wechat-db-decrypt - 微信数据库解密与消息提取

适用版本：微信 PC 3.x / 4.x 新架构（WeChatAppEx.exe），xwechat_files 格式 前提：微信已正常登录，数据库已通过 WeChatMsg.exe 或类似工具解密到 db_storage_decrypted

快速开始

已解密数据库路径

C:\Users\\x3C用户名>\Documents\xwechat_files\\x3Cwxid>\db_storage_decrypted\

读取消息示例（Python）

import sqlite3, os, datetime

decrypted_dir = r"C:\Users\\x3C用户名>\Documents\xwechat_files\\x3Cwxid>\db_storage_decrypted"

# 连接消息数据库
msg_db = os.path.join(decrypted_dir, "message", "message_0.db")
conn = sqlite3.connect(msg_db)
cursor = conn.cursor()

# 获取所有消息表
cursor.execute("SELECT name FROM sqlite_master WHERE type='table'")
tables = [r[0] for r in cursor.fetchall()]
msg_tables = [t for t in tables if t.startswith('Msg_')]

# 搜索关键词消息
for tbl in msg_tables:
    try:
        cursor.execute(f"SELECT message_content, create_time FROM {tbl} WHERE message_content LIKE ? LIMIT 10", ('%程序员%',))
        rows = cursor.fetchall()
        for content, ctime in rows:
            dt = datetime.datetime.fromtimestamp(ctime)
            print(f"[{dt}] {content[:100]}")
    except:
        pass

conn.close()

数据库结构解析

目录结构

\x3Cwxid>\
├── db_storage\          # 加密数据库（需密钥）
├── db_storage_decrypted\# 解密后的数据库 ← 主要操作这个
│   ├── contact\         # 联系人表
│   │   └── contact.db  # 包含 contact, chatroom_member 等表
│   ├── message\         # 消息表（按时间段分库）
│   │   ├── message_0.db  # 消息库1（~8MB）
│   │   ├── message_1.db  # 消息库2（~52MB）
│   │   └── message_2.db  # 消息库3（~43MB）
│   └── session\         # 会话列表
│       └── session.db   # SessionTable 等
└── config\              # 账号配置

contact.db 表结构

contact:       username, nick_name, remark, type 等
chat_room:     群聊基础信息
chatroom_member: 群成员列表 (member_id, member_nick, chatroom_id)

message_N.db 表结构

Msg_\x3Chash>:    消息表（每个表对应一个聊天对象/群）
  - local_id:      本地消息ID
  - server_id:     服务器消息ID
  - create_time:   时间戳（秒）
  - real_sender_id: 发送者
  - message_content: 消息内容（二进制/文本）
  - source:        消息来源

TimeStamp:     时间戳表
Name2Id:       ID映射表（wxid \x3C-> 数据库表名）

表名规律

• 消息表名是加密的 hash：Msg_\x3C32位hex>
• 群ID格式：\x3C数字>@chatroom
• 单人会话：wxid_\x3C随机字符串>

关键操作步骤

Step 1: 找到群的 chatroom_id

# 在 contact.db 的 contact 表中搜索群名
conn = sqlite3.connect(os.path.join(decrypted_dir, "contact", "contact.db"))
cursor = conn.cursor()
cursor.execute("SELECT username, nick_name FROM contact WHERE nick_name LIKE '%程序员客栈%'")
rows = cursor.fetchall()
# 得到: ('34907532207@chatroom', '程序员客栈91群')
conn.close()

Step 2: 搜索群消息

# WCDB 加密表名中没有明显的群标识，需要在所有 Msg 表中搜索内容
keywords = ['开题', '报告', '开发', '报价', '项目', '需求', '接单']

for tbl in msg_tables:
    for kw in keywords:
        cursor.execute(f"SELECT message_content, create_time FROM {tbl} WHERE message_content LIKE ?", (f'%{kw}%',))
        rows = cursor.fetchall()
        # 处理结果...

Step 3: 解析 message_content 二进制

# message_content 是 protobuf 或二进制编码，需要解码
content_bytes = row[0]
if content_bytes:
    text = content_bytes.decode('utf-8', errors='replace')
    # 通常是 XML 格式: \x3Cmsg>\x3Cappmsg>...
    # 或直接是文本

Step 4: 导出需求数据

# 按时间段统计需求类型
results = []
for tbl in msg_tables:
    cursor.execute(f"SELECT message_content, create_time FROM {tbl} WHERE message_content LIKE '%报价%' OR message_content LIKE '%需求%'")
    for content, ctime in cursor.fetchall():
        if content:
            dt = datetime.datetime.fromtimestamp(ctime)
            results.append({'time': dt, 'content': str(content)[:200]})

解密状态判断

已解密

• db_storage_decrypted 目录存在且包含 .db 文件
• sqlite3 可直接打开，Tables 有 Msg_ 前缀
• HMAC 验证：数据库文件头不是 SQLite format 3（加密头）

未解密

• db_storage 中 .db 文件 sqlite3 打开报错：file is not a database
• .material 文件存在（加密分片）

解决方案（未解密时）

方案A：下载 WeChatMsg.exe

1. https://memotrace.lc044.love/ 或夸克网盘
2. 下载编译好的 exe，直接运行
3. 它会自动找到微信进程、提取密钥、解密数据库

方案B：修复 pywxdump

# 如果是 WeChatAppEx.exe 进程名问题，修改 pywxdump 源码
site_pkg = r"C:\Users\\x3C用户名>\AppData\Local\Programs\Python\Python312\Lib\site-packages\pywxdump"

# 修改 PROCESS_NAMES
with open(f"{site_pkg}\\wx_core\\wx_info.py", 'r') as f:
    content = f.read()
content = content.replace(
    'if name == "WeChat.exe"',
    'if name in ["WeChatAppEx.exe", "WeChat.exe"]'
)
with open(f"{site_pkg}\\wx_core\\wx_info.py", 'w') as f:
    f.write(content)

方案C：手动内存扫描（进阶）

1. 附加 pymem 到 WeChatAppEx.exe
2. 搜索 android/iphone string 附近的高熵数据
3. 用 HMAC 验证候选密钥
4. 参考 simple_key_scan.py / pymem_key_scan.py 脚本

已知问题

微信版本太新（2.4.1.19433）

• pywxdump 和 WeChatMsg 源码不支持
• 解决：用编译好的 exe（已更新版本）

android string 在 flue.dll 而非 xweb_elf.dll

• 密钥不在 xweb_elf.dll 中
• flue.dll（209MB）里的 android string 是音频引擎的协议数据，不是密钥附近

pymem pattern_scan_module 在大模块上失败

• 某些模块内存不可读，跳过即可
• 用 read_bytes 分段读取更稳定

相关文件

使用场景

• 微信群需求分析（程序员客栈91群等）
• 聊天记录导出备份
• 对手情报收集（竞品动态）
• 客户需求挖掘（AI接单方向选择）

安全提醒：仅用于个人数据备份和本人合法用途，禁止非法采集他人信息。