中年|微信pc端居然能多开，我探究了一波多开的秘密 |微信|多开|

然后直接双击批处理文件，就能启动两个微信进程。
我试了一下，果然如此！
随后我又加了一行，竟然还能启动3个：

本文插图

接着我在网络上搜了一下，原来这一招早就被人用过了，看来是我火星了。不过到底为什么用这种方式就能多开，我倒是很想直到这个迷底。
TIPS：如果对技术分析部分不感兴趣，可以跳过直接来到后面的真相部分。
微信的单例模式正常情况下，直接手动双击微信图标启动，后面启动的进程会进行全局单例模式检查，如果发现已经存在微信进程，就会直接把对应进程的微信窗口激活，定位到桌面最前面，随后自己退出。
但为什么用上面的方式就能启动俩呢？我们来一探究竟。
首先，分析一下上面描述的微信单个实例是如何实现的。
做过Windows平台应用程序开发的朋友可能对此比较熟悉，一般是进程启动后创建一个全局唯一名字的互斥体，创建成功则正常启动，创建失败则判断一下是否这个互斥体已经存在。如果已经存在则说明已经有对应程序之前启动。
带着这种猜想，用工具procexp查看一下微信进程打开的所有内核对象，并找到互斥体部分：

本文插图

果然，这其中有一个名字叫_WeChat_App_Instance_Identity_Mutex_Name的互斥体，从这个名字可以猜出，这个跟微信的单例模式绝对有关系。
接着，启动神器APIMonitor ，它可以帮你监控指定进程的API调用情况，勾选上CreateMutex和GetLastError这两个Windows API函数。在已经有微信在运行的情况下，用这个工具再启动一个微信进程，看一下函数调用情况：
可以看到，创建这个名字的互斥体后，随后又调用了GetLastError函数，并返回了0x000000b7 ，查看手册，其含义：

本文插图

表示已经存在。
来看一下，这个CreateMutex调用的堆栈，看看是哪个地方的代码在创建这个全局互斥体：

本文插图
【中年|微信pc端居然能多开，我探究了一波多开的秘密】

从堆栈看出，调用来自于微信目录下的一个动态库WeChatWin.dll 。具体位置在偏移0x8e271b处的前一条指令。
接下来就要祭出神器中的神器，大名鼎鼎的反汇编软件IDA ，这家伙支持x86、x64、ARM、MIPS等多种处理器架构和Windows、Linux、Android、MacOS、JVM等多种系统平台的程序分析。
用IDA打开这个WeChatWin.dll文件，并定位到偏移0x8e271b处：

本文插图

如上图所示，创建互斥体的动作，发生在函数sub_108e26d0 。
上层是sub_108e2660函数在调用它：

本文插图

上面这张图反映了创建互斥体后的判断逻辑：