【黑科技】macOS 微信数据库结构分析

https://blog.macoder.tech/macOS-6faf0534323c42259f5277bd95d35c43

凹陷外壳

分享巴斯.zznQ的图一乐研究，做难且正确的事！

7篇原创内容

公众号

点击上方蓝色字体，关注，星标公众号

每日分享网络安全前沿技术！

坚持每天利用碎片时间学习，终将能够变得更强！

环境准备

iMac Retina 5K, 27-inch, 2019

GoLand 2022.3.2

SQLite 客户端 https://download.sqlitebrowser.org/DB.Browser.for.SQLite-3.12.2.dmg

安装 frida-core-devkit

.h 放到 /usr/local/include/frida-core.h

.a 放到 /usr/local/lib/libfrida-core.a

安装 cargo

brew install cargo

curl https://sh.rustup.rs -sSf | sh

编译

CGO_ENABLED=1 go build dumpkey.go

运行

启动微信，运行 dumpkey

获取到key 然后运行DB工具，查看WeChat

查看

本地聊天数据库存储路径：~/Library/Containers/com.tencent.xinWeChat/Data/Library/Application Support/com.tencent.xinWeChat/[version]/[uuid]/Message/*.db

App: DB Browser for SQLite

选择如下配置，复制密钥，即可打开浏览：

遇到问题

问题1：Failed to attach: unable to access process with pid 31250 from the current user account

解决办法：

关闭电脑的SIP功能：

1、重新启动您的Mac。 

2、在OS X启动之前，按住 Command-R 并保持不动，直到看到Apple图标和进度条。发布。这将引导你进入恢复。 

3、从 “实用工具” 菜单中选择 “终端”。 

4、在提示符处输入以下内容，然后按回车键：

csrutil disable

5、终端应显示SIP被禁用的消息。

6、从菜单中选择 重新启动。

问题2：nightly-x86_64-apple-darwin 找不到

rustup component add rustfmt-preview --toolchain=nightly-x86_64-apple-darwin

rustup override set nightly

rustup component add rust-src --toolchain nightly-x86_64-apple-darwin

感谢技术 @凹陷外壳

由于关键字上限，所以需要的小伙伴关注上面的小莫分享公众号回复关键字“微信”可获取工具。