# WeChatのバージョンと競走する：あるローカルツールの適応史

私わたしたちは、macOS 上じょうのあなた自身じしんのWeChatを、AI agent / スクリプト用ようのローカルインターフェースにするツールを作つくりました。メッセージ送信そうしん、会話かいわの検索けんさく、履歴りれきの読よみ取とりを、すべてあなたのMac上じょうで行おこない、クラウドには上あげず、iPadプロトコルも使つかいません。

初はじめて動うごいた日ひは、かなり達成感たっせいかんがありました。するとWeChatが更新こうしんされました。

バージョンはいつも前まえを走はしっている

ツールの原理げんりは、WeChatのローカルデータベースを直接ちょくせつ読よみ、メモリ内ないでいくつかの重要じゅうような関数かんすうとフィールドを特定とくていすることです。問題もんだいは、それらの「ものがどこにあるか」がすべて特定とくていのバージョンに依存いぞんしていることです。WeChatの小ちいさなバージョン番号ばんごうが上あがるたびに（4.1.8 → 4.1.9 → 4.1.10）、コンパイルされたバイナリでは関数かんすうの位置いちが移動いどうしたり、構造体こうぞうたいフィールドのオフセットが変かわったりする可能性かのうせいがあります。普通ふつうのユーザーにはまったく分わかりませんが、私わたしたちにとってはその場ばで動うごかなくなるということです。

だからこのプロジェクトの日常にちじょうは「新機能しんきのうを作つくる」ことではなく、追おうことです。ランニングマシンの上うえの小ちいさな人ひとはまさに私わたしで、緑みどりの吹ふき出だしはいつも手ての届とどかない前まえにあります。

更新こうしんするとすぐ壊こわれる、しかもよく静しずかに壊こわれる

さらに刺激的しげきてきなのがサイレントホットアップデートです。WeChatはバックグラウンドで中核ちゅうかくコンポーネント（すべてのロジックを担になうあの動的どうてきライブラリ）を新あたらしいバージョンに差さし替かえますが、ダイアログは一切いっさい出でません。朝あさは正常せいじょうだったのに、午後ごごにはスクリプトがエラーを出だし始はじめる。そしてバイナリがすでに差さし替かえられていたことに、あなたはまったく気きづいていません。毎回まいかいの調査ちょうさでは、まず「またホットアップデートされたのか？」を確認かくにんしなければなりません。

これによって、私わたしたちが最初さいしょにやらざるを得えなかったことは、むしろ**自動じどうホットアップデートを止とめる**ことでした。更新こうしんパスをロックし、現在げんざいの適応てきおうが夜中よなかにこっそり壊こわされないようにして、安定あんていして作業さぎょうできる時間じかんを確保かくほするためです。

keyを取とる：WeChatに迫せまられて進化しんかした三世代さんせだいの方法ほうほう

WeChatのローカルデータベースはSQLCipherで暗号化あんごうかされているため、データを読よむにはまず32バイトの生なまの鍵かぎを手てに入いれる必要ひつようがあります。この部分ぶぶんでは三世代さんせだいの方法ほうほうを使つかい替かえました。どの世代せだいも新あたらしいバージョンに迫せまられて生うまれたものです。

第一世代だいいちせだい——ヒープ内ないの鍵かぎテキストをスキャンする。 SQLCipherがデータベースを復号ふくごうするとき、PRAGMA key = "x'……'" のような文ぶんを実行じっこうします。初期しょきバージョンでは、この16進数しんすうの鍵かぎテキストがプロセスのヒープに残のこっていました。プロセスメモリを直接ちょくせつスキャンし、この形かたちにマッチさせればkeyを拾ひろえました。4.1.9ではまだ使つかえました。

第二世代だいにせだい——バイナリ鍵かぎをスキャンし、ページヘッダーのHMACで検証けんしょうする。 WeChatが鍵かぎを平文へいぶんテキストとしてヒープに残のこさなくなると、第一世代だいいちせだいは使つかえなくなりました。そこで次善策じぜんさくとして、ヒープ内ないの32バイトごとの断片だんぺんをすべて候補こうほ鍵かぎとみなし、データベースの最初さいしょのページのHMACで検証けんしょうしました（SQLCipherはページごとにHMAC検証けんしょうを持もっており、鍵かぎが違ちがうと通とおりません）。検証けんしょうに通とおったものが本物ほんもののkeyです。問題もんだいは4.1.10になると、数百すうひゃくMBのヒープと数百万すうひゃくまんの候補こうほをスキャンしても、HMACのヒット数すうがゼロだったことです。平文へいぶん鍵かぎはそもそもヒープにありませんでした。しかも一回いっかいスキャンするのに数十分すうじゅっぷんかかり、実用的じつようてきな方法ほうほうとは言いえないほど遅おそいものでした。

第三世代だいさんせだい——システム暗号あんごう関数かんすうにブレークポイントを置おく。 発想はっそうの転換てんかんはこうです。鍵かぎはヒープにはないが、どこかを必かならず「流ながれる」。SQLCipherの下層かそうではmacOSシステムのCommonCryptoが使つかわれており、データベースを復号ふくごうするたびに CCCryptorCreate を呼よんでAESコンテキストを作つくります。そしてこのシステム関数かんすうのシンボルは削けずられていません。そこにブレークポイントを置おき、鍵かぎ長ちょうが32のとき、引数ひきすう内ないのそのポインタが指さしているものがkeyです。これなら一発いっぱつで捕つかまえられます。

4.1.10では、ついでに鍵かぎモデルも変かわりました。「1つのマスター鍵かぎ」から、データベースごとに1つ（per-DB key）になったのです。だからWeChatに各かくデータベースを一度いちどずつ復号ふくごうさせないと、ブレークポイントで鍵かぎを全部ぜんぶ捕つかまえられません。

この図ずを一言ひとことで言いえば、大おおきなバージョンが一ひとつ上あがるたびに、鍵かぎの隠かくし方かたが変かわり、古ふるい方法ほうほうは鍵穴かぎあなの前まえでいつもほんの少すこしだけ合あわない、ということです。

バックグラウンド送信そうしん：「これは誰だれに送おくるか」を変かえる必要ひつようがある

メッセージ送信そうしんはデータを読よむよりずっと難むずかしいです。私わたしたちが欲ほしいのは、完全|かんぜん}にバックグラウンドで、あなたのマウスフォーカスを奪うばわずにメッセージを送おくることです。そこで避さけて通とおれない問題もんだいがあります。WeChatは、このメッセージをどの会話かいわに入いれるべきかをどう知しるのか、ということです。

メモリ内ないには、「現在げんざいこのメッセージを誰だれに送おくるか」を記録きろくしているフィールドがあります。バックグラウンド送信そうしんの考かんがえ方かたは、送信そうしんチェーンのどこかのブレークポイントで、このルーティングフィールドを私わたしたちの目標もくひょうに書かき換かえ、下流かりゅうがその新あたらしい値あたいに従したがってメッセージを投なげるようにすることです。いくつものバージョンで、この手ては通用つうようしました。

4.1.10で詰つまりました。しかもとても勉強べんきょうになる詰つまり方かたでした。私わたしたちは特徴とくちょうをたどって「これはルーティングwxidに見みえる」というフィールドを見みつけ、それを書かき換かえました。ところがメッセージは相変あいかわらず元もとの会話かいわに入はいりました。後あとでようやく分わかったのは、そのフィールドは**書かき込こまれるコピー**（あるsetterがそこに入いれるもの）であって、下流かりゅうがルーティングを決きめるために実際じっさいに読よむ場所ばしょではない、ということです。コピーを変かえても、源みなもとはそのままです。本当ほんとうのルーティング読よみ取とり地点ちてんは、まだ見みつかっていません。

本当ほんとうに再利用さいりようできるのは、位置いちではなく方法ほうほう

いくつものバージョンを追おってきて、もっとも価値かちがある経験けいけんはこれです。

あなたが記録きろくしたすべての「具体的ぐたいてきなアドレス、オフセット、バージョン指紋しもん」は、次つぎのバージョンではほぼすべて使つかえなくなる。バージョンをまたいで生いき残のこるのは、「どうやってものを見みつけるか」という方法ほうほうだけです。

具体的ぐたいてきに何なにが再利用さいりようでき、何なにが必かならず使つかえなくなるかは、だいたいこうです。

• 必かならず使つかえなくなるもの：ハードコードされた関数かんすうアドレス、フィールドオフセット、バイナリ指紋しもん——Tencentが一度いちど並ならべ替かえればすべて期限切きげんぎれになります。
• 再利用さいりようできるもの：特徴的とくちょうてきな命令めいれいシーケンスで関数かんすうを特定とくていすること（たとえば、ある関数かんすう本体ほんたいにとても独特どくとくな命令めいれいが1つあり、バイナリ全体ぜんたいでそこにしかないなら、それを頼たよりに新あたらしいバージョンでもその関数かんすうを再発見さいはっけんできる）。関数かんすうサイズ + 呼よび出だしチェーンのトポロジーで指紋しもんを作つくること（Tencentのホットアップデートは位置いちだけを移うつし、関数かんすう本体ほんたいを変かえないことが多おおいため、サイズと形かたちはバージョンをまたいで対応たいおうしやすい）。そして**構造的こうぞうてきな教訓きょうくん**——上うえの「setterのコピーは本当ほんとうのルーティング地点ちてんではない」のような認識にんしきは、ずっと役やくに立たちます。

だから本当ほんとうの堀ほりは、ある一回いっかいの解析かいせき結果けっかではなく、積つみ上あげてきた**ものを探さがす技術ぎじゅつ**です。結果けっかは期限切きげんぎれになりますが、技術ぎじゅつは期限切きげんぎれになりません。

今いまどこまで登のぼったか

最新さいしんの4.1.10について正直しょうじきに言いうと、こうです。

• 読よみ取とりは通とおった——第三世代だいさんせだいのkey取得しゅとく方法ほうほう（CommonCryptoにブレークポイント）により、会話かいわ、履歴りれき、連絡先れんらくさきは正常せいじょうに取とれます。
• 送信そうしんはまだ越こえられていない——上うえの「本当ほんとうのルーティング読よみ取とり地点ちてんがまだ見みつかっていない」段階だんかいで止とまっています。

図ずの中なかで旗はたを立たて、チェックが付ついている山やまの中腹ちゅうふくが現状げんじょうです。山頂さんちょうの赤あかいバツは、まだ登のぼっている部分ぶぶんです。「全部ぜんぶ完了かんりょう」とは装よそおいません。こういう、他人たにんのアプリ内部ないぶ構造こうぞうに寄より添そう適応てきおうでは、永遠えいえんに次つぎのバージョン、次つぎの山やまがあります。

最後さいごに

位置いちづけはずっと変かわっていません。ローカル優先ゆうせん、クラウドに上あげない、データは完全かんぜんにあなた自身じしんの手元てもとにある。これは *-use シリーズの一員いちいんです（ほかにprofile-use、iphone-useがあります）。どれも、agentがあなたのローカルにある本物ほんもののツールを直接ちょくせつ操作そうさできるようにするもので、データを他人たにんのサーバーへ移うつすものではありません。

コード、インストール方法ほうほう、できることの範囲はんいはすべてリポジトリにあります：github.com/leeguooooo/wechat-use。個人こじん / 研究けんきゅう用途ようとに限かぎります——商用しょうよう、一斉送信いっせいそうしん、他人たにんのアカウントの自動化じどうかは、いずれもサポート範囲はんい外がいです。

バージョンを追おうことはまだ続つづきます。次つぎの山やまで会あいましょう。