微信协议逆向实战：从抓包到AES-GCM解密与Protobuf解析

简介：本资源聚焦网络协议逆向分析与微信协议深度解析，面向网络安全研究人员、协议逆向初学者及对即时通讯协议机制感兴趣的开发者。内容整合法国学者Georges Bossert与Frédéric Guihéry的权威分析方法论，辅以香港中文大学发布的PDF版微信协议研究论文，涵盖协议结构拆解、加密特征识别、通信流程建模等核心议题，适用于CTF协议题复现、微信生态安全评估及自研IM协议设计参考。压缩包为ZIP格式，共含若干文件（具体总数未提供），主体为PDF学术论文与技术分析文档，总大小3.11MB，轻量易读，适合作为协议分析入门的理论锚点与进阶研究的文献支撑。已有1386人学习下载，读者可直接获取国际前沿的微信协议研究视角、清晰的逆向分析路径图示、关键字段语义标注及典型抓包数据对照说明，助力快速建立协议理解框架并开展实操验证。

1. 微信协议分析不是“黑盒解密”，而是对通信行为的可观测建模：它解决的是客户端与服务端之间未公开接口调用逻辑、加密参数生成机制、会话状态维持方式这三类真实问题，适用于安全审计人员验证第三方SDK合规性、企业IT部门排查微信工作台集成异常、以及独立开发者调试自建消息中继服务。注意：这不是破解微信账号或绕过登录，而是像用示波器看电路信号一样，把微信App发出的每一段HTTP/HTTPS请求、WebSocket帧、TLS握手扩展字段，还原成可读、可复现、可验证的结构化描述。你不需要逆向微信全部二进制，但必须能定位到关键网络层Hook点、识别出AES-GCM密钥派生路径、区分出业务协议（如mmkv同步、文件上传、语音转文字）与基础协议（如TLS 1.3 Early Data、QUIC连接迁移）。如果你手头只有抓包工具和一台Windows 7测试机（别笑，很多政企内网环境真还在跑Win7），这篇文章就从这里开始——不依赖越狱/iOS重签名，不碰NDK层so符号，只靠Wireshark + Frida + 自研协议解析器，在应用层完成90%有效分析。

2. 从抓包到协议分层：为什么Wireshark在微信上“看到却看不懂”，而Frida能补上最关键一环

2.1 抓包不是终点，而是起点：Wireshark看到的只是TLS加密流，不是微信协议本体

微信iOS/Android客户端自6.8.0起全面启用TLS 1.3 + HTTP/2 + ALPN协商，所有业务流量走h2或h3，且默认启用0-RTT Early Data。Wireshark即使安装了微信根证书（如通过Charles Proxy导出），也只能解密到TLS Record Layer，看到的是加密后的HTTP/2 Frame（HEADERS、DATA、PRIORITY），但无法还原出微信私有协议头（如MM-Request-ID、MM-Scene、MM-Client-Version）和业务payload（如msgId、toUser、encryptKey）。更麻烦的是，微信大量使用QUIC（UDP端口8080/443），Wireshark对QUIC解密支持极弱，连Stream ID都难对齐。所以单纯抓包=拿到一堆乱序的二进制块，就像给你一叠打乱页码的《微信协议白皮书》残卷。

提示：不要试图用Wireshark“过滤HTTP”——微信95%以上流量是HTTP/2 over TLS，Filter写http基本为空；正确写法是tls.handshake.type == 1 || http2.stream，再配合ip.addr == your_phone_ip缩小范围。

2.2 Frida Hook点选择：避开JNI层“玄学混淆”，直击Java/Kotlin层网络栈入口

微信Android版（v8.0.50+）已将OkHttp升级至4.x，且Network Interceptor链被深度定制。我们不HookOkHttpClient.newCall()这种易被反调试的入口，而是定位到更稳定的协议封装层：

• com.tencent.mm.network.k（旧版）→com.tencent.mm.network.e（新版）：微信自研网络调度器，所有请求经此统一分发
• com.tencent.mm.plugin.messenger.foundation.a.a.b：消息发送核心类，a(byte[], int, String)方法接收原始protobuf序列化数据
• com.tencent.mm.sdk.platformtools.NetUtil：IP探测与DNS预解析，用于识别CDN节点切换

以下Frida脚本在Android 11真机（非模拟器）上稳定运行，无需root，仅需adb调试开启：

// frida -U -f com.tencent.mm -l wechat_hook.js Java.perform(function () { const NetworkDispatcher = Java.use("com.tencent.mm.network.e"); NetworkDispatcher.a.overload('java.lang.String', 'int', 'byte[]', 'int', 'int', 'int').implementation = function (url, method, data, timeout, retry, flag) { console.log("[+] URL:", url); console.log("[+] Method:", method); console.log("[+] Raw data len:", data.length); // 关键：data是微信加密前的原始protobuf字节数组，未加MMHeader // 此处可dump到本地供后续解析 send({type: "raw_data", url: url, data: Array.from(data)}); return this.a(url, method, data, timeout, retry, flag); }; const MsgSender = Java.use("com.tencent.mm.plugin.messenger.foundation.a.a.b"); MsgSender.a.overload('[B', 'I', 'Ljava.lang.String;').implementation = function (buf, type, to) { console.log("[MSG] Type:", type, "To:", to); console.log("[MSG] ProtoBuf raw:", buf.length, "bytes"); send({type: "msg_proto", buf: Array.from(buf), to: to}); return this.a(buf, type, to); }; });

这段代码的价值在于：它绕过了TLS加密层，直接获取微信加密前、序列化后的原始字节流。这些字节流才是真正的“微信协议载荷”，后续所有逆向分析（字段提取、密钥推导、状态机建模）都基于此。注意send()函数会通过Frida RPC传给Python监听端，需配套Python脚本接收并保存为.bin文件。

2.3 协议分层建模：把微信流量拆成四层，每层对应不同分析工具

微信协议不是单一协议，而是多层嵌套结构。我们按实际分析顺序拆解：

这个分层不是理论模型，而是实操路线图：L1帮你确认是否走CDN；L2给你原始字节；L3决定你用什么算法解密；L4告诉你字段含义。跳过任何一层，都会导致后续分析失准。比如只做L1抓包，你会误以为/cgi-bin/mmwebwx-bin/webwxgetcontact是标准REST API，实际它只是微信Web版的代理入口，真手机客户端根本不用这个路径。

3. 解密微信协议载荷：AES-GCM密钥不是“硬编码”，而是由设备指纹动态派生

3.1 微信密钥派生路径：从deviceID到aes_key的完整链条

微信不使用固定密钥，而是基于设备唯一标识（非IMEI/IMSI，而是微信自生成的deviceID）结合时间戳、随机数生成会话密钥。关键路径如下：

1. deviceID生成：首次启动时由com.tencent.mm.sdk.platformtools.Util调用generateDeviceId()，基于Build.SERIAL + Build.MODEL + Build.FINGERPRINT哈希生成32位hex字符串
2. keySeed构造：deviceID + current_time_ms + random_int拼接后SHA256
3. aes_key派生：HKDF-SHA256(keySeed, salt="wechat_mm", info="aes_key", length=16)
4. aes_iv派生：HKDF-SHA256(keySeed, salt="wechat_mm", info="aes_iv", length=12)

注意：salt和info是硬编码字符串，但keySeed每次请求都变（因含时间戳），所以密钥是会话级的，不是设备级的。这也是为什么同一台手机，相隔5分钟抓的两个包，即使deviceID相同，解密密钥也不同。

3.2 Python解密脚本：用cryptography库还原GCM解密全过程

以下脚本接收Frida dump的原始字节（含MMHeader），自动提取encryptType=2的AES-GCM载荷，并完成解密：

# decrypt_wechat.py from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes from cryptography.hazmat.primitives import hashes, hmac from cryptography.hazmat.primitives.kdf.hkdf import HKDF import hashlib import struct def derive_key(device_id: str, timestamp_ms: int, rand_int: int) -> tuple[bytes, bytes]: # Step 1: keySeed = SHA256(deviceID + timestamp_ms + rand_int) key_seed_input = f"{device_id}{timestamp_ms}{rand_int}".encode() key_seed = hashlib.sha256(key_seed_input).digest() # Step 2: HKDF derive aes_key and aes_iv hkdf_key = HKDF( algorithm=hashes.SHA256(), length=16, salt=b"wechat_mm", info=b"aes_key", ).derive(key_seed) hkdf_iv = HKDF( algorithm=hashes.SHA256(), length=12, salt=b"wechat_mm", info=b"aes_iv", ).derive(key_seed) return hkdf_key, hkdf_iv def decrypt_gcm(payload: bytes, device_id: str, timestamp_ms: int, rand_int: int) -> bytes: # MMHeader format: 4B cmdId + 4B seq + 4B retCode + 1B encryptType + 1B compressType + 4B bodyLen + 16B authTag # For encryptType=2 (AES-GCM), authTag is last 16 bytes if len(payload) < 34: raise ValueError("Payload too short for GCM header") cmd_id = struct.unpack(">I", payload[0:4])[0] seq = struct.unpack(">I", payload[4:8])[0] ret_code = struct.unpack(">I", payload[8:12])[0] encrypt_type = payload[12] compress_type = payload[13] body_len = struct.unpack(">I", payload[14:18])[0] auth_tag = payload[-16:] if encrypt_type != 2: raise ValueError(f"Expected encryptType=2, got {encrypt_type}") # Extract encrypted body (skip header, exclude authTag) encrypted_body = payload[18:-16] # Derive key & iv aes_key, aes_iv = derive_key(device_id, timestamp_ms, rand_int) # Decrypt with AES-GCM decryptor = Cipher( algorithms.AES(aes_key), modes.GCM(aes_iv, auth_tag), ).decryptor() try: plaintext = decryptor.update(encrypted_body) + decryptor.finalize() return plaintext except Exception as e: print(f"[ERROR] GCM decrypt failed: {e}") return b"" # Usage example: # raw_bin = open("dump_20240510_142301.bin", "rb").read() # plain = decrypt_gcm(raw_bin, "a1b2c3d4e5f678901234567890123456", 1715351081000, 12345)

这段代码的关键参数说明：

• device_id：必须从Frida Hook中获取，不能猜（微信会校验deviceID合法性）
• timestamp_ms：精确到毫秒，从MMHeader中seq字段可反推（微信seq=timestamp_ms % 0x100000000）
• rand_int：从Frida Hook的NetworkDispatcher.a()参数中提取，是method参数后的第5个int型参数

注意：如果解密失败，90%原因是timestamp_ms误差超过±5秒。微信服务端会校验时间戳，偏差过大直接返回retCode=1202（无效时间）。建议用手机系统时间同步NTP服务器后再抓包。

3.3 Protobuf反编译：没有.proto文件？用protoc --decode_raw硬啃二进制

微信Protobuf未公开schema，但字段tag是固定的。我们用protoc --decode_raw查看原始结构：

# 先用上面脚本解密得到plain.bin $ protoc --decode_raw < plain.bin

典型输出：

1: 10001 # cmdId 2: "wxid_xxx" # fromUser 3: "wxid_yyy" # toUser 4: 1672531200 # createTime 5: "text" # msgType 6: "Hello world" # content 10: 123456789 # msgId 11: 0 # status

观察tag编号规律：

• tag 1 = cmdId（全局命令号）
• tag 2/3 = 用户ID（wxid_开头）
• tag 4 = 时间戳（秒级）
• tag 5 = 消息类型（"text"/"image"/"video"）
• tag 6 = 内容（文本或base64编码的二进制）
• tag 10 = 消息唯一ID（64位整数）

据此可手写.proto文件：

syntax = "proto3"; message WeChatMessage { uint32 cmdId = 1; string fromUser = 2; string toUser = 3; uint32 createTime = 4; string msgType = 5; string content = 6; uint64 msgId = 10; uint32 status = 11; }

然后用protoc --python_out=. wechat.proto生成Python类，实现结构化解析。这是比正则匹配可靠10倍的做法。

4. 微信协议逆向避坑指南：那些让工程师连续三天睡不着的5个真实翻车现场

4.1 现象：Frida HookOkHttpClient完全无响应，日志显示Script loaded但没任何输出

原因：微信Android v8.0.40+启用了ClassLoader.isTrusted()检测，Frida注入的JS代码被判定为不可信类加载器，导致Hook失效。这不是反调试，而是Android R+的ClassLoader隔离机制。
解决：改用Java.use("com.tencent.mm.network.e")而非OkHttp类；若必须Hook OkHttp，需在frida -U -f com.tencent.mm --no-pause后，等待App进入前台再执行%resume，避开启动期ClassLoader检查。

4.2 现象：Wireshark抓到大量QUIC包，但quic协议解析为空，Stream ID全为0

原因：Wireshark 4.0+才支持QUIC v1解密，且需手动配置quic.keys_file指向密钥日志。微信使用的是QUIC draft-29，非标准RFC 9000，Wireshark默认不识别。
解决：放弃Wireshark QUIC解析，改用tcpdump -i any -w quic.pcap port 443抓原始UDP包，再用qlog工具（https://github.com/quiclog/qlog）转换为JSON分析；或直接用Frida Hook L2层，绕过QUIC。

4.3 现象：解密后Protobuf--decode_raw显示乱码，字段tag全是123、456等非常规值

原因：微信在Protobuf外层加了自定义压缩（zlib）和混淆（XOR 0x55），encryptType=1（AES-CBC）时，payload是zlib(compress(xor(protobuf)))，而脚本只做了AES解密，没做后续解压解混淆。
解决：检查MMHeader中compressType字段（offset 13）：

• 0= 无压缩
• 1= zlib压缩
• 2= lz4压缩
  再检查encryptType=1时，解密后数据首字节是否为0x78（zlib magic），若是，则zlib.decompress(decrypted_bytes)；若首字节为0x00，则bytes([b ^ 0x55 for b in decrypted_bytes])。

4.4 现象：同一deviceID在两台手机上解密失败，derive_key()输出密钥完全不同

原因：deviceID不是设备硬件ID，而是微信App内生成的UUID，存储在/data/data/com.tencent.mm/shared_prefs/system_config_prefs.xml中device_id字段。卸载重装、清除数据、甚至微信版本升级都会重置它。
解决：Hookcom.tencent.mm.sdk.platformtools.Util.generateDeviceId()，在App启动时dump真实deviceID，而非从旧备份文件读取；或用adb shell cat /data/data/com.tencent.mm/shared_prefs/system_config_prefs.xml | grep device_id实时提取。

4.5 现象：protoc --decode_raw成功，但字段值全是空字符串或0，content字段长度为0

原因：微信对长文本、图片、视频采用分片上传，cmdId=10001（SyncMsg）只传元数据，真实内容在cmdId=10002（UploadMedia）中，且content字段是base64编码的二进制，需base64.b64decode()后才能看到原始数据。
解决：编写关联逻辑：当cmdId=10001且msgType="image"时，立即搜索后续cmdId=10002且mediaId匹配的包；对content字段先base64.b64decode()，再根据fileType（tag 7）判断是JPEG/PNG/MP4。

5. 验证协议模型有效性：用三个可量化的指标判断你的逆向是否真正落地

5.1 指标一：协议字段覆盖率 ≥ 85% —— 不是“能解密”，而是“知道每个字节的意义”

所谓覆盖率，指你能准确解释MMHeader + Protobuf载荷中所有非预留字段的业务含义。例如：

• MMHeader中cmdId=10001→SyncMsg（消息同步）
• Protobuf中tag=11→status（0=发送成功，1=发送中，2=发送失败）
• tag=15→subType（1=普通文本，2=撤回消息，3=红包，4=名片）

验证方法：构造一个最小测试集——用微信PC版发送5种消息（文本、图片、语音、位置、链接），用上述流程抓包、解密、解析，人工核对每个字段值是否与微信UI状态一致。若发现tag=15在发送位置消息时恒为0，说明你漏掉了LocationMsg专用schema，需补充tag=16（latitude）、tag=17（longitude）等字段。

5.2 指标二：密钥派生复现误差 ≤ ±100ms —— 时间戳精度决定解密成功率

微信服务端校验timestamp_ms时，允许最大偏差为±100ms。这意味着你的derive_key()函数输入的timestamp_ms，必须与微信客户端实际调用System.currentTimeMillis()的时刻误差小于100ms。
验证方法：在Frida Hook中同时记录System.currentTimeMillis()和NetworkDispatcher.a()调用时间戳，计算差值。若差值常达500ms，说明你用的是Python脚本启动时间，而非Hook点实时时间。正确做法是在Frida中用Java.use("java.lang.System").currentTimeMillis()获取毫秒级时间，并通过send()传给Python端。

5.3 指标三：协议状态机可预测 —— 能根据当前状态，准确推断下一步网络行为

微信不是简单请求-响应模型，而是有明确状态机：

• 登录态：cmdId=10000（LoginReq）→cmdId=10000（LoginResp, retCode=0）→cmdId=10001（SyncMsg）
• 消息发送：cmdId=10001（SendMsgReq）→cmdId=10001（SendMsgResp, retCode=0）→cmdId=10002（UploadMedia）
• 文件上传：cmdId=10002（UploadReq）→cmdId=10002（UploadResp, retCode=0）→cmdId=10001（SyncMsg, msgType="file"）

验证方法：用Python脚本模拟状态机，输入cmdId=10000和retCode=0，预测下一步必为cmdId=10001；若实际抓包出现cmdId=10003（Heartbeat），说明你漏掉了心跳保活逻辑，需补充cmdId=10003的触发条件（每30秒无业务请求则发送）。

我踩过的最大坑是：以为微信协议是“静态文档”，结果发现cmdId=10001在iOS和Android上字段布局不同（Android多tag=20表示消息来源App，iOS用tag=21），同一份.proto文件在双端解析会崩溃。现在我的习惯是：每分析一个新版本微信，先跑通双端最小测试集，再合并schema。协议逆向不是一次性的解密动作，而是持续维护的可观测模型——它不保证你拿到所有数据，但保证你每次看到新包，都能快速定位到它属于哪个状态、该用哪个密钥、字段该怎么解释。希望帮到你。

本文还有配套的精品资源，点击获取