实战：信息收集之获取微信聊天记录

声明：请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

通过钓鱼 / 渗透 / XX 方式控制了目标的电脑权限，如何才能获取到更有价值的信息，更好的开展下一步工作呢所以想水一篇文章：关于 WX 个人信息与聊天记录的取证工作

利用场景：

钓鱼攻击 (通过钓鱼控到的机器通常都是登录状态，可诱骗登录)

渗透到运维机器 (有些运维机器会日常登录自己的微信，可蹲)

某些工作需要取证 (数据库需要拷贝到本地慢慢弄)

自行备份 (日常备份自己留存)

此次测试我用的cobaltstrike获取的权限

【网友分享】Cobalt Strike——安装与使用教程

目录下启动：

./teamserver   192.168.133.128  123456

在内网渗透中一般我的习惯是先打一台PC机，当通过某种手段拿下PC机后进行信息收集大概是可以用到，另一种是获取了登录账号密码，没有远程也可以通过smb将文件传回本地进行信息收集,场景很多，根据具体情况而定。文章不知道会不会和谐，且看且珍惜。

下面就手把手教大伙如何获取目标的聊天记录~~

目标上线后可以通过VNC、截图、tasklist等多种手段来确认微信是否开启

获取key

使用工具获取微信key，直接执行即可获取：进程 ID / 当前版本 / 昵称 / 账号 / 手机号码 / 邮箱 / 数据库密钥

获取key后通过脚本进行解密

解密脚本

首先要知道：微信默认安装路径为:C:\Users\xxxx\Documents\WeChat Files\xxxx\Msg\Multi 一般都在文档目录下，作为存储目录，一般在：C:\Users\xxxx\Documents\WeChat Files\xxxx\Msg\Multi下载对应的聊天记录文件到本地，关于聊天记录文件：MSG.db，超出 240MB 会自动生成 MSG1.db，以此类推，ps:所以安装一般不要安转在默认目录。

解密数据库

python3 .\Decode.py -k 数据库密钥 -d .\MSG0.db

解密成功查询聊天记录

查找敏感信息

将解密后的 MSG0.db 拖入数据库工具，查询语句查找关键字：

包含个人消息、群消息等等，或者直接用数据库工具的界面化查找

使用navicat连接db文件，也可以使用db browser查询

后记：以“做实战，分享实战”为核心，分享更多实战案例，为渗透测试初学者增加实战思路与技巧。

cs项目地址：https://github.com/AdminTest0/SharpWxDump

由于CS自带的提权方式较少，因此这里就先加载一些网上的提权脚本，脚本下载地址为：https://github.com/rsmudge/ElevateKit(opens new window)

最后插播网络安全法:

第二十七条任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及保护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全活动的，不得为其提供技术支持、广告推广、支付结算等帮助。

解读

关键点：不得非法侵入他人网站。

未授权即为非法，国内漏洞平台与企业有授权协议，可以测。

关键点：干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。

***测试时不要影响线上系统的稳定性，不能对其他用户造成危害，不能获取敏感数据。例如：DDOS、删除数据库、SQL注入通过获取数据库名验证漏洞即可，不能纂改网站页面挂黑页等。

关键点：不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具。

在网上发文章的时候要注意，不得发布***工具或批量getshell、拒绝服务、爆破、病毒等程序。

关键点：明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。

不得为违法犯罪活动提示技术支持，比如提供***工具、支付结算服务、广告推广等。

第六十三条违反本法第二十七条规定，从事危害网络安全的活动，或者提供专门用于从事危害网络安全活动的程序、工具，或者为他人从事危害网络安全的活动提供技术支持、广告推广、支付结算等帮助，尚不构成犯罪的，由公安机关没收违法所得，处五日以下拘留，可以并处五万元以上五十万以下罚款；情节较重的，处五日以上十五日以下罚款。

单位有前款行为的，由公安机关没收违法所得，处十万元以上一百万以下罚款，并对直接负责的主管人员和其他直接责任人员依照前款规定处罚。

违反本法第二十七条规定，受到治安管理处罚的人员，五年内不得从事网络安全管理和网络运营关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位的工作。

总结：

违反本法第二十七条规定的个人：

1、不构成犯罪的：没收违法所得，处五日以下拘留，可以并处五万元以上五十万以下罚款。

2、情节严重的：没收违法所得，处五日以上十五日以下拘留，可以并处十万元以上一百万以下罚款。

违反本法第二十七条规定的企业：

1、对企业没收违法所得，处十万元以上一百万以下罚款。

2、对直接负责的主管人员和其他直接负责人员依照前面对个人处罚的相关规定