Linux: WeChat 4.1.1.4 key extraction fails — 0/19 keys matched

[luckyruiguo]

Environment

• OS: Linux (Ubuntu 24.04)
• WeChat: 4.1.1.4 (xwechat, /opt/wechat/wechat)
• wx-cli: v0.1.10 (npm global)
• ptrace_scope: 1 (requires sudo)

Steps

sudo wx init

Output

检测微信数据目录...
找到数据目录: /home/hpc/Documents/xwechat_files/wxid_wbwrzb89cg0322_5ff1/db_storage
扫描加密密钥（需要 root 权限）...
WeChat PID: 4145
找到 15 个加密数据库
扫描进程内存...
找到 384 个可读写内存区域 (via /proc/<pid>/maps rw filter)
找到 19 个候选密钥
匹配到 0/19 个密钥

Expected

Keys matched against database salts, all_keys.json written to cache.

Actual

Found 19 hex patterns matching the expected format (x'<64hex><32hex>'), but none of the salts matched any of the 15 databases on disk. This suggests the key format or memory layout changed in WeChat 4.1.x.

Notes

• The db_storage/all_keys.json file exists (generated by WeChat/WCDB itself) but contains wrapped keys that don't work directly with SQLCipher PRAGMA key.
• DB files are standard SQLCipher 4 format (first 16 bytes are salt, no plaintext SQLite header).
• WeChat version string from binary: client_version=4067692804

Happy to provide any additional debug info.

[Easononon]

环境：macOS Apple Silicon (M4) + WeChat 4.1.7 (Build 34371) + macOS 25.4
问题：找到 20 个候选密钥，匹配到 0/20 个，session.db 无法解密
操作：codesign → 重启微信 → sudo wx init --force 均已执行，密钥数量仍为 0
wx-cli版本：v0.1.10
补充：与 Issue #30 的 Linux 4.1.1.4 报错完全相同，均为 0/x 密钥匹配失败

[TANGandXUE]

根因已找到 + 解决方案

我们在 WeChat 4.1.1.4 Linux 上遇到了完全相同的问题，花了一天定位到了根因并实现了解决方案。

根因

微信 4.1+ 不再在内存中缓存 raw enc_key。内存中的 x'<hex>' 模式对应的 salt 与数据库文件的 salt 不匹配，是因为缓存的是其他用途的密钥（可能是旧版本遗留或临时密钥）。

实际的数据库密钥以 passphrase 形式存在，需要经过 PBKDF2-SHA512（256,000 次迭代） 才能派生出真正的 enc_key：

passphrase (32 bytes, 从 GDB 断点捕获)
    ↓ PBKDF2-SHA512(passphrase, db_salt, 256000, 32)
enc_key (32 bytes, 用于 AES-256-CBC 解密)

验证

我们做了 3.87 亿次 16 字节对齐的 HMAC 暴力验证，扫遍了所有 20 个微信进程的可读内存，确认 raw key 确实不存在。之后通过 GDB 断点在登录时捕获到 passphrase，经 PBKDF2 派生后 23/23 个数据库全部验证通过。

解决方案

ELF 静态分析 + GDB 断点 + PBKDF2 派生：

1. 分析微信 ELF 的 .rodata 节，搜索 com.Tencent.WCDB.Config.Cipher 字符串的交叉引用，自动定位断点地址（无需每个版本手动逆向）
2. GDB 在登录时设断点，从寄存器读 32 字节 passphrase
3. 对每个 DB 的 salt 执行 PBKDF2-SHA512（256K 迭代）派生 enc_key

用户只需首次配合"退出登录→重新登录"，之后 passphrase 缓存到磁盘，后续秒级启动。

工具

已开源为独立工具：https://github.com/TANGandXUE/wcdb-key-tool

单文件、零依赖、自动适配新版本。