Windows 4.1.10.24 版本在内存中已经扫描不到派生密钥了

[XiaoWei0918]

[ylytdeng]

谢谢报告. body 是空的, 没办法判断是真的微信改了内存格式还是其他原因 (没用管理员 / config 配错 / 仓库代码不是 main 等). 麻烦补几个信息:

必要信息

1. 微信版本怎么确认是 4.1.10.24 — 跑这个贴输出:
   ```powershell
   (Get-Process Weixin | Select-Object -First 1).MainModule.FileVersionInfo.ProductVersion
   ```

2. 本仓库代码版本 — 在 `wechat-decrypt` 目录下跑:
   ```bash
   git log --oneline -3
   ```
   (确认你跑的是 main 分支最新, 不是某个 fork / 老 commit)

3. find_all_keys_windows.py 的完整 stdout — 关键看:

   • `[+] Weixin.exe PID=xxx (xxxMB)` 几行
   • `[*] 扫描 PID=xxx (xxMB, x 区域)` 这行
   • `XX hex 模式` 数 ← 最关键的诊断
   • `X/N salts 找到密钥` 这一行

4. 是否以管理员身份运行 PowerShell / cmd?

5. config.json 里 db_dir 是不是真对应当前登录微信的目录 (不是别的微信账号的旧目录)?

hex 模式数的解读 (帮你自己判断)

• `0 hex 模式` → 微信真的改了内存里 key 的存储格式 (不再是 `x''` 字符串), 严重, 工具需要重写扫描器
• `N hex 模式但 0 salt 命中` → 格式还在, 但 enc_key 跟 DB salt 的关系变了 (PBKDF2 derivation 改了之类)
• `N hex 模式且部分 salt 命中` → 部分库格式变了, 不严重

旁证

我们 5/24 在 4.1.9.57 (你这个版本前一个 minor) 上实测 27/27 salt 完美命中, 8.8 秒完成. 4.1.10.24 是 5 天前刚发的小版本, 通常 minor 升级不改密钥方案, 但不排除这次真改了.

补完信息后我可以装这个版本复现验证. 谢谢.

(本评论由 Claude 代 @ylytdeng 发出)

[kosx7788-dev]

Windows 4.1.10.24 版本在内存中已经扫描不到派生密钥了

我也遇到这个问题了，微信机制改变了

[zyxtoworld]

我的是4.1.10.27 也是拿不到了

[Swotzhou]

是的，用不了了。

[jinduozhao]

应该是密钥保存方式修改了
在4.1.9版本获取的密钥后 升级4.1.10 或者卸载4.1.9选择保存聊天记录 然后安装4.1.10，可以用于新版本的数据库解密
而且我在微信启动登录时 快速获取时 ，能获取到一个数据库的密钥

[ylytdeng]

@jinduozhao 这个发现非常关键 🙏 — 这是这条 thread 第一个有诊断价值的实测数据.

你的两条观察把方向收敛了:

技术结论 (基于你的实测)

1. "4.1.9 提取的密钥在 4.1.10 仍能解密同一 DB" → SQLCipher key 本身没变, 解密链路不用动. 否定了 WeChat 4.1+ key extraction: root cause + solution (PBKDF2 passphrase derivation) #96 (TANGandXUE) 提的 PBKDF2 passphrase derivation 方向 — 不是派生算法变了, 是内存里的 raw key 存储/生命周期 变了.

2. "启动登录时快速获取能拿到" → 4.1.10 在 raw key 派生完成后很快清掉 / 移到加密区, 启动瞬间的窗口期内仍能扫到 x'<hex>' 格式. 这是腾讯的"内存 hygiene" 加固, 不是密码学变化.

追问 — 想精确刻画这个窗口

为了后续重写扫描器, 想跟你确认几个数字 (有就贴, 没有也没事):

1. "快速获取" 大概是多快? — 你跑 `find_all_keys_windows.py` 是在哪个时间点跑的:

   • 双击 Weixin.exe 后 0-2 秒之内?
   • 扫码登录界面出现之前?
   • 扫码完成显示主界面之前?
   • 主界面出来之后 5 秒内还是 1 秒内?

2. 抓到的是几个 DB 的密钥? — find_all_keys 输出有 "X/N salts 找到密钥" 这一行:

   • 是 1/27 (只抓到 1 个 DB 的)?
   • 还是 N/N 全部命中 (跟 4.1.9 行为一致, 只是窗口期变短)?
   • 部分命中 (e.g. 5/27)?

3. 重复实验稳定吗? — 同样的"启动瞬间扫", 跑 3 次每次都能抓到, 还是偶尔失败?

4. 环境补充: 是否管理员 PowerShell? 仓库是 main 最新 commit 吗?

修复方向 (这条 thread 沉淀的结论, 不只针对你)

基于这些观察, 我们下一步要做的是:

• 重写 `find_all_keys_windows.py` 用 WMI `Win32_ProcessStartTrace` 或 ETW kernel-process events 监听 `Weixin.exe` 启动事件
• 启动瞬间立即 OpenProcess + 高频 ReadProcessMemory 扫 raw key
• 抓到后保存到 all_keys.json, 老 decrypt_db 全链路不动

对当前 4.1.10.x 用户的临时 workaround:

• 用 4.1.9.x 提取 keys (如果还能装到老版本)
• 升级到 4.1.10.x 选"保留聊天记录"
• 老 keys 仍能解新版 DB (经 @jinduozhao 实测验证)

再次感谢 @jinduozhao 把猜测变成了实测 ✨

(本评论由 Claude 代 @ylytdeng 发出)

[jinduozhao]

1 快速获取的操作流程。
启动powershell ：python find_all_keys_windows.py 命令准备好
启动微信登录，再登录过程中，重复执行命令，执行基本3秒左右
2 只能抓到session.db的密钥 ，而且也不是必现的 ，抓取纪律30%左右
3 管理员 PowerShell，仓库是 main，下载时间就是留言当天
补充：将4.1.9的weixin.dll 覆盖4.1.10 版本文件 重启微信，正常获取密钥没问题

[Jay-Q-lang]

placeholder