Faits: A. Le 19 janvier 2007, B._ et A._ ont déposé plainte pénale contre inconnu pour diffamation. Ils exposaient avoir fait l'objet d'une dénonciation anonyme auprès de l'Office cantonal genevois de l'inspection et des relations du travail (OCIRT). Il s'en était suivi une visite d'un collaborateur de l'OCIRT (ci-après: le collaborateur), lequel aurait proféré des reproches sur l'état des locaux, ainsi que des accusations infondées de mobbing. La plainte a été classée le 29 janvier 2007 par le Ministère public genevois. Par ordonnance du 2 mai 2007, la Chambre d'accusation genevoise a partiellement admis le recours formé par A._ et B._; les termes de la dénonciation anonyme étaient diffamatoires, s'agissant de l'accusation de mobbing; la cause était renvoyée au Parquet afin notamment que soit identifié, par tous les moyens nécessaires et adéquats, l'auteur de cette dénonciation. B. Le collaborateur ayant été convoqué pour une audition par la police judiciaire, le Chef du département de la solidarité et de l'emploi a fait savoir, par lettre du 6 juin 2007, qu'il refusait de lever le secret de fonction; cette décision pouvait faire l'objet d'un recours au Tribunal administratif dans les trente jours. Le 22 juin 2007, B._ écrivit au Chef du département en estimant que le collaborateur était en possession d'éléments pouvant éclairer la justice sur la dénonciation qui portait atteinte à son entreprise. Le 3 juillet 2007, le Chef du département répondit qu'une décision formelle avait été rendue le 6 juin 2007 et que le délai de recours avait commencé à courir. A titre exceptionnel, il considéra la lettre du 22 juin 2007 comme une réclamation et rendit la "nouvelle décision suivante": le secret de fonction était levé, mais en vertu de la LTr et des conventions du BIT, le collaborateur ne pourrait répondre à aucune question visant à identifier les personnes ayant fourni des informations à l'OCIRT, ces dernières ayant droit à une protection absolue de leur anonymat. Cette décision comporte la même indication des voies de droit que la précédente. C. Par acte du 5 juillet 2007, A._ et B._ ont recouru auprès du Tribunal administratif genevois contre la décision du 6 juin 2007. Par arrêt du 18 décembre 2007, le Tribunal administratif s'est déclaré incompétent et a transmis le recours au Conseil d'Etat. Par arrêté du 15 septembre 2008, ce dernier, statuant sans le Conseiller d'Etat concerné, a déclaré le recours irrecevable. Il a tout d'abord considéré, changeant sa pratique sur ce point, que seul le détenteur du secret de fonction pouvait recourir contre les décisions prises à ce sujet; les tiers n'étaient pas directement touchés. Le Conseil d'Etat a toutefois renoncé à appliquer cette nouvelle pratique dans le cas d'espèce, en vertu du principe de la confiance. La décision du 6 juin 2007 avait été remplacée par celle du 3 juillet suivant, entrée en force, de sorte que le recours dirigé contre le premier prononcé était irrecevable faute d'objet. A titre subsidiaire, le Conseil d'Etat a considéré que le refus de lever le secret de fonction était conforme à la LTr et à la Convention n° 81 du BIT. D. A._ et B._ forment un recours constitutionnel subsidiaire. Ils demandent préalablement l'apport du dossier de l'OCIRT, y compris le nom du dénonciateur. Principalement, ils concluent à l'annulation de l'arrêté du Conseil d'Etat et de la décision du Chef du département du 6 juin 2007. Ils demandent également au Tribunal fédéral d'ordonner au Chef du département d'autoriser le témoignage requis, sans limitation, et d'ordonner la reprise de la procédure pénale. Le Conseil d'Etat conclut à l'irrecevabilité, subsidiairement au rejet du recours.