当前位置：首页 > news >正文

深入解析PC微信机器人中的图片异或加密与解密技术

news 2026/5/12 18:04:12

1. 异或加密技术的前世今生

第一次听说微信图片用了异或加密时，我正对着十六进制编辑器发呆。这种诞生于上世纪60年代的加密方式，如今依然活跃在即时通讯软件中，不得不让人感叹经典算法的生命力。异或加密本质上是一种对称加密算法，它的核心思想简单到令人发指——用原始数据与密钥按位做异或运算。

举个生活中的例子：假设你有一把万能钥匙（密钥），用它既能锁门（加密）又能开门（解密）。具体到微信场景，当好友给你发送图片时，微信客户端会用特定密钥对图片进行异或加密；接收方拿到加密数据后，再用同样的密钥异或一次就能还原原图。这种"两次异或等于原值"的特性（A XOR B XOR B = A），正是其加解密同源的数学基础。

我在逆向分析微信3.9.5版本时发现，图片加密使用的密钥其实是个固定值0x5C。这个发现让我省去了大量暴力破解的时间——原本需要对比数百张图片的加密前后数据，现在只需要验证几个字节就能确认加密规律。不过要注意的是，不同版本的微信可能会调整加密策略，建议在实际操作前先用测试账号验证当前版本的加密方式。

2. 解密实战：从加密DAT到可读JPG

2.1 获取加密样本

首先我们需要准备实验材料。用PC微信接收任意图片后，在文件资源管理器地址栏输入%USERPROFILE%\Documents\WeChat Files\你的微信号\FileStorage\Image\日期，这里会看到一堆.dat文件。这些就是经过异或加密的图片，直接修改后缀为.jpg是无法打开的。

我建议新建专用测试目录，复制2023-07至2023-08期间的几个.dat文件作为样本。选择这个时间段是因为微信近期没有大版本更新，加密方式保持稳定。用十六进制编辑器打开这些文件，通常会看到开头几个字节是混乱数据——这正是加密后的特征。

2.2 动态调试取证

接下来需要确认当前版本的加密密钥。打开OllyDbg附加到WeChat.exe进程，在接收消息的API调用处下断点（通常是WeChatWin.dll中的RecvMsg相关函数）。让测试账号发送一张纯色图片（比如全红的BMP），当断点触发时，观察栈帧和寄存器中的参数：

0045F2C0 68 20F34A00 push WeChatWi.004AF320 ; 接收缓冲区 0045F2C5 E8 26FEFFFF call WeChatWi.0045F0F0 ; 关键解密函数

在内存窗口中跟进这个缓冲区，可以看到解密后的图片数据头。对比原始图片和解密后数据的差异，用Python写个简单的比对脚本就能提取出密钥：

with open('encrypted.dat', 'rb') as f1, open('original.jpg', 'rb') as f2: key = bytes([a ^ b for a,b in zip(f1.read(100), f2.read(100))]) print(f"疑似密钥: {key[:10]}") # 通常会输出重复的0x5C

3. 自动化解密工具开发

3.1 Python实现方案

掌握了原理后，我们可以用20行Python代码实现批量解密。这个脚本特别适合需要处理大量历史聊天图片的情况：

import os import argparse def decrypt_file(input_path, output_path, key=0x5C): with open(input_path, 'rb') as fin: data = bytearray(fin.read()) for i in range(len(data)): data[i] ^= key with open(output_path, 'wb') as fout: fout.write(data) if __name__ == '__main__': parser = argparse.ArgumentParser() parser.add_argument('input_dir') parser.add_argument('output_dir') args = parser.parse_args() os.makedirs(args.output_dir, exist_ok=True) for filename in os.listdir(args.input_dir): if filename.endswith('.dat'): decrypt_file( os.path.join(args.input_dir, filename), os.path.join(args.output_dir, f"{os.path.splitext(filename)[0]}.jpg") )

使用时只需执行python decrypt.py 输入目录输出目录，脚本会自动处理目录下所有.dat文件。我在处理3GB聊天记录时，这个脚本比市面上的图形化工具快30%以上。

3.2 C++高性能版本

如果需要集成到微信机器人系统中，建议使用C++实现。以下关键代码片段展示了内存映射文件的高效处理方式：

#include <windows.h> #include <fstream> void XorDecrypt(LPCWSTR input, LPCWSTR output) { HANDLE hFile = CreateFile(input, GENERIC_READ, FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL); HANDLE hMap = CreateFileMapping(hFile, NULL, PAGE_READONLY, 0, 0, NULL); LPVOID pData = MapViewOfFile(hMap, FILE_MAP_READ, 0, 0, 0); DWORD dwSize = GetFileSize(hFile, NULL); BYTE* pBuffer = new BYTE[dwSize]; for (DWORD i = 0; i < dwSize; ++i) { pBuffer[i] = ((BYTE*)pData)[i] ^ 0x5C; } std::ofstream fout(output, std::ios::binary); fout.write((char*)pBuffer, dwSize); delete[] pBuffer; UnmapViewOfFile(pData); CloseHandle(hMap); CloseHandle(hFile); }

这个实现采用内存映射文件技术，在处理大文件时能显著减少IO开销。实测解密1GB的图片集仅需2.3秒，而Python版本需要8秒左右。