Android逆向分析实例(三)-解密微信EnMicroMsg.db数据库

水深无声 2023-01-18 04:11 595阅读 0赞

### 1.简介 ###

首先介绍下EnMicroMsg.db数据库：这个数据库是存放在Android手机本地的用来保存微信聊天记录的一个数据库，是一个Sqlite数据库，且手机必须要有root权限才能获取到，而且是被加密过的，必须先找到密钥才能打开。我们现在要做的就是找到这个密钥。

网上关于该数据库的解密方法几乎都一样：首先通过微信的 **system\_config\_prefs.xml** 文件获取uin值，然后获取手机的IMEI值，最后 (IMEI值+uin值)取MD5的前七位就是数据库的密码。

说下这个方法的缺陷：

1.  该方法只能在微信没有修改加密算法的前提下使用，一旦新版本微信修改加密算法，此方法就会立刻失效。
2.  而且前两天自己在**微信8.0.2**版本尝试过这种方法，生成的密钥并不正确。

下面将介绍通过frida hook方法获取数据库密钥。

实验准备：

1.  微信(版本任意，我的版本是**8.0.2**)
2.  frida环境配置(没有配置环境的可以看这篇文章：[Frida框架配置][Frida])
3.  一台拥有root权限的手机或者模拟器
4.  SqlCipher工具(用来打开数据库)

### 2.实验 ###

首先将EnMicroMsg.db文件从模拟器(手机)复制到电脑上(手机或者模拟器要登陆微信)：

adb pull /data/data/com.tencent.mm/MicroMsg/8e1435ec4ddf157ca48ec73b4fc108ac/EnMicroMsg.db C:\Users\lxh\Desktop\WeiXin\EnMicroMsg
    #8e1435ec4ddf157ca48ec73b4fc108ac这个文件夹名称可能不一样，要注意一下。

然后可以这样想：微信在启动时，肯定会连接到这个数据库，连接后需要一个函数以及密码来打开数据库读取其中的内容，我们要做的就是找到这个打开数据库的函数，然后用frida hook 这个函数，打印出密码。

将微信.apk拖入jadx，打开腾讯微信官方api文档：[https://tencent.github.io/wcdb/references/android/reference/com/tencent/wcdb/database/SQLiteDatabase.html][https_tencent.github.io_wcdb_references_android_reference_com_tencent_wcdb_database_SQLiteDatabase.html]

因为涉及到数据库的操作函数肯定带有database字段，所以我们直接在页面搜索"database“,经过搜索与分析后可以发现一个[openOrCreateDatabase][]函数：（可以看到第一个参数file应该就是需要打开的数据库文件，第二个参数password就是打开数据库的密码）

![7edd4f9d8d38a8d9c9375275c2540097.png][]

于是在jadx中搜索**"openOrCreateDatabase"**，可以得到如下结果：

![1f958e937c3d9463c698afa464871243.png][]

点进去：

![16040a790cc9289cc5433b023cb7583f.png][]

可以看到这个y就是数据库文件名，而str2就是打开数据库的密码，这两个参数传给了**openOrCreateDatabase**函数，接下来查看**"openOrCreateDatabase"**函数的调用：

![8ee49f3e41a601aa091be49d84f9aef0.png][]

可以看到这个函数是个重载函数，其中有一个调用了**openDatabase**函数，查看其调用

![677f915fb2b5c8cd4da89e4b915cad92.png][]

这里的大概意思是：如果**str3**字符串以**"EnMicroMsg.db"**结尾，也就是说如果数据库名为**EnMicroMsg.db**，则调用openDatabase(str3, bytes,sQLiteCipherSpec, null, i, fVar, 8)打开这个数据库。接着查找该函数的声明：

![48c03ba6e851618a80c6907c0ca5d5cd.png][]

到这里我们就可以直接用frida来hook这个函数了，并打印前两个参数(数据库名和密码)：

**hook.js：**

import frida  
    import sys    
    
    jscode = """
        Java.perform(function(){  
            var utils = Java.use("com.tencent.wcdb.database.SQLiteDatabase"); // 类的加载路径
            
            utils.openDatabase.overload('java.lang.String', '[B', 'com.tencent.wcdb.database.SQLiteCipherSpec', 'com.tencent.wcdb.database.SQLiteDatabase$CursorFactory', 'int', 'com.tencent.wcdb.DatabaseErrorHandler', 'int').implementation = function(a,b,c,d,e,f,g){   
                console.log("Hook start......");
                var JavaString = Java.use("java.lang.String");
                var database = this.openDatabase(a,b,c,d,e,f,g);
                send(a);
                console.log(JavaString.$new(b));
                send("Hook ending......");
                return database;
            };
            
        });
    """
    
    
    def on_message(message,data): #js中执行send函数后要回调的函数
        if message["type"] == "send":
            print("[*] {0}".format(message["payload"]))
        else:
            print(message)
        
    process = frida.get_remote_device()
    pid = process.spawn(['com.tencent.mm']) #spawn函数：进程启动的瞬间就会调用该函数
    session = process.attach(pid)  # 加载进程号
    script = session.create_script(jscode) #创建js脚本
    script.on('message',on_message) #加载回调函数，也就是js中执行send函数规定要执行的python函数
    script.load() #加载脚本
    process.resume(pid)  # 重启app
    sys.stdin.read()

执行代码可以得到如下结果：

![347b17cd40aeac02a4265400e077e984.png][]

这个**95af940**就是我**EnMicroMsg.db**数据库的密码，用**sqlcipher.exe**打开**EnMIcroMsg.db**，输入密码：

![6f2ebcf25b5c20f3fc92afa1b56c4980.png][]

成功打开了数据库，然后可以在**message**表中看到所有的聊天记录。

### 3.总结 ###

本次实例的难点就是找那个打开**EnMicroMsg.db**数据库的函数，以及js中重载函数部分代码的编写，只要函数找对了，找出密码也就近在咫尺了。

### 关注公众号\[人人皆是程序猿\]，回复sqlcipher获取工具下载链接。 ###

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQyMDUyNzMz_size_16_color_FFFFFF_t_70][]

> 曾经发生过的事情不可能忘记，只不过是想不起而已。
> 
> ——《千与千寻》

[Frida]: https://blog.csdn.net/qq_42052733/article/details/113041870
[https_tencent.github.io_wcdb_references_android_reference_com_tencent_wcdb_database_SQLiteDatabase.html]: https://tencent.github.io/wcdb/references/android/reference/com/tencent/wcdb/database/SQLiteDatabase.html
[openOrCreateDatabase]: https://tencent.github.io/wcdb/references/android/reference/com/tencent/wcdb/database/SQLiteDatabase.html#openOrCreateDatabase%28java.lang.String,%20com.tencent.wcdb.database.SQLiteDatabase.CursorFactory,%20com.tencent.wcdb.DatabaseErrorHandler%29
[7edd4f9d8d38a8d9c9375275c2540097.png]: /images/20221021/e6a07eaab76440dcb8f1f6dc401b5bcb.png
[1f958e937c3d9463c698afa464871243.png]: /images/20221021/f2de6f0a7ce44c129d789ec281c55da2.png
[16040a790cc9289cc5433b023cb7583f.png]: /images/20221021/31c0f5e4a00e4175bfc1bec0616ef524.png
[8ee49f3e41a601aa091be49d84f9aef0.png]: /images/20221021/a1d4987454904821a6e5570748876b21.png
[677f915fb2b5c8cd4da89e4b915cad92.png]: /images/20221021/beaca9d528f746aa8a76b31b7fd2a800.png
[48c03ba6e851618a80c6907c0ca5d5cd.png]: /images/20221021/90e66dd6328c41fea43d3da2dba7648b.png
[347b17cd40aeac02a4265400e077e984.png]: /images/20221021/54c89d4ae689498f8956a1cb0a645975.png
[6f2ebcf25b5c20f3fc92afa1b56c4980.png]: /images/20221021/d923cfcc5dd540afb1239bf465e36894.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQyMDUyNzMz_size_16_color_FFFFFF_t_70]: /images/20221021/9ddd34f372294d8fbd7d5ee3e3275fcd.png