搜索

[7641] 2021-08-06_【零基础也能用】WXPC版聊天记录取证工具

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2021-08-06_【零基础也能用】WXPC版聊天记录取证工具 【 零 基 础 也 能 用 】 W X   P C 版 聊 天 记 录 取 证 工 具 F 1 2 s e c   2 0 2 1 - 0 8 - 0 6 以 下 文 章 来 源 于 天 禧 信 安   ， 作 者 D X X   天 禧 信 安 0 x 0 1   前 言 前 言 微 信 平 台 是 目 前 公 众 使 用 频 率 极 高 的 一 款 即 时 通 信 软 件 ， 为 公 众 带 来 极 大 的 便 利 ， 但 同 时 也 给   不 法 分 子   带 来 新 的 机 会 ， 许 多 违 法 犯 罪 行 为 在 微 信 平 台 上 发 生 。 由 于 微 信 本 身 是 一 个 信 息 传 递 平 台 ， 并 且 拥 有 数 量 庞 大 的 非 实 名 制 用 户 群 体 ，   在 鱼 龙 混 杂 的 用 户 环 境 下 ， 利 用 微 信 进 行 的 犯 罪 活 动   日 益 猖 獗 ， 而 许 多 微 信 犯 罪 案 件 的 侦 破 工 作 都 需 要 相 应 的 取 证 分 析 技 术 ， 所 以 对 微 信 信 息 的 分 析 技 术 的 研 究 就 有 了 重 大 意 义 。 且 微 信 在 即 时 通 讯 工 具 中 所 占 的 份 额 越 来 越 大 ， 取 证 实 践 中 已 经 逐 渐 取 代 Q Q 成 为 最 重 要 的 取 证 项 ， 目 前 主 流 的 取 证 方 法 有 内 存 镜 像 和 数 据 库 解 密 等 W e C h a t   P C 在 安 装 后 ， 默 认 会 在 “ 我 的 文 档 ” 目 录 下 创 建 “ W e C h a t   F i l e s ” 文 件 夹 ， 后 续 每 登 陆 一 个   微 信 账 号 ， 便 在 该 文 件 夹 下 创 建 一 个 以 微 信 号 命 名 的 子 文 件 夹 ， 用 来 放 置 配 置 信 息 、 聊 天 记 录 以 及 附 件 数 据 文 中 我 以 一 台   W i n d o w s 1 0 系 统 搭 配 最 新 版 微 信 为 例 , 登 陆 了 我 的 微 信 “ J a n e X X X   ” , 我 们 先 跳 到 微   信 文 件 的 主 路 径 以 下 的 所 有 操 作 都 是 围 绕 这 个 主 路 径 进 行 的 0 x 0 2   信 息 解 密 信 息 解 密 账 户 信 息 账 户 信 息 一 般 W i n d o w s 下 ， 微 信 默 认 的 使 用 数 据 放 在 以 下 路 径 在 下 述 文 件 夹 查 找 文 件 可 以 发 现 中 指 向 了 含 有 微 信 账 户 相 关 数 据 的 d a t a 文 件 （ 这 里 的 路 径 也 暴 露 了 w x i d ） 我 这 里 是 指 向 我 们 跟 着 文 件 指 向 跳 到 A c c I n f o . d a t 文 件 打 开 发 现 含 有 ( 用 户 原 始 I D + 昵 称 + 头 像 L o g o + 区 域 信 息 + 手 机 号 + 邮 箱 ) 天 禧 信 安 天 禧 信 安   . 寻 麓 信 息 旗 下 网 络 安 全 工 作 室 成 员 ， 专 注 于 计 算 机 安 全 & 社 会 工 程 学 ， 愿 各 位 在 此 能 有 所 收 获 C : U s e r s u s e r n a m e D o c u m e n t s W e C h a t   F i l e s C : U s e r s % U s e r N a m e % D o c u m e n t s W e C h a t   F i l e s C : U s e r s % U s e r N a m e % D o c u m e n t s W e C h a t F i l e s A l l   U s e r s c o n f i g c o n f i g . d a t a C : U s e r s A d m i n i s t r a t o r D o c u m e n t s W e C h a t   F i l e s w x i d _ x x x c o n f i g
以 上 文 件 路 径 中 的 用 户 名 是 变 量 获 取     在 特 殊 情 况 下 可 以 尝 试 去 C : W i n d o w s P F R O . l o g 中 读 取 ， 大 概 率 可 以 发 现 报 错 日 志 输 出 的 用 户 名 。   聊 天 图 片 聊 天 图 片 通 过 上 面 的 我 们 知 道 了 数 据 存 放 的 主 路 径 ， P C 版 的 微 信 会 加 密 用 户 接 收 到 的 所 有 图 片 信 息 。 默 认 图 片 类 的 存 储 路 径 为 ： 存 储 的 图 片 文 件 均 为 d a t 格 式 加 密 。 无 法 直 接 打 开 ， 用 户 删 除 聊 天 记 录 后 ， 如 果 能 找 到 其 加 密 方 式 就 能 对 这 类 文 件 解 密 还 原 成 j p g / p n g / g i f 等 常 见 的 文 件 格 式 一 般 来 说 这 种 对 文 件 加 密 的 方 式 大 多 是 “ 异 或 法 加 密 ” ， 即 每 个 文 件 逐 个 字 节 与 加 密 码 进 行 " 异 或 计 算 " 得 出 加 密 文 件 。 我 们 可 参 考 以 下 加 密 码 算 出 源 文 件 我 们 使 用 N o t e p a d 的 插 件 来 浏 览 文 件 的 十 六 进 制 ， 由 于 我 们 知 道 了 b a t 的 开 头 值 为 ： 7 d   a 4         p n g 的 开 头 值 为 ： 8 9   5 0   。 此 时 可 以 通 过 程 序 员 计 算 器 ， 计 算 异 或 值 计 算 公 式 ： 7 D   X o r   8 9   =   F 4 ； A 4   X o r   5 0   =   F 4           由 此 可 知 1 6 进 制 异 或 值 为 ： 0 x F 4   C : U s e r s % U s e r N a m e % D o c u m e n t s W e C h a t   F i l e s w x i d _ x x x F i l e S t o r a g e I m a g e y e a r - m o n t h   #   J P G   1 6 进 制   F F   D 8   F F #   P N G   1 6 进 制   8 9   5 0   4 e #   w e i x i n . b a t   1 6 进 制   e 1   c 6   e 1 #   k e y   值   1 e 1 e   0 x 1 e     w e i x i n . b a t - j p g
我 在 这 里 用 p y t h o n 写 了 一 个 自 动 化 脚 本 可 以 批 量 解 密 源 文 件 获 取 工 具 公 众 号 回 复 ： 获 取 工 具 公 众 号 回 复 ： J a n e N B 实 际 运 行 图 实 际 运 行 图 0 x 0 3 结 结 语 语 这 期 就 到 这 里 了 ， 回 来 我 们 再 讲 一 下 P C 端 通 讯 工 具 的 多 种 电 子 证 据 提 取 以 及 解 密 方 式

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理