前一篇（微信PC端技术研究：保存聊天语音）已经说过CE是什么，也应用CE研究了如何保存微信语音，这篇继续使用CE和OD来研究一下微信的消息发送接口。

思路大概是这样：在消息框中输入内容之后，通过CE找到内容地址，然后通过内存断点来找到发送该数据的相关代码，从而找到消息发送接口。

二、分析过程 查找关键数据地址

在输入框输入一个比较特别的文字内容（避免搜索时太多内存选项）后，使用CE搜索该内容地址。

由于已经知道确切的消息内容，很容易就能通过CE的Exact value->String来找到内容地址，修改内容多次筛选，最后留下两个结果（详细操作见上一篇文章）。

通过CE修改一下内存的内容，微信输入框中内容同步改变，说明这个内存地址就是输入框中内容地址，最终确认地址是2A1E1A8。

接着在点击发送按钮之后，输入框内容会被清空，所以第一想法就是对内存地址下内存写入断点，可以找到发送过程中清空内容的代码。

但是只支持本地符号，也就是得自己下载了模块对应符号到本地，OD设置符号文件路径后，才能正常使用，有点麻烦。

我这时候一般就会使用IDA了，因为它会自己在线下载模块对应的符号，很方便。

用IDA打开msftedit.dll，等待些许时间，IDA下载符号，解析等等完成后，我们去找到msftedit.6F05AD69对应的函数究竟是个什么东西。

但是这里msftedit.6F05AD69的模块基址是6F050000，而IDA解析使用的是默认基址0x6FCD0000，要么修改IDA解析基址为6F050000，等待IDA重新解析，要么通过偏移计算对应地址。

再解析等太久，直接计算吧，所以要安利我写的一个小工具（偏移计算工具），能够快速计算地址，具体使用见相关文章。

很明显通过名字OnTxInPlaceActivate可以看出是编辑框中文字激活状态（显示）下就会触发该函数，这不是重点。

重点看CTxtEdit，不言而喻，这就是msftedit.dll中实现的编辑框的类。

如果写过MFC相关代码，应该很快就能想到CTxtEdit肯定还有其他读内容、写内容的函数，叫做GetXXX或者SetXXX。

但到底这两个函数是不是编辑框读写内容的函数呢，我们对这两个函数下断点试试，通过工具算到在ID调试中这两个函数的相应地址为6f068437和6f056d37。

回到微信界面，这次能够正常显示了，点击发送按钮。OD触发断点，断在了6f068437也就是CTxtEdit::GetTextEx上，很明显这是发送函数在读取输入框内容。

此时的调用堆栈是这样的：

在OD中回溯调用堆栈跟踪返回到WeChatWi.6E20D239，看到右侧堆栈窗口已经获取到输入框中内容，证明前面的分析没有问题。

再次回溯两层到WeChatWi.6DC15B60，可以看到堆栈中的参数依然是获取到的输入框内容。

此时函数首地址是WeChatWi.6DC15B10，进入到IDA中对应函数100d5b10（你要问我为什么此时进入IDA查看？我只好说其实这个步骤花费了很多时间，一边OD调试，一边IDA辅助确认等等，过程并没有这么顺利，篇幅原因省略），然后按下x回到上层函数，看到如下代码：

看到click很明显可以看出这就是发送按钮的响应函数了（相关知识可以了解duilib编程，微信界面是duilib实现的）。

到目前找到了发送消息的函数，但还并不是消息发送接口，这还只是界面的操作函数，具体发送消息接口应该在该函数内部被调用。

先粗略地在OD中跟一遍WeChatWi.6DC15B10的代码逻辑，函数很多，没法很快确认哪个函数是消息发送接口。

通常通过调试每个函数的参数、返回结果等基本可以猜测到函数功能，然后来找到消息发送接口。

但这里我偷懒了，因为参数结构复杂，一时半会没法找到关键点，有点晕了。

所以我通过排除法来一一筛选函数，最多11次左右就能找到消息发送接口。举个例子，如果sub_100DD340是消息发送接口，在我手工屏蔽其功能之后，消息肯定发不出去了，那么我就可以通过看到的结果（是否发送成功）来确认sub_100DD340是不是要找到的消息发送接口。

这样sub_100DD340函数直接在入口就返回了，功能没有了，也保证了函数调用时的栈平衡。

在确认sub_100DD340并没有影响消息发送之后，通过右键撤销选择处修改恢复修改的内容。

如此重复筛选其他的函数，最终确认sub_100C4450为发送消息函数。代码接口如下：

但作为接口依然不够简洁，需要构造好友信息，比较复杂，所以继续深入sub_100C4450内部，看看是否能够找到最简单的接口，比如：

sub_100C4450内部依然很复杂，使用和前面同样的方式，先大致跟一遍执行流程，然后通过排除法逐个筛选。

这一次筛选屏蔽的方法换一种，直接在某个函数执行完成之后，通过jmp跳到sub_100C4450结尾，如果某次消息发送成功，最后执行的函数就是我们要的接口。

很幸运，这次在第三个函数就找到了消息发送函数sub_102DA4A0，看看它的参数：

下图是调试中看到的数据，确认接口没有问题。至于其他两个参数，经过分析是用于接收输出的，没有实际作用，在此不赘述。

如此分析消息发送接口的工作完成，找到了和预期基本一致的接口函数。

篇幅好像有点长了，最后做一下此次分析的总结：

ce找到编辑框中的内容内存

发送后，编辑框内容删除，写断点无效，神奇，猜测通过设置长度控制显示

改为内存访问断点，进入界面就会断下，徘徊几次后，决定分析，没想到找到了关键点CTxtEdit::OnTxInPlaceActivate

果然断下，回溯找到了发送的消息响应函数

详细分析响应函数，多次通过retn、jmp排除，找到真正发送消息函数，最后分析出接口函数

此次分析中CE找到地址是第一步非常关键的点，直接就进入了函数调用堆栈内部，对此次分析作用非常明显。

再就是在发送消息响应函数内部，逐个分析找到消息发送接口函数中，通过修改指令来屏蔽函数功能来确认函数功能，比每个函数去分析参数猜测确认功能来的更快，效果更明显。

调试工具非常重要，动（OD）静态（IDA）分析结合能够提高分析速度。

OD适合分析函数参数、解析数据结构、确认函数功能，IDA适合分析函数逻辑、整体函数结构、代码框架等等，各有优势。

最后，再次安利一下开源项目，此次分析的发送消息接口也会在后续合入到项目中，欢迎star和PR。

*本文作者：anhkgg，本文属FreeBuf原创奖励计划，未经许可禁止转载。