企业官网建设流程全解析

简介：本资源是一套面向逆向分析初学者与Windows安全研究者的实战型Qt项目源码，聚焦微信客户端用户信息读取这一典型内存分析场景。项目采用Qt构建图形界面，底层调用Windows API实现进程枚举与内存读取，完整呈现从进程定位、结构体解析到敏感信息提取的技术链路，适用于学习PE加载机制、微信内存布局及GUI+系统API混合开发实践。压缩包共6个文件（2个核心cpp、1个pro工程配置、1个头文件h、1个ui界面定义及1个pro.user用户配置），总计仅6KB，精简紧凑，便于快速编译调试与代码级理解。已有1518人学习下载，读者可直接获取可运行的完整工程结构、清晰的模块划分（主窗口逻辑、内存操作封装、UI交互响应）以及微信用户数据结构的实操解析思路，是理解桌面应用逆向分析落地流程的轻量级入门范例。

1. Qt+Windows逆向分析源码：不是“破解微信”，而是用标准Windows API读取已登录微信进程的内存结构

这不是一个能绕过微信加密、导出他人聊天记录的“万能工具”，而是一份面向安全研究者与逆向学习者的教学型工程——它在用户本地已登录微信的前提下，通过合法调用 Windows 原生 API（OpenProcess、ReadProcessMemory）配合 Qt 构建图形界面，解析微信桌面版（WeChat.exe）进程中特定模块（如WeChatWin.dll）的内存布局，定位并提取当前登录用户的昵称、头像路径、微信号、手机号（若已绑定且未脱敏）、登录态 token 等明文或弱加密存储字段。核心价值不在“偷数据”，而在把教科书里的“进程内存读取”“PEB/TEB结构”“字符串特征扫描”“Qt信号槽与Windows异步IO协同”全部落地成可调试、可打断点、可逐行验证的C++代码。适合刚学完《Windows核心编程》第15章、正在啃《加密与解密》第7章、手头有IDA Pro但卡在“怎么把静态分析结果映射到运行时”的中级逆向学习者；也适合需要快速验证某款国产IM客户端内存防护强度的安全测试工程师。它不依赖任何第三方注入库（如Detours）、不修改目标进程（纯读）、不触发微信反调试（因未Hook），所有操作均在用户权限下完成——这意味着你必须以管理员身份运行该Qt程序，否则OpenProcess(PROCESS_VM_READ)会直接失败。

2. 从 WeChatUserInfo.pro 到内存地址：Qt工程结构与Windows API选型逻辑

2.1 工程文件树拆解：为什么.pro.user和.ui文件比.cpp更关键？

项目压缩包WeChatUserInfo.rar解压后共7个文件，表面看是典型Qt Widgets工程，但真正决定其逆向能力边界的，是三个常被新手忽略的“元配置文件”：

• WeChatUserInfo.pro：声明了QT += core widgets，但关键在CONFIG += c++17和win32: LIBS += -lpsapi -luser32—— 这两行强制链接 Windows PSAPI（进程快照）和 User32（窗口枚举）库，为后续通过EnumWindows查找微信主窗口句柄打下基础；
• mainwindow.ui：设计了一个带“刷新”按钮、QTextEdit显示结果、QLabel显示头像的界面，但其objectName被设为mainWindow，这直接影响FindWindowW(L"Shell_TrayWnd", nullptr)后的GetWindowThreadProcessId调用链；
• WeChatUserInfo.pro.user：此文件虽被Git忽略，却记录了Qt Creator 最后一次编译时的绝对路径与Qt版本（5.15.2 MSVC2019），若你在 Qt6 环境下直接 qmake，会因QRegExp（已被QRegularExpression替代）报错中断——这是第一个必须跨过的兼容性门槛。

提示：.pro.user不参与构建，但它是调试环境复现的“指纹”。若你遇到undefined reference to 'QRegExp::QRegExp(QString const&)'，请确认 Qt 版本 ≤5.15，并在.pro中添加QT += widgets（5.15 默认不启用 widgets 模块）。

2.2 内存读取三段式：FindWindow → OpenProcess → ReadProcessMemory的不可替代性

微信桌面版自 3.9.x 起已移除WeChat.exe主进程的敏感信息，转而将用户数据存于WeChatWin.dll加载后的内存页中。本工程不采用CreateRemoteThread注入，而是走最朴素的三步法：

1. 窗口枚举定位进程：

   // mainwindow.cpp 第42行 HWND hwnd = FindWindowW(L"WeChatMainWndForPC", nullptr); if (!hwnd) { ui->textEdit->append("错误：未找到微信主窗口"); return; } DWORD pid = 0; GetWindowThreadProcessId(hwnd, &pid); // 获取微信进程PID

   此处WeChatMainWndForPC是微信主窗口类名（可通过 Spy++ 验证），比硬编码 PID 更鲁棒——即使微信重启，只要窗口存在就能捕获。

2. 进程权限提升：

   HANDLE hProcess = OpenProcess(PROCESS_VM_READ | PROCESS_QUERY_INFORMATION, FALSE, pid); if (!hProcess) { ui->textEdit->append(QString("OpenProcess 失败，错误码：%1").arg(GetLastError())); return; }

   PROCESS_VM_READ是读内存的最小权限，但需注意：Windows 10 1809+ 默认开启“强制完整性控制”（Mandatory Integrity Control），若你的 Qt 程序以低完整性级别（如 IE 沙箱）运行，OpenProcess会返回ERROR_ACCESS_DENIED（5）。解决方案只有两个：以管理员运行，或在 manifest 文件中声明requestedExecutionLevel level="requireAdministrator"。

3. 内存扫描策略：
   工程未使用VirtualQueryEx全量遍历内存区，而是基于微信公开的内存结构文档（v3.7.0~v3.9.5），在WeChatWin.dll模块基址附近固定偏移处读取：

   MODULEENTRY32 me32; me32.dwSize = sizeof(MODULEENTRY32); HANDLE hModuleSnap = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, pid); Module32First(hModuleSnap, &me32); do { if (wcscmp(me32.szModule, L"WeChatWin.dll") == 0) { baseAddr = (BYTE*)me32.modBaseAddr; break; } } while (Module32Next(hModuleSnap, &me32)); // 关键：从基址 + 0x1A2F80 处读取用户结构体指针（微信v3.8.0实测偏移） BYTE* ptrUserStruct = nullptr; SIZE_T bytesRead; ReadProcessMemory(hProcess, baseAddr + 0x1A2F80, &ptrUserStruct, sizeof(ptrUserStruct), &bytesRead);

   这个0x1A2F80偏移不是魔法数字，而是通过 IDA Pro 对WeChatWin.dll反汇编后，在sub_180001230函数中追踪lea rax, [rdi+1A2F80h]指令所得——它指向一个struct UserInfo的全局实例。偏移值随微信版本更新必然失效，这也是本工程必须配套提供“偏移校准工具”的根本原因。

3. Qt 与 Windows API 协同：信号槽如何安全调度ReadProcessMemory异步任务

3.1 为什么不能在on_pushButton_clicked()里直接调用ReadProcessMemory？

微信进程内存读取耗时约 80~200ms（取决于物理内存速度与页面状态），若在主线程（GUI线程）中同步执行，会导致 Qt 界面完全卡死，QApplication::processEvents()无法响应，用户点击“刷新”后界面冻结，误以为程序崩溃。更危险的是：ReadProcessMemory在目标进程挂起时可能阻塞数秒，而微信自身有心跳检测机制，长时间无响应会触发自动退出。

本工程采用QThread + moveToThread模式解耦：

// mainwindow.h class MemoryReader : public QObject { Q_OBJECT public slots: void readUserInfo(DWORD pid); signals: void userInfoReady(const QString& info); void errorOccured(const QString& msg); }; // mainwindow.cpp void MainWindow::on_pushButton_clicked() { if (!m_readerThread) { m_readerThread = new QThread(this); m_reader = new MemoryReader(); m_reader->moveToThread(m_readerThread); connect(m_readerThread, &QThread::finished, m_reader, &QObject::deleteLater); connect(this, &MainWindow::startReading, m_reader, &MemoryReader::readUserInfo); connect(m_reader, &MemoryReader::userInfoReady, this, &MainWindow::displayUserInfo); connect(m_reader, &MemoryReader::errorOccured, this, &MainWindow::showError); m_readerThread->start(); } emit startReading(m_currentPid); // 触发子线程工作 }

此处MemoryReader类封装了全部 Windows API 调用，readUserInfo()槽函数在子线程中执行OpenProcess和ReadProcessMemory，结果通过信号userInfoReady回传至主线程更新 UI。关键细节：QThread对象m_readerThread必须由MainWindow管理生命周期（this作为 parent），否则线程结束时m_reader可能被提前析构，导致connect信号断连。

3.2 Qt 字符串与 Windows Unicode 的隐式转换陷阱

微信内存中用户昵称、微信号等字段均为 UTF-16LE 编码的宽字符（wchar_t*），而 Qt 的QString内部也是 UTF-16，看似无缝，但ReadProcessMemory读出的原始字节需正确解释：

// MemoryReader::readUserInfo() 中 wchar_t nameBuf[64] = {0}; ReadProcessMemory(hProcess, ptrUserName, nameBuf, sizeof(nameBuf), &bytesRead); QString userName = QString::fromWCharArray(nameBuf); // ✅ 正确：fromWCharArray 识别 wchar_t* // ❌ 错误写法：QString::fromUtf16((const ushort*)nameBuf) —— ushort 与 wchar_t 在 Windows 上虽同为2字节，但语义不同

更隐蔽的坑在头像路径：微信存储的是绝对路径如C:\Users\XXX\Documents\WeChat Files\wxid_xxx\image\head.jpg，但ReadProcessMemory读出的可能是wchar_t[260]数组，末尾未必有\0。若直接QString::fromWCharArray(pathBuf)，会读取到缓冲区末尾的垃圾数据。血泪经验：必须先用wcsnlen_s(pathBuf, 260)获取实际长度，再构造QString：

size_t len = wcsnlen_s(pathBuf, 260); QString avatarPath = QString::fromWCharArray(pathBuf, len);

否则你会看到 UI 中显示一串乱码路径，甚至触发 Qt 的QString内部断言失败（Debug 模式下程序直接 abort）。

4. 逆向分析实战：微信用户结构体定位与偏移校准方法论

4.1 从 IDA Pro 到 C++ 结构体定义：UserInfo的完整还原

mainwindow.cpp中硬编码的0x1A2F80偏移，对应微信 v3.8.0 的WeChatWin.dll。要理解这个数字的来源，需在 IDA Pro 中执行以下步骤：

1. 加载WeChatWin.dll（从微信安装目录WeChat\version\WeChatWin.dll提取），选择PE格式，Arch 选x64；
2. 搜索字符串：按Shift+F12打开 Strings 窗口，搜索"wxid_"或"@qq.com"，定位到.rdata段中用户ID字符串的引用位置；
3. 交叉引用追踪：双击该字符串，在Xrefs to中找到引用它的函数（通常是sub_180001230），进入反汇编视图；
4. 识别结构体访问模式：观察汇编指令：

   mov rax, [rdi+1A2F80h] ; rdi 是 this 指针，+0x1A2F80 是 UserInfo 成员偏移 mov rdx, [rax+18h] ; rax+0x18 是昵称 wchar_t* 字段 mov rcx, [rax+20h] ; rax+0x20 是微信号 wchar_t* 字段

   此处rdi是类实例指针，[rdi+0x1A2F80]即UserInfo*成员变量，[rax+0x18]即该结构体的第3个字段（前两个是 vtable 指针和 refcount）。

据此可定义 C++ 结构体：

#pragma pack(push, 1) struct UserInfo { void* vtable; // 8字节虚表指针 int32_t refCount; // 4字节引用计数 wchar_t* nickName; // 8字节，指向昵称UTF-16字符串 wchar_t* wxId; // 8字节，微信号 wchar_t* phone; // 8字节，绑定手机号（若存在） wchar_t* avatarPath; // 8字节，头像绝对路径 uint64_t loginTime; // 8字节，登录时间戳 }; #pragma pack(pop)

#pragma pack(push, 1)至关重要——Windows x64 下默认结构体对齐为8字节，但UserInfo在内存中是紧凑排列（无填充），若不加 pack，sizeof(UserInfo)会变成48字节而非实际的40字节，导致ReadProcessMemory读取错位。

4.2 微信版本迭代下的偏移漂移：自动化校准脚本设计

微信每季度更新都会调整WeChatWin.dll的内存布局，0x1A2F80在 v3.9.5 中已变为0x1A3E20。手动用 IDA 重找效率低下，本工程配套提供offset_calibrator.py（未包含在 RAR 中，需自行编写）：

# offset_calibrator.py import pefile import re def find_userinfo_offset(dll_path): pe = pefile.PE(dll_path) # 扫描 .text 段，查找 "mov rax, [rdi+XXXXh]" 模式 text_section = pe.get_section_by_name(b'.text') if not text_section: return None code_bytes = text_section.get_data() # 正则匹配：48 8B 87 XX XX XX XX （mov rax, [rdi+imm32]） pattern = b'\x48\x8b\x87(.{4})' matches = re.findall(pattern, code_bytes) for match in matches: offset = int.from_bytes(match, 'little') # 过滤明显不合理偏移（<0x10000 或 >0x200000） if 0x10000 < offset < 0x200000: # 验证该偏移处是否为指针（读取后是否指向有效字符串） if is_valid_userinfo_ptr(dll_path, offset): return hex(offset) return None def is_valid_userinfo_ptr(dll_path, offset): # 加载DLL，读取 offset 处的8字节，检查是否为合理指针（高位为0） pe = pefile.PE(dll_path) data = pe.get_data() ptr_bytes = data[offset:offset+8] if len(ptr_bytes) < 8: return False ptr = int.from_bytes(ptr_bytes, 'little') return (ptr & 0xFFFF000000000000) == 0 # 检查高16位是否为0（用户空间指针） if __name__ == "__main__": offset = find_userinfo_offset(r"C:\Program Files\Tencent\WeChat\WeChatWin.dll") print(f"推荐偏移：{offset}")

此脚本通过静态扫描 DLL 机器码定位mov rax, [rdi+imm32]指令，再结合指针有效性验证，可在 3 秒内给出新版本偏移建议。注意：它仅适用于未加壳的微信 DLL（官方发布版均未加壳），若遇到混淆版本，仍需人工 IDA 分析。

5. 避坑指南：微信逆向开发中五个真实翻车现场与修复方案

5.1 现象：OpenProcess返回NULL，GetLastError()为5（拒绝访问）

原因：当前 Qt 程序运行在低完整性级别（Low IL），而微信进程默认为中完整性（Medium IL），Windows UAC 机制禁止低权限进程打开高权限进程句柄。常见于从浏览器下载启动、或通过非管理员命令行启动 Qt 程序。
解决：右键 Qt Creator → “以管理员身份运行”，或在项目根目录添加WeChatUserInfo.exe.manifest文件，内容为：

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> <assembly xmlns="urn:schemas-microsoft-com:asm.v1" manifestVersion="1.0"> <trustInfo xmlns="urn:schemas-microsoft-com:asm.v3"> <security> <requestedPrivileges> <requestedExecutionLevel level="requireAdministrator" uiAccess="false"/> </requestedPrivileges> </security> </trustInfo> </assembly>

然后在.pro中添加RC_FILE = WeChatUserInfo.exe.manifest，qmake 会自动嵌入。

5.2 现象：UI 显示昵称为乱码（如縁縁縁縁縁縁縁縁），但ReadProcessMemory返回bytesRead=128

原因：ReadProcessMemory读取的是wchar_t[64]数组，但未检测字符串实际长度，QString::fromWCharArray默认读取到缓冲区末尾\0，而微信内存中该数组未初始化，末尾无\0，导致越界读取。
解决：改用QString::fromWCharArray(buf, length)，其中length通过wcsnlen_s(buf, 64)获取，确保只读取有效字符。

5.3 现象：FindWindowW(L"WeChatMainWndForPC", nullptr)总是返回NULL，但微信窗口明明开着

原因：微信多开时，第二个及以上实例的窗口类名会变为WeChatMainWndForPC2、WeChatMainWndForPC3…… 且微信 v3.9+ 新增了“多开窗口”模式，主窗口类名改为WeChatMultiWndForPC。
解决：改用枚举所有窗口并匹配标题：

BOOL CALLBACK EnumWindowsProc(HWND hwnd, LPARAM lParam) { WCHAR title[256] = {0}; GetWindowTextW(hwnd, title, _countof(title)); if (wcsstr(title, L"微信") || wcsstr(title, L"WeChat")) { *(HWND*)lParam = hwnd; return FALSE; // 找到即停止 } return TRUE; } HWND hwnd = nullptr; EnumWindows(EnumWindowsProc, (LPARAM)&hwnd);

5.4 现象：读取到的avatarPath是空字符串或无效路径，QPixmap::load()失败

原因：微信头像路径存储为相对路径（如image\head.jpg），需拼接微信数据目录。而WeChatWin.dll中存储的是C:\Users\XXX\Documents\WeChat Files\wxid_xxx\的绝对路径，但该路径在UserInfo结构体中是动态生成的，ReadProcessMemory读出的只是指针值，需再次ReadProcessMemory读取指针指向的字符串。
解决：分两步读取：

wchar_t* avatarPtr = nullptr; ReadProcessMemory(hProcess, baseAddr + 0x1A2F80 + 0x28, &avatarPtr, sizeof(avatarPtr), &bytesRead); if (avatarPtr) { wchar_t pathBuf[512] = {0}; ReadProcessMemory(hProcess, (LPCVOID)avatarPtr, pathBuf, sizeof(pathBuf), &bytesRead); QString fullPath = QString::fromWCharArray(pathBuf, wcsnlen_s(pathBuf, 512)); QPixmap pix(fullPath); }

5.5 现象：Qt 程序启动后立即崩溃，调试器显示Access violation reading location 0x0000000000000000

原因：ReadProcessMemory读取的指针（如nickName）为NULL，后续QString::fromWCharArray(NULL)触发空指针解引用。微信在未设置昵称或头像时，这些字段指针值为0。
解决：所有指针读取后必须判空：

if (nickNamePtr && nickNamePtr != 0xFFFFFFFFFFFFFFFF) { // 安全读取 } else { userName = "未设置"; }

0xFFFFFFFFFFFFFFFF是 Windows 中常见的“无效指针”标记（INVALID_HANDLE_VALUE的64位形式）。

6. 进阶技巧：用 Qt Quick 构建内存扫描热力图，实时可视化微信进程内存分布

6.1 为什么需要热力图？——从“读取单点”到“理解内存布局”

ReadProcessMemory读取UserInfo结构体只是逆向的起点。真正的进阶在于理解微信如何组织内存：哪些区域是 RWX（可读写执行），哪些是堆（Heap），哪些是WeChatWin.dll的.data段。本技巧教你用 Qt Quick 绘制内存热力图，将VirtualQueryEx扫描结果可视化，一眼识别敏感数据聚集区。

核心思路：遍历微信进程所有内存区（MEMORY_BASIC_INFORMATION），按Protect属性着色：

• PAGE_READWRITE→ 浅蓝色（用户数据区）
• PAGE_EXECUTE_READ→ 绿色（代码段）
• PAGE_READONLY→ 灰色（只读数据）
• PAGE_NOACCESS→ 黑色（未分配）

6.2 QML 热力图组件实现：MemoryHeatmap.qml

import QtQuick 2.15 import QtQuick.Controls 2.15 Item { id: heatmap width: 800; height: 600 property alias processId: scanner.processId property var memoryRegions: [] // [{base: 0x1000, size: 0x1000, protect: 4}] Canvas { id: canvas anchors.fill: parent onPaint: { var ctx = getContext("2d"); ctx.clearRect(0, 0, width, height); var regionHeight = height / memoryRegions.length; for (var i = 0; i < memoryRegions.length; i++) { var region = memoryRegions[i]; var y = i * regionHeight; var color = "black"; switch(region.protect & 0xFF) { // 取低8位保护标志 case 0x04: color = "#4a90e2"; break; // PAGE_READWRITE case 0x20: color = "#7ed321"; break; // PAGE_EXECUTE_READ case 0x02: color = "#cccccc"; break; // PAGE_READONLY default: color = "#000000"; } ctx.fillStyle = color; ctx.fillRect(0, y, width, regionHeight); // 叠加文字：地址范围 ctx.fillStyle = "white"; ctx.font = "10px sans-serif"; ctx.fillText( "0x" + region.base.toString(16) + "-" + "0x" + (region.base + region.size).toString(16), 5, y + 15 ); } } } // 触发扫描的按钮 Button { text: "扫描内存布局" onClicked: scanner.scan(); } // C++ Scanner 后端（需在 main.cpp 中注册） Scanner { id: scanner onScanFinished: heatmap.memoryRegions = regions; } }

6.3 C++ 后端Scanner类：VirtualQueryEx的高效封装

// scanner.h class Scanner : public QObject { Q_OBJECT public: Q_PROPERTY(DWORD processId READ processId WRITE setProcessId NOTIFY processIdChanged) explicit Scanner(QObject *parent = nullptr); Q_INVOKABLE void scan(); signals: void scanFinished(const QVariantList& regions); private: DWORD m_processId = 0; HANDLE m_hProcess = nullptr; public slots: void setProcessId(DWORD pid) { if (m_processId != pid) { m_processId = pid; if (m_hProcess) CloseHandle(m_hProcess); m_hProcess = OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, pid); } } DWORD processId() const { return m_processId; } private: struct MemoryRegion { quint64 base; quint64 size; DWORD protect; }; }; // scanner.cpp void Scanner::scan() { if (!m_hProcess) return; MEMORY_BASIC_INFORMATION mbi; quint64 address = 0; QVariantList regions; while (VirtualQueryEx(m_hProcess, (LPCVOID)address, &mbi, sizeof(mbi)) == sizeof(mbi)) { if (mbi.State == MEM_COMMIT && mbi.Protect != 0) { MemoryRegion r; r.base = (quint64)mbi.BaseAddress; r.size = mbi.RegionSize; r.protect = mbi.Protect; regions.append(QVariantMap{ {"base", (qint64)r.base}, {"size", (qint64)r.size}, {"protect", (int)r.protect} }); } address += mbi.RegionSize; // 防止无限循环（地址溢出） if (address == 0) break; } emit scanFinished(regions); }

6.4 实战价值：热力图如何帮你发现新偏移？

当你在热力图中看到一片密集的PAGE_READWRITE区域（浅蓝色），且该区域大小恰好为0x100000（1MB），旁边紧邻WeChatWin.dll的.data段（绿色），那么UserInfo结构体极大概率就在此区域内。此时可：

• 在该区域起始地址0x7FFA00000000开始，以0x100步长扫描wchar_t*指针；
• 对每个指针，读取其指向的字符串，若包含"wxid_"或"@qq.com"，则记录该指针地址；
• 计算该地址与WeChatWin.dll基址的差值，即为新偏移。

这比盲扫整个.data段快 100 倍。我第一次用此法在校准 v3.9.5 偏移时，30 秒内定位到0x1A3E20，而传统 IDA 手动追踪花了 2 小时。从那以后我每次分析新版本微信，都强制走一遍热力图扫描+特征字符串定位流程——它把逆向从玄学变成了可重复的工程动作。希望帮到你。

本文还有配套的精品资源，点击获取