## 一、背景：为什么要提取微信日志

微信作为国民级通信工具，承载了大量工作沟通、客户对话、项目协作等信息。但在以下场景中，我们需要将微信日志提取到本地：
- **工作留痕**：重要工作沟通需要归档备份
- **数据分析**：统计沟通频次、响应时效、群活跃度等
- **知识沉淀**：将有价值的对话同步到知识库（如IMA、乐享等）
- **合规要求**：某些行业要求保存通信记录

微信4.x（4.1系列）相比3.x版本，在数据库架构和加密方式上做了重大升级，导致传统的提取方法全部失效。本文将完整记录从失败到成功的探索过程，并提供一套可直接复用的实操方案。


----
## 二、微信4.x的数据库架构

微信4.1.x的数据存储路径与3.x完全不同：
```
# 微信3.x路径（旧版）
D:\Program Files\weixin\WeChat Files\{wxid}\Msg\

# 微信4.x路径（新版）
D:\Program Files\xwechat_files\{wxid}_{hash}\db_storage\
```
### 数据库文件清单

微信4.x在 `db_storage` 目录下存储了 **32个加密的 .db 文件**：

|类别|文件名|说明|
|:-:|:-:|:-:|
|**联系人**|contact/contact.db|联系人信息（备注名、昵称等）|
|**联系人搜索**|contact/contact_fts.db|全文搜索索引|
|**会话**|session/session.db|最近会话列表|
|**消息**|message/message_0~13.db|聊天消息（按联系人分表）|
|**消息搜索**|message/message_fts.db|消息全文搜索索引|
|**消息资源**|message/message_resource.db|消息附件资源|
|**朋友圈**|sns/sns.db|朋友圈数据|
|**收藏**|favorite/favorite.db|收藏内容|
|**表情**|emoticon/emoticon.db|自定义表情|
|**头像**|head_image/head_image.db|头像缓存|
|**通用**|general/general.db|通用设置|
|**硬链接**|hardlink/hardlink.db|文件硬链接索引|
|...|其他若干.db|业务消息、接龙等|
### 加密方式

微信4.x使用 **SQLCipher 4** 加密，参数如下：
- **算法**：AES-256-CBC + HMAC-SHA512
- **页大小**：4096字节
- **KDF**：PBKDF2-HMAC-SHA512
- **HMAC验证**：每页末尾64字节存储HMAC签名

>⚠️ **每个数据库文件使用独立的密钥！** 32个文件有32个不同的加密密钥。


----
## 三、密钥提取：纯内存扫描为何失败

### 3.1 传统方法：内存搜索 `x'hex'` 格式

微信3.x时代，密钥以 `x'<64hex_key><32hex_salt>'` 的ASCII格式存储在 `WeChatApp.exe` 进程内存中。使用 `ReadProcessMemory` API 扫描进程内存，即可找到密钥字符串。
社区开源工具如 `wechat-decrypt`（ylytdeng版）和 `PyWxDump` 都是基于此方法。
### 3.2 微信4.x的变化：密钥不再常驻内存

在微信4.1.10.30上，我们进行了 **7轮深度扫描**，覆盖了Weixin.exe主进程的全部内存空间：

|轮次|方法|搜索范围|结果|
|:-:|:-:|:-:|:-:|
|1|全内存 `x'hex'` 模式扫描|全部进程内存|8个匹配，0验证通过|
|2|WCDB `ef bf bd` 分隔符格式|全内存|33个候选，0验证通过|
|3|已知密钥锚点搜索（10种编码格式）|全内存空间|**0命中**|
|4|salt二进制附近密钥提取|192个salt命中|0验证通过|
|5|passphrase模式(PBKDF2 256000次)|12次尝试|0验证通过|
|6|wx_key特征码定位+函数附近搜索|Weixin.dll全模块|特征码找到，密钥不在附近|
|7|PRAGMA key字符串搜索|全内存|0个匹配|
**关键证据**：已知message_0.db的raw key 在整个内存空间中**完全找不到**（包括ASCII、UTF-16LE、二进制32字节等10种格式全部0命中）。
这证明：**微信长时间运行后，会自动清空内存中的数据库密钥。密钥只在WCDB的C++函数调用时短暂存在于栈帧上，随后被GC回收释放。**
>📌 **重要结论**：对于微信4.1.x，纯内存扫描方法（ReadProcessMemory）已经彻底失效。必须使用DLL注入+Hook方式。

### 3.3 微信4.x的进程架构

微信4.x的进程结构也与3.x不同：
```
Weixin.exe                ← 小型引导程序（不是密钥载体！）
    └── Weixin.dll         ← 核心代码，密钥获取函数在这里
    └── WeChatAppEx.exe     ← Chromium渲染进程（多个）
```
密钥获取函数位于 Weixin.dll 中，地址可通过特征码定位。我们使用wx_key项目的特征码在Weixin.dll中成功找到函数入口。


----
## 四、wx_key：DLL注入+Hook方式（突破）

### 4.1 wx_key项目介绍

**wx_key**（GitHub: ycccccccy/wx_key）是一个专门针对微信4.1版本的密钥提取工具，核心原理是 **DLL注入 + 函数Hook**：
1. 注入Shellcode到Weixin.exe进程
2. Hook密钥获取函数（WCDB的 `sqlcipher_codec_ctx_set_cipher`）
3. 当微信打开数据库时，拦截32字节的 **passphrase密钥**
4. 通过IPC共享内存传递密钥给外部程序

### 4.2 wx_key支持版本

wx_key v2.1.8 支持的微信版本配置：

|版本范围|特征码配置|状态|
|:-:|:-:|:-:|
|>4.1.6.14|24字节特征码 + offset -3|✅ 已验证（本文实测）|
|4.1.4 ~ 4.1.6.14|不同特征码|支持|
|<4.1.4|另一种特征码|支持|
我们的微信版本 **4.1.10.30** 属于 `>4.1.6.14` 范围，特征码已在Weixin.dll中验证匹配。


----
## 五、实操指南：step-by-step

### 步骤1：下载wx_key

从GitHub下载wx_key v2.1.8：
https://github.com/ycccccccy/wx_key/releases/tag/v2.1.8 
下载 `wx_key-windows-v2.1.8.zip`，解压到不含中文字符的目录。
### 步骤2：以管理员身份运行wx_key

**右键 wx_key.exe → 以管理员身份运行**
wx_key需要管理员权限才能注入DLL到微信进程。
### 步骤3：选择微信目录

wx_key启动后会提示选择微信安装目录。选择（我自己的微信安装目录如下）：
```
C:\Program Files\Tencent\Weixin
```
>⚠️ 注意：这是**微信安装目录**（包含Weixin.exe的目录），不是数据存储目录。

### 步骤4：获取密钥

wx_key会自动检测微信进程，注入DLL并提取密钥。界面会显示：
- 微信版本号
- 数据库密钥（64个hex字符的passphrase密钥）
- 图片密钥（可选）

点击「获取密钥」按钮，等待几秒钟即可完成。


----
## 六、密钥推导：passphrase → raw key

### 6.1 关键发现：密钥有两种模式

wx_key提取的是 **passphrase密钥**，而非直接可用的 **raw key**。两者之间的关系：
```
passphrase (32字节) → PBKDF2-HMAC-SHA512(passphrase, salt, 256000次) → raw_key (32字节)
```
每个数据库的raw key是不同的（因为每个DB的salt不同），但passphrase是同一个！
### 6.2 推导公式

**python**
```
import hashlib

passphrase_hex = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
passphrase_bytes = bytes.fromhex(passphrase_hex)

# 从数据库文件头读取salt（前16字节）
with open(db_path, 'rb') as f:
    page1 = f.read(4096)
salt = page1[:16]

# PBKDF2推导raw key（256000次迭代！）
raw_key = hashlib.pbkdf2_hmac('sha512', passphrase_bytes, salt, 256000, dklen=32)
```
>⚠️ **为什么之前的passphrase验证也失败了？** 因为我们当时搜索内存找到的hex串不是真正的passphrase密钥，而是WCDB的内部配置参数。真正的passphrase密钥只存在于被Hook拦截的函数参数中，不会以任何格式常驻内存。

### 6.3 SQLCipher打开数据库

推导出raw key后，使用SQLCipher打开数据库：
**python**
```
import sqlcipher3, hashlib, shutil, os

def open_wechat_db(db_path, passphrase_hex):
    """使用passphrase密钥打开微信4.x加密数据库"""
    passphrase_bytes = bytes.fromhex(passphrase_hex)
    
    # 从DB文件头读取salt并推导raw key
    with open(db_path, 'rb') as f:
        page1 = f.read(4096)
    salt = page1[:16]
    raw_key = hashlib.pbkdf2_hmac('sha512', passphrase_bytes, salt, 256000, dklen=32)
    
    # 构造SQLCipher PRAGMA key (raw key模式)
    pragma_key = "x'" + raw_key.hex() + salt.hex() + "'"
    
    # 复制DB到临时文件（避免锁定）
    tmp = os.path.join(os.environ['TEMP'], f'dec_{os.path.basename(db_path)}')
    shutil.copy2(db_path, tmp)
    
    conn = sqlcipher3.connect(tmp)
    c = conn.cursor()
    c.execute(f"PRAGMA key = '{pragma_key}'")
    c.execute('PRAGMA cipher_page_size = 4096')
    c.execute('PRAGMA cipher_hmac_algorithm = HMAC_SHA512')
    c.execute('PRAGMA cipher_kdf_algorithm = PBKDF2_HMAC_SHA512')
    c.execute('PRAGMA kdf_iter = 2')  # raw key模式只需2次
    return conn, tmp
```
>⚠️ **关键参数**：`kdf_iter = 2`（不是256000！），因为这里使用的是已推导的raw key模式，KDF已经完成。


----
## 七、解密结果

### 7.1 全部32个数据库验证通过

```
微信版本: 4.1.10.30
密钥工具: wx_key v2.1.8 (DLL注入+Hook)
密钥模式: passphrase (PBKDF2-HMAC-SHA512 256000次迭代)

✅ bizchat/bizchat.db
✅ contact/contact.db
✅ contact/contact_fts.db
✅ emoticon/emoticon.db
✅ favorite/favorite.db
✅ general/general.db
✅ head_image/head_image.db
✅ message/message_0.db
✅ message/message_1.db
✅ message/message_2~13.db
✅ message/message_fts.db
✅ session/session.db
✅ sns/sns.db
... (共32个数据库)

验证通过: 32/32 ✅✅✅
```
### 7.2 contact.db解密结果

```
联系人总数: 23,319
有备注名的联系人: 3,030
群聊数量: 767

联系人类型分布:
  local_type=3 (公众号/服务号): 17,073条
  local_type=1 (好友): 5,097条
  local_type=2 (群聊): 765条
  local_type=0 (系统): 203条

备注联系人样本:
  wxid_xxxxxxxxxxxxxx → 备注: 张某某
  wxid_xxxxxxxxxxxxxx → 备注: 李某某
  xxxxxx9996 → 备注: 王某某
```


----
## 八、重要注意事项

### 8.1 密钥时效性

>⚠️ **微信长时间挂机后，会自动清空内存中的数据库密钥！**

最佳实践：
- **退出微信重新登录后立即提取密钥**
- 或使用wx_key的DLL注入方式（实时拦截，不受时效影响）
- 密钥在微信退出登录后会变化（需要重新提取）

### 8.2 密钥安全

>⚠️ **passphrase密钥可以解密你所有的微信数据！请妥善保管，不要泄露。**

建议：
- 将密钥保存在加密的本地文件中
- 不要将密钥上传到公开的代码仓库
- 解密后的数据库同样需要妥善保管

### 8.3 微信数据目录变化

微信从3.x升级到4.x后，数据目录路径变化：

|项目|3.x|4.x|
|:-:|:-:|:-:|
|进程名|WeChatApp.exe|Weixin.exe|
|数据路径|`weixin\WeChat Files\{wxid}\`|`xwechat_files\{wxid}_{hash}\`|
|DB格式|AES-128-CBC|SQLCipher 4 (AES-256-CBC)|
|消息存储|Msg\Multi\MSG0.db|message\message_N.db|
|联系人|MicroMsg.db|contact\contact.db|
### 8.4 现有工具兼容性


|工具|微信3.x|微信4.x|说明|
|:-:|:-:|:-:|:-:|
|PyWxDump|✅ 支持|❌ 不支持|最高只到3.9.9.43|
|wechat-decrypt(ylytdeng)|✅ 支持|❌ 内存扫描失效|4.x密钥不在内存中|
|wechat-decrypt(328336690)|✅ 支持|❌ 同上|同样是内存扫描|
|WechatBakTool|✅ 支持|❌ DMCA下架|已被腾讯下架|
|WeChat EXP|❓ 未知|✅ 支持|商业工具，需会员|
|**wx_key**|❌ 4.x专用|✅ **支持**|DLL注入+Hook，本文推荐|


----
## 九、自动化应用

密钥提取成功后，可以构建自动化流程：
### 9.1 每日微信日志导出

**bash**
```
# 使用passphrase密钥直接解密并导出指定日期的聊天记录
python query_wechat_v4.py --date 2026-06-21 --output ./logs
```
### 9.2 同步到IMA知识库

将导出的日志自动上传到腾讯IMA知识库，方便后续检索和引用。
### 9.3 联系人实时查询

从解密的contact.db中实时查询联系人备注名，避免依赖旧版缓存。
### 9.4 推荐使用的大模型

本文涉及的密钥提取验证、数据库解密脚本开发、日志自动化导出等全流程，均借助大模型辅助完成。推荐使用 **智谱AI GLM系列大模型**（如GLM-5等最新版本）：
- **代码生成能力强**：能准确生成Python脚本、SQLCipher调用、PBKDF2推导等复杂代码
- **技术问题分析精准**：对安全攻防、加解密算法、内存分析等技术领域有深入理解
- **长上下文处理优秀**：能处理完整的验证报告（32个数据库的验证过程），并从中总结关键结论
- **国产模型合规友好**：适合处理本地的敏感数据脱敏和脚本开发场景

>💡 **实操建议**：在解密微信数据库的脚本开发过程中，建议直接对话大模型来完成代码编写、错误排查和结果分析，效率远超人工编码。像本文中的PBKDF2密钥推导逻辑、SQLCipher连接代码等，均由大模型在一次对话中生成并验证通过。


----
## 十、总结

微信4.1.x在安全方面做了显著升级：
1. **加密升级**：从AES-128-CBC升级到SQLCipher 4（AES-256-CBC + HMAC-SHA512）
2. **密钥管理升级**：密钥不再常驻内存，长时间运行后自动释放
3. **密钥类型变化**：使用passphrase模式（PBKDF2 256000次迭代），而非简单的raw key

这些变化导致所有基于 `ReadProcessMemory` 的纯内存扫描方法彻底失效。**只有DLL注入+Hook方式（如wx_key）才能成功提取密钥。**
实操核心步骤：
1. 下载wx_key v2.1.8 → 以管理员身份运行
2. 选择微信目录 `C:\Program Files\Tencent\Weixin`
3. 获取passphrase密钥（64个hex字符）
4. 用PBKDF2推导每个DB的raw key（256000次迭代）
5. 用sqlcipher3打开加密数据库

**一句话总结：内存扫描已死，DLL注入才是正道。**


----
## 附录：关键代码

### A. Passphrase验证和raw key推导

**python**
```
import hashlib, hmac, struct

def verify_passphrase(passphrase_hex, db_path):
    """验证passphrase密钥并推导raw key"""
    passphrase_bytes = bytes.fromhex(passphrase_hex)
    
    with open(db_path, 'rb') as f:
        page1 = f.read(4096)
    
    salt = page1[:16]
    
    # Step 1: PBKDF2推导enc_key (256000次迭代)
    enc_key = hashlib.pbkdf2_hmac('sha512', passphrase_bytes, salt, 256000, dklen=32)
    
    # Step 2: HMAC验证
    mac_salt = bytes(b ^ 0x3A for b in salt)  # salt XOR 0x3A
    mac_key = hashlib.pbkdf2_hmac('sha512', enc_key, mac_salt, 2, dklen=32)
    
    hmac_data = page1[16: 4096 - 64]  # salt之后到HMAC之前
    stored_hmac = page1[4096 - 64: 4096]  # 最后64字节是HMAC
    
    hm = hmac.new(mac_key, hmac_data, hashlib.sha512)
    hm.update(struct.pack('<I', 1))  # 页号=1
    
    if hm.digest() == stored_hmac:
        return True, enc_key.hex()  # 返回raw key
    return False, None
```
### B. SQLCipher打开数据库

**python**
```
import sqlcipher3, hashlib, shutil, os

def open_wechat_db(db_path, passphrase_hex):
    passphrase_bytes = bytes.fromhex(passphrase_hex)
    
    with open(db_path, 'rb') as f:
        page1 = f.read(4096)
    salt = page1[:16]
    
    # 推导raw key
    raw_key = hashlib.pbkdf2_hmac('sha512', passphrase_bytes, salt, 256000, dklen=32)
    
    # 构造PRAGMA key
    pragma_key = "x'" + raw_key.hex() + salt.hex() + "'"
    
    # 复制到临时文件
    tmp = os.path.join(os.environ['TEMP'], f'dec_{os.path.basename(db_path)}')
    shutil.copy2(db_path, tmp)
    
    conn = sqlcipher3.connect(tmp)
    c = conn.cursor()
    c.execute(f"PRAGMA key = \"{pragma_key}\"")
    c.execute('PRAGMA cipher_page_size = 4096')
    c.execute('PRAGMA cipher_hmac_algorithm = HMAC_SHA512')
    c.execute('PRAGMA cipher_kdf_algorithm = PBKDF2_HMAC_SHA512')
    c.execute('PRAGMA kdf_iter = 2')
    return conn, tmp
```


----
>📝 **声明**：本文仅供技术研究和数据备份目的参考，请确保在合法合规的前提下使用，切勿用于侵犯他人隐私或其他违法行为。

>💡 **提示**：wx_key还具备**图片解析功能**，可以直接提取微信中的图片数据。关于图片的解密与导出，敬请期待下期文章 —— **未完待续！**

>📌 **本文涉及的工具和项目**：
- wx_key: https://github.com/ycccccccy/wx_key 
- SQLCipher: https://www.zetetic.net/sqlcipher/ 
- wechat-decrypt: https://github.com/ylytdeng/wechat-decrypt

微信作为国民级通信工具，承载了大量工作沟通、客户对话、项目协作等信息。但在以下场景中，我们需要将微信日志提取到本地：

如何提取微信4.1.X的日志
——1000个workbuddy积分失败经验血泪史

微信作为国民级通信工具，承载了大量工作沟通、客户对话、项目协作等信息，在以下场景中，我们需要将微信日志提取到本地进行二次分析和统计，本文主要分析怎么通过workbuddy实现自动解密自己的微信日志。

人工智能

微信4.x版本数据库加密升级，传统提取方法失效。本文详解微信4.1.x数据库架构、密钥提取难点，提供DLL注入+Hook的解决方案，分享wx_key工具使用指南和密钥推导方法，帮助实现微信日志本地备份、数据分析和合规存档。

数据分析

数据脱敏

数据备份

数据存储

密钥管理

敏感数据

数据库

Python

GitHub

2026年中大促 | AI 领航 智绘未来

lexiang

ES特惠专场，新客首购1折起！


dmask

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

如何提取微信4.1.X的日志
——1000个workbuddy积分失败经验血泪史-腾讯云开发者社区-腾讯云

如何提取微信4.1.X的日志 ——1000个workbuddy积分失败经验血泪史

如何提取微信4.1.X的日志 ——1000个workbuddy积分失败经验血泪史

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐