微信(WeChat)电脑端多开分析+源码
本帖最后由 anhkgg 于 2017-5-14 15:27 编辑0x00 前言
不知道大家有没有多个微信号，我反正有一两三个。
现在电脑端微信使用频率也比较高，主要用于大文件传输，或者手机电脑文件互传等等，除了不能收红包和看朋友圈，貌似电脑端没其他毛病。
哦，还有个毛病，只能开一个微信，只能开一个，开一个，一个…
不管这些有的没的，今天的主题是，怎么样在电脑上开多个微信客户端！
0x01 分析
了解过单实例的同学，应该都知道大概是怎么实现的单开。简单说下，大都通过判断Mutex、Event、File等等是否已经存在，存在则退出当前开启进程（说明已经有一个进程了），这样也就是单实例了。
那只要找到微信是通过什么标志来实现单实例的，然后干掉这个标志即可。然后…基于这个思路，我们上工具。
使用procexp找到微信进程，然后翻了一遍句柄。找到疑是的一段句柄。
http://anhkgg.github.io/img/webchat.png
感觉这两个都像，不管了，上pchunter，kill掉句柄试一下。
经过尝试，发现_WeChat_App_Instance_Identity_Mutex_Name是单实例标志（kill句柄后可以开第二个客户端），WeChat_GlobalConfig_Multi_Process_Mutex没用。
既然如此，那开始码代码吧。
0x02 代码
可能的方案：
[*]找微信判断标识的代码位置，然后直接patch掉，或者整个dll进去patch。然后大致去翻了一下，貌似代码在wechatwin.dll，然后加了vmp壳，所以就不折腾这个了。
[*]直接通过代码kill掉这个Mutex的句柄（类似Pchunter操作），然后就可以开启第二个实例了，貌似明显更有优势啊。
[*]额，如果觉得无所谓，每次开之前用pchunter关一次句柄也行，下面就不用看了…
这里选择第二个方案，开始代码。
流程：
[*]枚举句柄，找到_WeChat_App_Instance_Identity_Mutex_Name的mutant
[*]duplicate句柄到本进程，然后close
[*]启动微信
下面是主要代码：
//步骤1和2的代码
//获取到微信所有进程句柄
DWORD Num = GetProcIds(L"WeChat.exe", Pids);
...
Status = ZwQuerySystemInformation(SystemHandleInformation, pbuffer, 0x1000, &dwSize);
PSYSTEM_HANDLE_INFORMATION1 pHandleInfo = (PSYSTEM_HANDLE_INFORMATION1)pbuffer;
for(nIndex = 0; nIndex < pHandleInfo->NumberOfHandles; nIndex++)
{
//句柄在Pids中，就是微信进程的句柄信息
if(IsTargetPid(pHandleInfo->Handles.UniqueProcessId, Pids, Num))
{
HANDLE hHandle = DuplicateHandleEx(pHandleInfo->Handles.UniqueProcessId,
(HANDLE)pHandleInfo->Handles.HandleValue,
DUPLICATE_SAME_ACCESS
);
//对象名
Status = NtQueryObject(hHandle, ObjectNameInformation, szName, 512, &dwFlags);
//对象类型名
Status = NtQueryObject(hHandle,ObjectTypeInformation, szType, 128, &dwFlags);
//找到微信的标志
if (0 == wcscmp(TypName, L"Mutant"))
{
if (wcsstr(Name, L"_WeChat_App_Instance_Identity_Mutex_Name"))
{
//DUPLICATE_CLOSE_SOURCE标志很重要，不明白的查一查
hHandle = DuplicateHandleEx(pHandleInfo->Handles.UniqueProcessId,
(HANDLE)pHandleInfo->Handles.HandleValue,
DUPLICATE_CLOSE_SOURCE
);
if(hHandle)
{
printf("+ Patch wechat success!\n");
CloseHandle(hHandle);
}
}
}
}
}
}
步骤3的代码
//通过注册表找到微信安装目录
if(ERROR_SUCCESS != RegOpenKey(HKEY_CURRENT_USER, L"Software\\Tencent\\WeChat", &hKey))
{
return;
}
DWORD Type = REG_SZ;
WCHAR Path = {0};
DWORD cbData = MAX_PATH*sizeof(WCHAR);
if(ERROR_SUCCESS != RegQueryValueEx(hKey, L"InstallPath", 0, &Type, (LPBYTE)Path, &cbData))
{
goto __exit;
}
PathAppend(Path, L"WeChat.exe");
//启动微信客户端
ShellExecute(NULL, L"Open", Path, NULL, NULL, SW_SHOW);
代码就这样，有注释，就不再啰嗦。
完整代码，请看后面的地址。
0x03 总结
一个小玩意，供大家一笑。
编译好的可执行文件：
https://github.com/anhkgg/multi_wechat_pc/raw/master/WeChat%E5%A4%9A%E5%BC%80.exe
源码地址：https://github.com/anhkgg/multi_wechat_pc
博客原文：https://anhkgg.github.io/wechat-multi-pc 单机微信图标 然后敲回车键敲几下 就可以挂几个微信了根据你的电脑性能来测试别人亲测 挂到过15个 15733458452 发表于 2017-5-14 17:14
单机微信图标 然后敲回车键敲几下 就可以挂几个微信了根据你的电脑性能来测试别人亲测 挂到过15个
请注意审题，过手机端退出，电脑端也退出的检测，同学 ，上课要认真听讲 顶一个！ 感谢楼主分享，正好需要这东西{:1_921:}不过有个更直接的方法，就是按住回车就可以多开，不过比较死板，不能分次开 木炭 发表于 2017-5-14 15:46
感谢楼主分享，正好需要这东西不过有个更直接的方法，就是按住回车就可以多开，不过比较死板，不 ...
还真不知道，我试试 热心鼓励{:1_927:}啪啪啪啪 一直都是快速回车，就能多开了！ 写个HOOK不就可以了吗我网游多开都是这样写的 而且可以过检测 True′end 发表于 2017-5-14 16:08
写个HOOK不就可以了吗我网游多开都是这样写的 而且可以过检测
那不更复杂吗...{:1_907:} 电脑也有微信多开了 anhkgg 发表于 2017-5-14 16:10
那不更复杂吗...
Create创建的时候在 lpName后面随机添加字符~