我自己手动写代码测试了这个遍历找key的 get_key function: <div class=

这个和系统位数以及内存读写方式有关。 32位系统和64位系统，对内存读写单元大小不同。 <p dir=

<a class="user-mention notranslate" data-hovercard-type="user" data-hovercard-url="/us

关于遍历找key (`def get_key(pid, db_path, addr_len):`) about pywxdump HOT 5 CLOSED

TaihouKai commented on June 27, 2024

关于遍历找key (`def get_key(pid, db_path, addr_len):`)

from pywxdump.

Comments (5)

simoole commented on June 27, 2024

因为key是个32位的字节串

from pywxdump.

TaihouKai commented on June 27, 2024

因为key是个32位的字节串

感谢回复。如果按照代码里的话，get_exe_bit会返回64吧？（因为是64位的exe）
那样的话addr_len就得是64了……？

(get_wx_info.py)

addrLen = get_exe_bit(process.exe())
...
...
if rd['filePath'] != "None" and rd['key'] == "None" and not isKey:
    rd['key'] = get_key(rd['pid'], rd['filePath'], addrLen)

from pywxdump.

xaoyaoo commented on June 27, 2024

这个和系统位数以及内存读写方式有关。
32位系统和64位系统，对内存读写单元大小不同。

from pywxdump.

TaihouKai commented on June 27, 2024

这个和系统位数以及内存读写方式有关。
32位系统和64位系统，对内存读写单元大小不同。

感谢回复。
这样的话，如果我要手动复现遍历，请问这个地方的for j in range(i, i - 2000, -addr_len):是不是该改成-int(addr_len/8)，以匹配读写单元的大小(4/8 bytes)？我试了下，不改成/8的话在我的电脑上遍历不着key

for i in type_addrs[::-1]:
    for j in range(i, i - 2000, -addr_len):
        key_bytes = read_key_bytes(pm.process_handle, j, addr_len)
        if key_bytes == "None":
            continue
        # print(key_bytes.hex())
        if verify_key(key_bytes, MicroMsg_path):
            key = key_bytes.hex()

from pywxdump.

xaoyaoo commented on June 27, 2024

@TaihouKai
所以你已经有了结论。

from pywxdump.

Recommend Projects