微信Dat文件解码

最近在整理磁盘文件，因为经过一段时间的蹂躏后，磁盘实在是太多东西了，不整理一下，简直对不住我的SSD好嘛。
偶然发现磁盘中某公司的文件夹占用空间简直不能再大，那可是我的C盘啊，合计才119GB的SSD空间，你给我占了差不多10个G，说的就是你Tencent。

 

  

但是也不能怪人家，毕竟人家只是负责将数据保存下来方便给我们展示而已。
所以，就冒着好奇的心，看看文件夹里面有什么。
因为这次的主题说的是Dat文件的解密，我就不扯那么远。 
大家假装知道我点完文件夹，看到很多历史图片缓存图片众多*.db就好了哈。（PS：不得不提的是腾讯将近给我缓存了6个G的表情包，未来可以收集这个内容做一个随机表情包网页出来乐呵乐呵呀。咳咳这些都是后话啦）
然后我们便来到了微信PC版的文件夹，找到自己的账号所在文件夹。比如我的是CBR-1997。找到后，如下所示

 

 

这个时候，我便猜测，这些dat文件都是什么内容呢？聊天内容？不可能呀，聊天内容这么机密，肯定是放到db里面加密处理的。聊天文件？也不至于有1700+个文件吧。所以，综上，猜测这些个dat文件都是一些聊天时接收到的“表情包”或者“图片”。嗯，平时那些群聊斗图这么凶，估计没错了的。

接下来，尝试直接改后缀试试。不出意外的得到了“图片错误”，我就知道不会这么简单。

 

那接下来怎么办嘛。思来想去，便想着拿16进制编辑器看一下下，里面数据长啥样。
打开了多个文件看到里面文件头是8A AD ，但是一般jpg文件的文件头为FF D8 开头的。
又记得之前看过说文通过异或对文件进行简单的加解密的很常规的做法。所以，打开计算器。一顿操作猛如虎，哈哈哈，结果一看没错辽，

 

 

将计算器调整到程序员模式，然后使用FFD8与8AAD进行异或处理。结果为7575，显然可以知道，这个dat就是微信将收取到的文件对吗，每个字节进行异或0x75进行加密，保存为dat文件。
这个时候，只要用Python写个脚本，不就可以轻松解码了嘛。

 

跑出来的结果如下图，没错吧，以往的表情包，发过收过的图片都出现在了里面。
至此微信dat文件的复原解码到此就完成了。补充一下，每个账号或者客户端对那个异或值都是不一样的，所以，小伙伴们如果需要还原dat文件的话，还是要自己用计算器异或处理一波哦。看看这个值是多少哈。

//修改图片
//修改图片
let fs = require('fs');
let path = require('path');
let async = require('async');

//值是多少自己算。
let base = 0xFF;
let next = 0xD8;
let gifA = 0x47;
let gifB = 0x49;
let pngA = 0x89;
let pngB = 0x50;

let scanDir = 'd:/ttt/load/';
let imgDir = 'd:/ttt/load1/';

let files = fs.readdirSync(scanDir);
var arr = [];
files.forEach(function(item){
    if(path.extname(item) == '.dat'){
        arr.push(item);
    }
})
async.mapLimit(arr,50,function(item,cb){
    convert(item,cb);
},function(){
    process.exit(0);
})
//convert
function convert(item,cb){
    let absPath =path.join(scanDir,item);
    let imgPath = path.join(imgDir,item+'.jpg');
    fs.readFile(absPath,(err,content)=>{
        if(err){
            console.log(err);
            cb(err);
        }
        let firstV = content[0],
            nextV = content[1],
            jT = firstV ^ base,
            jB = nextV ^ next,
            gT = firstV ^ gifA,
            gB = nextV ^ gifB,
            pT = firstV ^ pngA,
            pB = nextV ^ pngB;
        var v = firstV ^ base;
        if(jT == jB){
            v = jT;
        }else if(gT == gB){
            v = gT;
        }else if(pT == pB){
            v = pT;
        }

        let bb = content.map(br=>{
            return br ^ v
        })
        fs.writeFileSync(imgPath,bb)
        cb(null);
    })
}

 

同时提供了一个在线服务，可以直接免费解码哦。 

 

微信dat在线免费解码服务，点我免费解码

 

如果有代码基础，可以直接根据代码实现解码。