发文本消息

WeChatWin.dll: 78670000

787D42EE    8D46 38         lea     eax, dword ptr [esi+38]          ; 取at结构体
787D42F1    6A 01           push    1                                ; 0x1
787D42F3    50              push    eax                              ; 群消息at好友，非at消息为0
787D42F4    57              push    edi                              ; 消息内容,[edi]
787D42F5    8D95 7CFFFFFF   lea     edx, dword ptr [ebp-84]          ; 接收人,[edx]
787D42FB    8D8D 58FCFFFF   lea     ecx, dword ptr [ebp-3A8]         ; 缓冲区，据说是类本身
787D4301    E8 7A793300     call    78B0BC80                         ; 发送消息CALL
787D4306    83C4 0C         add     esp, 0C                          ; 平衡堆栈

发文件

需要往前往后找找，这个地方没有压入接收人。

Executable modules, 条目 128
 基址=02E50000
 大小=02624000 (39993344.)
 入口=0437C59D WeChatWi.<模块入口点>
 名称=WeChatWi
 文件版本=3.5.0.46
 路径=D:TencentWeChat[3.5.0.46]WeChatWin.dll

02FCE859    50              push    eax                              ; 文件位置结构体指针
02FCE85A    E8 6158FEFF     call    02FB40C0                         ; 发送文件1
02FCE85F    E8 7C0F3800     call    0334F7E0                         ; 发送文件2

接收消息

WeChatWin.dll: 0FB10000

0FFD63D2    8B8D ACF5FFFF   mov ecx,dword ptr ss:[ebp-0xA54]
0FFD63D8    8D85 C8F1FFFF   lea eax,dword ptr ss:[ebp-0xE38]
0FFD63DE    50              push eax								 ; 消息本体
0FFD63DF    E8 5C69BFFF     call WeChatWi.0FBCCD40                   ; 接收消息CALL

未加密图片数据

Executable modules, 条目 103
 基址=65ED0000
 大小=02624000 (39993344.)
 入口=673FC59D WeChatWi.<ModuleEntryPoint>
 名称=WeChatWi
 文件版本=3.5.0.46
 路径=D:WeChatWeChatWin.dll

6656AEB7    56              push esi                                 ; 大小，未加密数据在edi中
6656AEB8    8D4D C8         lea ecx,dword ptr ss:[ebp-0x38]
6656AEBB    E8 10B50300     call WeChatWi.665A63D0                   ; 获取加密前的数据HOOK点


6656AF0F    0FBE05 20D30A68 movsx eax,byte ptr ds:[0x680AD320]       ; 取加密秘钥


6656AFA2    8B7D C8         mov edi,dword ptr ss:[ebp-0x38]          ; 加密后的数据
6656AFA5    8B73 08         mov esi,dword ptr ds:[ebx+0x8]           ; 数据大小
6656AFA8    8B4D E0         mov ecx,dword ptr ss:[ebp-0x20]          ; 保存路径
6656AFAB    8BD7            mov edx,edi
6656AFAD    6A 00           push 0x0
6656AFAF    FF73 0C         push dword ptr ds:[ebx+0xC]
6656AFB2    56              push esi
6656AFB3    E8 18770200     call WeChatWi.665926D0                   ; 获取加密后的数据HOOK点

wxid查询好友信息

Executable modules, 条目 103
 基址=64AC0000
 大小=02624000 (39993344.)
 入口=65FEC59D WeChatWi.<ModuleEntryPoint>
 名称=WeChatWi
 文件版本=3.5.0.46
 路径=D:WeChatWeChatWin.dll


64DE12BE    E8 DDC6D6FF     call WeChatWi.64B4D9A0                   ; 查询好友信息CALL1
64DE12C3    8D9F 900F0000   lea ebx,dword ptr ds:[edi+0xF90]         ; 缓冲区
64DE12C9    8BF0            mov esi,eax
64DE12CB    53              push ebx
64DE12CC    83EC 14         sub esp,0x14
64DE12CF    8D45 08         lea eax,dword ptr ss:[ebp+0x8]
64DE12D2    8BCC            mov ecx,esp
64DE12D4    50              push eax                                 ; wxid
64DE12D5    E8 46713B00     call WeChatWi.65198420                   ; 查询好友信息CALL2
64DE12DA    8BCE            mov ecx,esi
64DE12DC    E8 7F2F0C00     call WeChatWi.64EA4260                   ; 查询好友信息CALL3，好友信息保存在ebx中，eax判断是否查询成功

偏移自行计算，请勿用于非法用途。