pc微信图片自动下载并解密

lego_las

一、前言微信 PC 端接收的图片以 .dat 加密文件落盘,默认需手动点击才下载原图。本帖分享如何让微信自动下载原图并实时解密还原成正常图片。
二、为什么选择 3.9.12.56

• 它是 32 位最后一版。微信从 4.x 起全面转向 64 位,3.9.12.56 是 32 位末班车。32 位的 Hook、注入、偏移分析工具链更成熟,x86 汇编也更容易上手。
• 不会强制升级。腾讯后续没有再给这个版本推送更新,偏移地址长期稳定,不用担心哪天起来补丁就失效了,适合长期使用和研究。
• 界面更习惯。相比 4.x 重做的 UI,3.9.x 的经典界面用着顺手,日常聊天和逆向两不误。
  

三、原理分析

• 定位图片下载函数
  

x32dbg 堆栈回溯:在 .dat 文件写入的 API(如 CreateFile/WriteFile)上下断点,微信收到图片断下后看调用堆栈(Call Stack),逐层往上找到图片下载的业务函数。
ghidra 函数分析:把回溯到的地址扔进 ghidra 反编译看伪代码,结合日志字符串(如 "PreDownLoadMgr::push_attach_task"、"is_user_clicked=%d")找到对应函数。




汇编的乐趣就在这里：只要改一个参数就能实现自动下载

• 图片解密
  

.dat 是逐字节异或,而已知图片文件有固定的文件头,用 .dat 前 2 字节与已知头异或就能反推 key

四、完整调用链


五、注意事项
微信需要配置注册表（感谢本论坛的网友提供）
计算机\HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers
C:\Program Files (x86)\Tencent\WeChat\WeChat.exe   ~ ARM64WOWONAMD64

常年在论坛白嫖，寻找工具和各种解决方案，第一次发帖，希望大家多多关照，源码放到了github上。
地址：https://github.com/hero0913/wxhook
本帖仅供学习研究,请勿用于非法用途
wxtool.7z (207.61 KB, 下载次数: 28)

2026-8-29 18:01 上传

点击文件名下载附件
下载积分: 吾爱币 -2 CB

yoyo9210

注册表是要修改成这样吗？
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers]
"\"C:\\Program Files\\Tencent\\WeChat\\WeChat.exe\""="~ ARM64WOWONAMD64"

lego_las

caihei 发表于 2026-9-2 11:27
这个怎么用？就放到微信目录里？

1.保证dll和exe 在同一个目录就行，启动微信》开始注入》日志显示INJECTED 就成功了
2.效果是微信默认保存图片目录会生成原始加密文件，还有解密后的图片

caihei

这个怎么用？就放到微信目录里？

W985201

放到那个目录里面，微信的

ChenEric23

有用过的来来评价下么？好用吗

ran107

多谢分享！

Mix7r

厉害了大侠

igloo

这真是个下载微信图片的好工具

Kadon620

感谢分享，试一下好不好用

leiyou456

安装3.9版本  官方提示 版本太低  让升级