLibraryAddress = GetProcAddress(Kernem32_Address, "LoadLibaray(A or W)")
6. 在别人进程执行加载的DLL中的函数
   CreateRemoteThread(LoadLibraryAddress , DllAddress)

# 卸载器实现 (FreeLibrary)

# DLL编写

1. 获取基址
   WinAddress = LoadLibrary("WeChatWin.dll")
2. 根据偏移操作
   读 地址类型\*(\* data)
   写 WriteProcessMemory()
3. WriteProcessMemory()
4. ReadProcessMemory()

# 微信多开 (互斥体 CreateMutex(A or W,WeChat use W))

1. 左上窗口搜索 CreateMutexW，右下角查看三个参数获取name参数
2. 修改name为不同即可

# hook获取微信二维码 (获取二维码图片base64，返回原执行流程)

1. 查找图片base64

1. 根据二维码还原为url格式
2. 组成为 url + 后缀,所以不能全部搜索,只搜索后缀即可
3. 通过扫码取消登录的方式获取变更为新的后缀的地址，然后下断点获取基址
4. 找到那个地址存放后缀，可能在断点上方一部分
5. 填充要替换的指令
6. 备份寄存器内容(asm 把寄存器中的值移出来)
7. 执行要做的函数
8. 回复寄存器内容(asm 把值放回寄存器)
9. jmp到原来call之后的位置

# 发送文本消息

1. 从wxid或者发送内容找对应call位置
2. 根据id打内存访问断点,找到入口函数
3.

# 接收消息

1. 通过接收消息在CE中查找
2. 查找未处理的数据，比较完整
3. 下内存写入断点,在堆栈区附近找对应字符串

微信版本 3.6.0.18
基址 WeChatWin.dll

偏移
222EBB4  用户名
222F020  wxid        指针类型 or wxid
222EE94  头像        指针类型
222EBE8  电话号码
222F058  登录设备
22580A0  登录二维码   指针类型

最后修改：2022 年 06 月 05 日

如果觉得我的文章对你有用，请随意赞赏

微信Hook笔记

honus • 2022 年 06 月 05 日

standin000
December 5th, 2022 at 05:36 pm

od和ce都是什么软件？

回复
1. honus
  December 5th, 2022 at 05:37 pm
  
  @standin000
  
  可以去52破解看下，常用的反汇编工具
  
  回复

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

评论 *

私密评论

名称 *

🎲

邮箱 *

地址

大虾
并没有，不会弄啊
阿仁
青龙面板上跑了几天，很稳定，没出啥问题，多谢大佬分享。
xxx
兄弟，你的Alist没关访客，搜索引擎都抓到数据了
ProblemFactory
你成功设置了吗？我这里群晖的docker里一直没办法成功唤起微信
meow
https://github.com/zhangyile/te...

2 条评论

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

EFB-WECHAT-CUTECAT-SLAVE 使用教程

EFB-WECHAT-COMWECHAT 教程

记新年一次聚餐

草榴论坛（1024）自动回贴

微信Hook笔记

v2ray ws+tls,DNS解锁Netflix

微信Hook笔记

博客图床更改

EFB-WECHAT-CUTECAT-SLAVE 使用教程

草榴论坛（1024）自动回贴

微信Hook笔记

2 条评论

发表评论 取消回复 使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

微信Hook笔记

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款