偷偷告诉你如何一台电脑开多个微信！

大家好，我是轩辕。

前几天在粉丝群里，有人问我是怎么在一台电脑上同时登录两个微信的？

正好之前写过一篇文章，分析过原理，分享给没看过的小伙伴学习一下。

手机端多开微信估计很多人都知道，像华为、小米等手机系统都对此做了支持，不过在运行Windows系统的电脑上怎么启动两个微信呢？

其实很简单，你只需要写一个批处理：

start D:\WeChat\WeChat.exe
start D:\WeChat\WeChat.exe

然后直接双击批处理文件，就能启动两个微信进程。

如果你再多加一行，甚至还能启动3个：

但如果你不用批处理脚本，而是一个个启动，第二次双击的时候，就会直接把之前的微信窗口弹出来，根本没法启动第二个。

那为什么用批处理脚本就能实现微信多开呢？接下来我们来进行技术分析一下。

微信的单例模式

正常情况下，直接手动双击微信图标启动，后面启动的进程会进行全局单例模式检查，如果发现已经存在微信进程，就会直接把对应进程的微信窗口激活，定位到桌面最前面，随后自己退出。

但为什么用上面的方式就能启动俩呢？我们来一探究竟。

首先，分析一下上面描述的微信单个实例是如何实现的。

做过Windows平台应用程序开发的朋友可能对此比较熟悉，一般是进程启动后创建一个全局唯一名字的互斥体，创建成功则正常启动，创建失败则判断一下是否这个互斥体已经存在。如果已经存在则说明已经有对应程序之前启动。

带着这种猜想，用工具procexp查看一下微信进程打开的所有内核对象，并找到互斥体部分：

果然，这其中有一个名字叫_WeChat_App_Instance_Identity_Mutex_Name的互斥体，从这个名字可以猜出，这个跟微信的单例模式绝对有关系。

接着，启动神器APIMonitor，它可以帮你监控指定进程的API调用情况，勾选上CreateMutex和GetLastError这两个Windows API函数。在已经有微信在运行的情况下，用这个工具再启动一个微信进程，看一下函数调用情况：

可以看到，创建这个名字的互斥体后，随后又调用了GetLastError函数，并返回了0x000000b7，查看手册，其含义：

表示已经存在。

来看一下，这个CreateMutex调用的堆栈，看看是哪个地方的代码在创建这个全局互斥体：

从堆栈看出，调用来自于微信目录下的一个动态库WeChatWin.dll。具体位置在偏移0x8e271b处的前一条指令。

接下来就要祭出神器中的神器，大名鼎鼎的反汇编软件IDA，这家伙支持x86、x64、ARM、MIPS等多种处理器架构和Windows、Linux、Android、MacOS、JVM等多种系统平台的程序分析。

用IDA打开这个WeChatWin.dll文件，并定位到偏移0x8e271b处：

如上图所示，创建互斥体的动作，发生在函数sub_108e26d0。

上层是sub_108e2660函数在调用它：

上面这张图反映了创建互斥体后的判断逻辑：

• 如果sub_108e26d0的返回值为0，表示没有错误，当前函数也直接返回0。
• 如果sub_108e26d0的返回值不为0，表示出现了错误，则依次判断WeChatMainWndForPC和WeChatLoginWndForPC两个窗口是否存在，如果存在则使用BringWindowToTop函数将其置顶弹出。这两个窗口分别代表的是微信的主界面窗口和登陆界面窗口，如果一个微信实例已经存在，则势必处于这两种状态之一。

问题就出在上面这个判断中，汇编代码看起来有点辣眼睛，咱们F5来还原一下C代码（还原效果只能凑合看，能看清楚逻辑就行）：

上面图片的注解已经说明了，函数sub_108e2660的返回值将决定是否启动微信实例进程，还是直接退出。

真相只有一个

事情到这里就真相大白了，来总结一下。

微信判断是否启动的2个条件：

• 如果能成功创建互斥体对象，则启动微信
• 如果不能创建互斥体：
• 如果找到对应窗口，则置顶之，自己退出
• 如果没有找到，则启动微信

用伪代码来表示一下：

if (CreateMutex() == SUCCESS) {
  启动微信
} else {
  if (FindWindow() == SUCCESS) {
    将已有窗口置顶
  } else {
    启动微信
  }
}

而直接使用脚本启动的多个进程，虽然操作系统内核层面保证了互斥体的唯一，但由于启动速度相差不大，相应的窗口还没有来得及创建出来，导致走入上面的第二个启动逻辑，从而可以启动多个实例。

小发现

在分析的过程中，发现了一个有趣的事情：

在WeChatWin.dll中，上面的创建互斥体再上一级函数名字叫StartWaChat，也是作为导出函数被该DLL导出：

这里不知道是故意还是不小心把微信的WeChat写成了WaChat，如果是笔误，这位程序员同学看到了赶紧偷偷去改一下吧。

PS: 2024年，我再来看的时候，发现确实已经修改好了：

这样看来当初那个确实是某位程序员小哥哥手抖了~

马上就是五一假期了，今年五一因为天气原因，很多小伙伴都没有安排出游计划。

那不如趁着假期时间，来跟着轩辕学习逆向吧！

我的从零开始学逆向队伍已经突破400+人，目前已经更新到30课，微信群学习氛围浓厚，没有划水都是干货，距离群满500人名额已经不多了，欢迎想学习逆向的小伙伴抓紧机会，跟着队伍一起学习不孤单！

想了解关于逆向学习课程和群更详细信息的可以点击查看我之前发的文章：程序员赛道太卷，逆向工程师怎么样？

也可以直接添加我的个人微信咨询：