某聊天工具消息记录数据库文件解密逆向分析

矫情吗；* 2023-01-18 12:23 15阅读 0赞

0x00 简介

每一个聊天工具账号登入后会在"\\Document\\Tencent Files\\账号"的目录下Msg3.0.db文件里写入加密后的聊天记录信息。

![图片][9f6bc1f123cbdc84b0820a0c9fda16a4.png]

查看该工具的Bin目录下的DLL文件可以知道它用的是sqlite的数据库，sqlite默认是没有实现加密的函数只是提供了接口，网络上有一些开源的加密库，比如wxsqlite3,sqlcipher等。

0x01 前期准备

先再IDA中分析sqlite.dll,查找含有version字符串的函数然后交叉引用，找到上一个函数就可以发现当前程序使用的sqlite的版本号，可以从网上Down下来源码方便进一步分析，下载链接在文末。

![图片][9ccbc106bf5c493f7e403c9fd1848c7c.png]

![图片][435d65f65632ceb782e8abcf3bbf0353.png]

# sqlite的加解密简易流程： #

![图片][60fec76dfa6127ad09f934611e1a166d.png]

0x02 获取加密所需的函数

## 在sqlite.dll里对这些函数下断点动态调试发现没有断下来，结合网络上前辈的分析，IDA中打开KernelUtil.Dll函数名字都很类似，猜测这个Dll就是tx自己对sqlite的具体实现。 ##

![图片][23b97385de26d3f4e829cdccea5a9c68.png]

我们可以先在CMultiSQLite3DB::innerOpen等open函数下断点，并打开火绒剑对文件操作进行监控。具体下断点的方法就是附加进程然后在模块里找到KernelUtil.DLL,在IDA找到要下断点的函数的偏移，\[KernelUtil.DLL + 偏移\]就是要下断点的位置。

![图片][fe130fea5b18e1b0f0687aa06a71e634.png]

然后观察堆栈传递的参数结合火绒剑和x96dbg单步步过，就可以找到是哪个函数真正打开db文件。

![图片][e70addd3edb5bcc1c94f77fe46c9a807.png]

结合sqlite源码和IDA分析可以还原参数和函数名。

![图片][f5eacf13a6364519a60080970004372c.png]

在innerOpen这个函数中我们可以看到CppSQLite3DB::execDML这个函数，我们可以大胆猜测它是封装了sqlite3\_exec,结合源码进行重命名。sqlite3\_exec的第三参数和第四个参数是回调函数，主要的作用是接收sql语句执行的结果，这个在后续编写Demo有用到，具体用法在文末的链接可以参考。

![图片][d816298037e9c1b8f400c44f537989b3.png]

sqlite3\_key的具体实现函数我们可以在IDA中观察CppSQLite3DB::key这个函数并结合sqlite3的源码可以推测真实设置key的函数，不妨在此处下断点，后续抓取key时有大作用。

![图片][13dc3da942bb5b56e1ecbaba0e6e635b.png]

![图片][fe6e0dc38821582d80c61e7325c6e291.png]

至此我们获得了后续抓取解密Key所需要的几个函数地址，在x96dbg的对应偏移位置下上断点。

0x03 抓取解密Key

## key是云端生成的理论上没**有账号的密码是打不开这个聊天记录文件的**，并且在每次打开程序后的密钥都是不一样的，所以这里得注意**抓到密码后关闭程序得备份Msg3.0.db**这个文件，文件于key是一一对应的。 ##

我们先让它正常登入然后在火绒剑观察它是什么时候对Msg3.0.db进行操作的。可以发现是在比较前面就打开了Msg3.0.db所以大胆猜测是在进程在刚启动的时候执行解密操作。接下来附加进程开始调试。

![图片][6c520388957718ff7ebc33207d0fd852.png]

在附加进程的时候得注意，选择上面那个进程，下面那个是登入进程在登入成功后会自动销毁了。

![图片][313cfc25925f29cd5bdcef4b360b36df.png]

在CreateFileW下断点观察火绒剑和x96dbg堆栈知道发现它打开了Msg3.0.db这个文件。

![图片][77206686e1c34b6f6d5cb2be880b006b.png]

一直F9直到调用sqlite3\_open函数的参数有Msg3.0.db（期间可能有多个地方调用了open，真实的是先调用open后调用key，多次尝试可以试到真实获取解密Key的地方），根据上文可知sqlite会先打开对应db文件并在后面在设Key，根据IDA分析结果可以知道原始key是16位的，扩展之后变成16\*17位了。

![图片][e6b587b85b4b75c5535a1be38d0431b5.png]

![图片][904938e6cc5d2d7e266a9f2c58c2ebde.png]

![图片][fb13a4c73f596ac395a6418042943af2.png]

有了扩展key可以直接调用sqlite3\_key\_impl这个实现函数，也可以使用原始16位key直接调用sqlite3\_key.备份好Msg3.0.db和Key开始编写demo。

0x04 总结

## 总的来说主要是要找到sqlite解密的各个函数的偏移地址和解密key，有个小坑就是key是动态的而且和Msg3.0.db一一对应的，每次抓到key的记得备份Msg3.0.db。 ##

## 所以我们可以直接调用tx的KernelUtil.Dll，在Load KernelUtil.Dll的时候要注意放在\\Bin 目录下不然会导入失败，因为KernelUtil.Dll还有导入其他的Dll。 ##

![图片][20af344a63b97dcb602c5992a071c96e.png]

![图片][2f090e6eb437830daa731c7ce8e9a945.png]

0x05 参考链接

## sqlite v3.8.8.1下载链接： ##

## https://www.sqlite.org/2015/sqlite-amalgamation-3080801.zip ##

sqlcipher v3.3.1下载链接：https://codeload.github.com/sqlcipher/sqlcipher/zip/v3.3.1

撬开PC QQ的本地SQLite数据库（适用于Msg3.0.db等）：https://www.52pojie.cn/thread-1370802-1-1.html

sqlite\_exec回调函数的使用：https://blog.csdn.net/zscfa/article/details/77119522

[9f6bc1f123cbdc84b0820a0c9fda16a4.png]: /images/20221021/94eda76a8bd84aac9523ce2afa306523.png
[9ccbc106bf5c493f7e403c9fd1848c7c.png]: /images/20221021/bc4a7ff8e88d418b8c378f0bc0965bc6.png
[435d65f65632ceb782e8abcf3bbf0353.png]: /images/20221021/c1c01eda42a442edb5018a90592193e7.png
[60fec76dfa6127ad09f934611e1a166d.png]: /images/20221021/9483ab1e3d49434790120816a8f2c299.png
[23b97385de26d3f4e829cdccea5a9c68.png]: /images/20221021/e0ccd88caaa14720a0e8e99854af0b07.png
[fe130fea5b18e1b0f0687aa06a71e634.png]: /images/20221021/a9470ddc6d7344e4a823d477d841d120.png
[e70addd3edb5bcc1c94f77fe46c9a807.png]: /images/20221021/492edddab50c4697831958d5ffbb6b64.png
[f5eacf13a6364519a60080970004372c.png]: /images/20221021/2f366c6393f4467797fdfd67b08d0df6.png
[d816298037e9c1b8f400c44f537989b3.png]: /images/20221021/f8f2782b9791422b946098f3896833ba.png
[13dc3da942bb5b56e1ecbaba0e6e635b.png]: /images/20221021/7ac795aa48b548b4a588ea66352b67ba.png
[fe6e0dc38821582d80c61e7325c6e291.png]: /images/20221021/23bbea3eab604a35ac6def043c2e7962.png
[6c520388957718ff7ebc33207d0fd852.png]: /images/20221021/44d56d945bc64989bae5f1cfadc64e23.png
[313cfc25925f29cd5bdcef4b360b36df.png]: /images/20221021/b4cee58da6084cab93d8f5567e66264f.png
[77206686e1c34b6f6d5cb2be880b006b.png]: /images/20221021/e2b0b0e5612349e89a0856703c48e991.png
[e6b587b85b4b75c5535a1be38d0431b5.png]: /images/20221021/d659bb84ba1b47eb886df5897330e9a8.png
[904938e6cc5d2d7e266a9f2c58c2ebde.png]: /images/20221021/a70e470b45b64a9193995cbd4df3a5f5.png
[fb13a4c73f596ac395a6418042943af2.png]: /images/20221021/29cd14dd2299420385475a93b15d00e3.png
[20af344a63b97dcb602c5992a071c96e.png]: /images/20221021/9cef224e7beb4a7a986b70a05896a679.png
[2f090e6eb437830daa731c7ce8e9a945.png]: /images/20221021/4a5baa7489154f7db8156ee5bf772556.png