怎么寻找微信撤回的图片

怎么寻找微信撤回的图片

点点

2021-05-22 10:47 阅读 967 喜欢 1

1 回顾

自从发布文章“寻找微信撤回的图片”之后,骗了不少粉啊。

总之,之前提出了一种可以找到微信撤回图片的方法。

2 真相

之前的说法是,工程师并没有真正把撤回的图片删除,而是加密后藏起来了。其实这样说并不严谨,经过后续测试,发现PC端的确如此,而手机端(Android)撤回的图片是有删除的,但是删除的不干净。

2.1 PC端

微信所有接收到的图片都储在[X]:\Users[USER]\Documents\WeChat Files[WECHAT_USER]\Data。里面有一堆以.dat为后缀的文件,他们大小不一,都经过了加密。而加密的方法便是对字节逐一“异或”。

之前的说法是,加密后的字节 = 原始字节 ^ 0x51。为了方便,我们把0x51称作“magic码”。

有网友反馈,magic码不一定是0x51,有的机器是0x50。经过一些测试,结论是,magic码与微信号有关,即不同的微信号在同一台机器可能得到不同的magic码,而同一个微信号在不同的机器上得到了相同的magic码。这里猜测,magic码是由微信号或者微信ID计算得来的。

其实,我们无需关心magic码的计算方式。因为,我们可以肯定的是,.dat文件是图片,而对于JPEG的图片,其对应二进制的第一个字节是0xFF。

所以,问题变成了,已知:.dat文件对应二进制的第一个字节 = 0xFF ^ magic码,求magic码。

我们已经知道,如果C=A^B,则A^C=(A^A)^B,而A^A=0,所以A^C=B,即B=A^C。

magic码 = 0xFF ^ 已知.dat文件对应二进制的第一个字节。

修改后的解密代码:

def _decode_pc_dat(self, datfile):
with open(datfile, 'rb') as f:
    buf = bytearray(f.read())

magic = 0xff ^ list(buf)[0] if buf else 0x00 #important
imgfile = re.sub(r'.dat$', '.jpg', datfile)
with open(imgfile, 'wb') as f:
    newbuf = bytearray(map(lambda b: b ^ magic, list(buf)))
    f.write(str(newbuf))

2.2 手机端(Android)

之前提到,/sdcard/tencent/MicroMsg/diskcache中存放类似cache.data.10的文件,大小在2MB左右。如果把文件后缀改为.jpg,是可以打开的,JPEG文件里实际上是“串联”了一堆图片,可以通过以下代码把所有的图片拆分出来:

 def _decode_android_dat(self, datfile):
with open(datfile, 'rb') as f:
    buf = f.read()

last_index = 0
for i, m in enumerate(re.finditer(b'\xff\xd8\xff\xe0\x00\x10\x4a\x46', buf)):
    if m.start() == 0:
        continue

    imgfile = '%s_%d.jpg' % (datfile, i)
    with open(imgfile, 'wb') as f:
        f.write(buf[last_index: m.start()])
    last_index = m.start()

通过实验,发现这些拆分出来的图片并不包含撤回的图片。坏消息是,在手机端没有找到撤回的图片。好消息是,在微信的缓存文件夹里找到了撤回图片的“缩略图”。肯定是没有大图好看啦,但是如果我们早些年看过一种3GP格式的视频的话,这些缩略图的品质还是可以接受的。至少能知道对方发的是什么。

路径为:/sdcard/tencent/MicroMsg/[USER_HASH]/image2/[HASH1]/[HASH2]/th_[HASH],比如这样:/sdcard/tencent/MicroMsg/202cb962ac59075b964b07152d234b70/image2/6b/3a/th_c4ca4238a0b923820dcc509a6f75849b。给文件名加上.jpg后缀就可以打开啦。

由于缓存文件夹里的文件非常多,建议根据修改时间来定位HASH1和HASH2。

3 并不神奇的0x51

之前说的最大的一个bug是,对于PC端图片的加密,工程师选择了一个神奇的数字0x51与各个字节进行异或。而且我还自圆其说了,说什么0x51是“Q”的ASCII码。为啥选择“Q”呢,因为“QQ”。

不忍直视啊,上面已经解释了,magic码并不固定。最后献上修改后的微信图片解密、找回撤回的图片工具:http://www.sdxlp.cn/tool/wechatdat

转载请注明出处: http://sdxlp.cn/article/weixin005.html


如果对你有用的话,请赏给作者一个馒头吧 ...或帮点下页面底部的广告,感谢!!

赞赏支持
提交评论
评论信息(请文明评论)
暂无评论,快来快来写想法...
推荐
安卓手机版微信软件被很多小伙伴使用,用来聊天,支付等,有的小伙伴在使用该软件时,发现一点击链接,微信就会闪退,那么如何解决这一问题呢?小编就来为小伙伴们介绍一下吧。
微信现在作为国民软件,语音视频通话很大程度上已经取代了“打电话”,很多小伙伴们都喜欢通过微信来“打电话”。但是在使用微信进行语音通话时,会遇到对方来电没有声音的情况,很容易错过重要消息,带来不便和困扰。
当下的传播渠道有好多,微信公众号是一个不错的选择,微信公众号已经成为企业展示自己的最好平台,将自己企业的网站绑定在公众号上,分享出去。
我们都知道手机微信里面的语音是无法转发的,而且微信的android版的语音文件采用amr格式,而iPhone版采用aud格式,这两种格式连播放器都无法播放!
近期很多小伙伴们问点点怎样可以用一个手机号怎么注册两个微信号,或许有的小伙伴试过啦。是否发现有的可以,有的不可以呀!哪什么情况可以哪?跟点点来看一下。
最近微信是一个很火的社交软件,可以用来聊天,也可以用来支付,转账等;再次登陆微信的时候发现自动退出登录了是什么原因呢?
很多的小伙伴私信小编说是微信账单删除后如何可以再恢复,移动支付普及的今天,微信账单流水的取证在有些案子中是至关重要的。今天的文章就给小伙伴们讲一个微信里查询账单流水的小技巧。
智能手机已经成为了标配,小编是个不喜欢清理微信聊天记录里的照片、文档、视频等各种东西的人,但是有一次不知道是因为什么,一股脑就将好几个人的聊天记录中的文件、照片、视频通通清理并删除掉了,后面想找回来,才知道自己当时太冲动了,估计很多人都有这种经历吧,那么,微信删除的图片怎么恢复?