macOS arm64 上微信 4.1.12.29 无法获取数据库密钥

[kaxn]

环境

• macOS: 26.5.2
• 架构: Apple Silicon arm64
• 微信: 4.1.12.29
• WeChatDataAnalysis: 2.1.0

问题

点击“获取数据库密钥”后，应用提示：

当前微信为受保护的正式签名构建，macOS 已拒绝现有捕获组件附加到该进程。

已确认不是“开发者工具”开关未开启。请问是否需要发布适配微信 4.1.12.29 的 macOS 密钥捕获组件？

未上传聊天记录、数据库或个人日志，仅提供环境和错误信息。

[2977094657]

试试 #103 是否有效

[WhatAKitty]

补充一份 4.1.11 的复现记录：

环境

• macOS 15.7.7 (24G720) Apple Silicon，SIP 开启
• 微信 4.1.11 (build 269136)，hardened runtime + sandbox，无 get-task-allow
• WeChatDataAnalysis 2.1.5，捕获组件 wda-xkey-20260810-131a87c6（self-signed，含 debugger entitlement）

后端日志

[macos-db-key] access diagnostics: schema=2 wcda_version=2.1.5
helper_build_id=wda-xkey-20260810-131a87c6 helper_signature_mode=self-signed
pid=38611 macos_version=15.7.7 target_bundle_id=com.tencent.xinWeChat
target_version=4.1.11 target_build=269136 target_hardened_runtime=True
target_get_task_allow=False helper_hardened_runtime=True helper_debugger_entitlement=True
→ [keys] macOS db-key capture failed: error_code=TARGET_PROCESS_PROTECTED retryable=False

内核侧证据（手动用 Xcode 官方签名 lldb attach 同一进程也被拒）：

macOSTaskPolicy: (com.apple.debugserver) may not get the task control port of (WeChat) (pid: 38611):
(WeChat) is hardened, (WeChat) doesn't have get-task-allow,
(com.apple.debugserver) is a declared debugger
(com.apple.debugserver) is not a declared read-only debugger

DevToolsSecurity 为 disabled，但与「开发者工具」开关无关（Apple 签名的 debugserver 也被拒）。

请问 PR #103 的可恢复捕获是否覆盖 4.1.11？期待本周合并后的版本，届时回来回报结果。

[2977094657]

你自己试试

[WhatAKitty]

实测更新（#115 同款环境，PR #103 思路手工验证成功）

在 PR #103 合并前，我按其思路（临时调试签名 + 登录期派生截获 + 原样恢复）手工完成了一次 4.1.11 的密钥获取，全程可回滚，供参考：

环境：macOS 15.7.7 (24G720) arm64 / 微信 4.1.11 (269136) MAS 版 / WCDA 2.1.5

可行路径（简要）

1. APFS 克隆 WeChat.app 至用户目录（原版零改动，可随时校验）
2. 对克隆副本 ad-hoc 重签，entitlements 仅保留两条：get-task-allow + app-sandbox
   • ⚠️ 若保留原版完整 entitlements（含 application-identifier / application-groups 等受限授权），ad-hoc 签名启动会被 AMFI 以 "restricted entitlements" 拒绝
   • ⚠️ 若保留 app-sandbox：无沙盒容器归属 → 微信启动即自杀（SIGKILL）。去掉沙盒后可正常运行，且仍能读取原容器数据目录
3. 裸启动副本后 0.1s 粒度附加 lldb（process launch 下微信会自重启脱离调试器，attach 更稳），断点 CCKeyDerivationPBKDF（wechat.dylib 实际导入的是该符号，而非 CCKeyDerivationPBKDF2）
4. 等自动登录，截获 rounds=256000 那次调用的 password 即 32 字节原始密钥料
5. 验证：PBKDF2-SHA512(料, salt, 256000) → enc_key → 页 1 HMAC 校验通过 + 解密首页得到合法 SQLite 头

结果：25/25 数据库解密成功（解密后 contact.db 抽查可查）。

给 #103 实现的参考点

• 截获点建议直接用 CCKeyDerivationPBKDF（而非 CCKeyDerivationPBKDF2），过滤条件 rounds == 256000
• 每个库连接时还有 rounds=2 的 mac_key 派生调用，信号强，可做"即将开库"的辅助指示
• lldb 需设 process handle SIGTRAP 为 not-stop（微信初始化有 brk #0 陷阱，默认配置会卡死）
• 无沙盒副本可以正常读写原容器 xwechat_files，恢复阶段无需迁移数据

另一个独立问题：解密页 db_storage_path 占位符只示例了 wxid_xxx/db_storage 格式；macOS 上账号目录可能是非 wxid_ 前缀的自定义名称，建议提示文案兼容多种格式，减少"指定的数据库路径不存在"类误报。

[coderscsy]

@WhatAKitty 感谢你提供完整的手工验证记录，这对 PR #103 的后续完善非常有帮助。

你指出的几个关键点已经纳入当前实现：

• 捕获 CCKeyDerivationPBKDF，而不是 CCKeyDerivationPBKDF2；
• 同时处理 rounds=256000 和 rounds=2；
• 设置 SIGTRAP 为不中断、不回传给微信；
• 候选密钥必须通过数据库首页 HMAC，以及账号消息库、会话库的完整校验；
• 捕获结束后恢复并验证腾讯官方微信签名；
• macOS 数据库路径提示已兼容非 wxid_ 前缀的自定义账号目录。

你提供的 4.1.11、25/25 数据库解密成功记录，验证了这条技术路线的可行性。PR #103 当前使用的原生捕获核心也已完成本地成功测试。

目前仍需说明的是：macOS 26.5.2 + 微信 4.1.12.29 这个具体组合还没有直接验收，因此暂时不能承诺所有环境都能 100% 成功。后续如果方便，欢迎测试 PR 最新版本，并仅反馈脱敏后的版本/build、错误码、预检结果和进程退出状态；请勿上传数据库、聊天记录、个人路径或明文密钥。

再次感谢你的实测和分析。