ghostmice/wmpf-offset-adaptation-skill/wmpf-offset-adaptation

WMPF 偏移适配（flue.dll）

为 frida/config/addresses.{version}.json 生成三项偏移。WMPF ≥ 13331 目标模块为 flue.dll（ImageBase 通常为 0x180000000）。

快速流程

1. 定位 flue.dll

`` %APPDATA%\Tencent\xwechat\xplugin\Plugins\RadiumWMPF\{version}\extracted\runtime\flue.dll ``

1. 优先跑自动化脚本（无需 IDA）：

``bash python scripts/extract_wmpf_offsets.py --version 25047 --dll "C:\...\flue.dll" ` 脚本位于本 Skill 目录下的 scripts/`。

1. 写入配置：

``bash python scripts/extract_wmpf_offsets.py --version 25047 --write --config-dir path/to/frida/config ``

1. 验证：重启调试器 → 等 script loaded → 再开小程序 → DevTools 连 ws://127.0.0.1:62000

输出格式

{
    "Version": 25047,
    "LoadStartHookOffset": "0x........",
    "CDPFilterHookOffset": "0x........",
    "SceneOffsets": [64, 1488, 8, 1424, 16, 456]
}

值为 RVA（相对 ImageBase），不是 VA。

三项偏移含义

SceneOffsets 语义（与 hook.js 一致）：

p1  = read(this + [0])
p2  = read(p1 + [1])          // miniappConfigPtr
p3  = read(p2 + [2])
p4  = read(p3 + [3])
p5  = read(p4 + [4])
scene_addr = p5 + [5]           // 最后一个是字段偏移，不再 readPointer

方法选择

IDA MCP 注意

• Cursor 配置 idalib-mcp（stdio）
• GUI 已打开 flue.dll 时 headless idb_open 会失败（.id0 被锁）→ 在 IDA 里启动 MCP 插件，或关闭 IDA 后 headless 分析
• 激活 idalib：python "<IDA_DIR>\idalib\python\py-activate-idalib.py" -d "<IDA_DIR>"

常见陷阱

1. 勿 hook 通用 `OnLoadStart` 日志桩（~0x16C 大小、路径为 music_player_window.cc 等）—— 要选 applet_index_container.cc 那个。
2. 勿把 `0x441FB00` 一类字符串 helper 当成 CDP —— CDP 是 SendToClientFilter 父函数的首个 E8，不是字符串 call。
3. `SceneOffsets` 不能照搬旧版本 —— 20005 为 [64,1480,8,1416,16,456]，25047 为 [64,1488,8,1424,16,456]。
4. plain `OnLoadStart` 字符串有 5+ 处 xref，多数是非 applet 的 perf 日志包装。

参考版本（25047 实测）

{
    "Version": 25047,
    "LoadStartHookOffset": "0x29EF320",
    "CDPFilterHookOffset": "0x3859AE0",
    "SceneOffsets": [64, 1488, 8, 1424, 16, 456]
}

失败排查

附加资源

• 脚本实现细节：reference.md
• 安装说明：见 README.md