WeTool逆向：借用别人的成果打造自己的程序

WeTool逆向：借用别人的成果打造自己的程序
2019-12-21 19:17:13 Author: mp.weixin.qq.com(查看原文) 阅读量:71 收藏

本文为看雪论坛优秀文章

看雪论坛作者ID：鬼手56

什么是WeTool

前置知识&基于WM_COPYDATA的消息模型

进程通讯相关知识

WM_COPYDATA的相关知识

WM_COPYDATA的缺点

示例代码

逆向WeTool

定位WeTool核心模块

分析WeChatHelp

分析SendMsg函数

WeTool逆向和微信逆向的对比

微信逆向

WeTool逆向

方法扩展

什么是WeTool

百度直接搜索WeTool就可直接找到WeTool官方网站。

这是一款专业的微信粉丝和社群的管理工具，是目前市面上微信HOOK做的非常不错的一款产品。不管是从产品设计角度还是用户体验角度或者是产品安全角度来看都无可挑剔。具体功能各位可以去官网看相关介绍，这里就不多做说明。

目前官网已经不提供免费版本下载了，我会在文末放出免费版本的安装包。

前置知识&基于WM_COPYDATA的消息模型

>>>>
进程通讯相关知识

WeTool的客户端和服务端之间的采用WM_COPYDATA的方式进行进程通讯。要想逆向WeTool，就必须理解WM_COPYDATA消息模型。

在Windows程序中，各个进程之间常常需要交换数据，进行数据通讯。常用的方法有：

使用内存映射文件
通过共享内存
使用SendMessage向另一进程发送WM_COPYDATA消息

比起前两种的复杂实现来,WM_COPYDATA消息无疑是一种经济实惠的一种方法。

>>>>
WM_COPYDATA的相关知识

我们可以用下面的函数发送WM_COPYDATA消息：

SendMessage(hwnd,WM_COPYDATA,wParam,lParam);

其中,WM_COPYDATA对应的十六进制数为0x4A，wParam设置为包含数据的窗口的句柄。lParam指向一个COPYDATASTRUCT的结构：

typedef struct tagCOPYDATASTRUCT
{
    DWORD dwData;
    DWORD cbData;
    PVOID lpData;
}COPYDATASTRUCT;

其中dwData既可以是数组，也可以是结构体。能发送这两种数据类型，其实就已经满足大部分的进程通讯需求了。

>>>>
WM_COPYDATA的缺点

这种通讯方式有一个缺点：接收方必须是窗口程序。所以要想实现exe和dll之间的通信，就必须在dll里注册一个窗口类，并将其显示方式设置为隐藏。

>>>>
示例代码

发送端：

COPYDATASTRUCT show_qrpic;
show_qrpic.dwData = WM_ShowQrPicture;
show_qrpic.cbData = 0;
show_qrpic.lpData = NULL;

::SendMessage(hWeChatHelp, WM_COPYDATA, (WPARAM)hWeChatHelp, (LPARAM)&show_qrpic);

接收端：

LRESULT CALLBACK WndProc(HWND hWnd, UINT Message, WPARAM wParam, LPARAM lParam)
{
    if (Message == WM_COPYDATA)
    {
        COPYDATASTRUCT *pCopyData = (COPYDATASTRUCT*)lParam;
        switch (pCopyData->dwData)
        {
            
        case WM_ShowQrPicture:
        {
            GotoQrCode();
            HookQrCode(QrCodeOffset);
        }
        break;
      }
}