搜索

[13469] 2018-11-27_窃听风云：扒掉你的最后一条“胖次”

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-11-27_窃听风云：扒掉你的最后一条“胖次” 窃 听 风 云 ： 扒 掉 你 的 最 后 一 条 “ 胖 次 ” G h o s t S e c   F r e e B u f   2 0 1 8 - 1 1 - 2 7 “ 每 个 人 的 手 机 都 是 一 部 窃 听 器 ， 不 管 你 开 不 开 机 ， 都 能 被 窃 听 。 每 个 人 的 手 机 都 是 一 部 窃 听 器 ， 不 管 你 开 不 开 机 ， 都 能 被 窃 听 。 ” 在 在 2 0 0 9 年 上 映 的 《 窃 听 风 云 》 中 吴 彦 祖 饰 演 年 上 映 的 《 窃 听 风 云 》 中 吴 彦 祖 饰 演 的 人 物 有 这 样 一 句 台 词 ， 随 着 影 片 热 映 ， 的 人 物 有 这 样 一 句 台 词 ， 随 着 影 片 热 映 ， “ 手 机 窃 听 手 机 窃 听 ” 的 问 题 被 更 多 的 人 顾 虑 ， 网 络 商 家 也 大 肆 推 出 各 种 窃 听 软 的 问 题 被 更 多 的 人 顾 虑 ， 网 络 商 家 也 大 肆 推 出 各 种 窃 听 软 件 和 设 备 ， 甚 至 某 宝 上 也 可 以 买 到 件 和 设 备 ， 甚 至 某 宝 上 也 可 以 买 到 “ G S M 阻 截 器 阻 截 器 ” ， 但 是 ， 但 是 G S M 阻 截 器 需 要 相 关 仪 器 功 率 巨 大 ， 一 般 几 百 至 几 千 阻 截 器 需 要 相 关 仪 器 功 率 巨 大 ， 一 般 几 百 至 几 千 的 售 卖 多 为 骗 人 的 假 货 ， 相 关 的 技 术 分 析 网 上 有 很 多 ， 这 并 不 是 我 们 今 天 谈 论 的 主 题 。 一 般 的 窃 听 分 为 物 理 窃 的 售 卖 多 为 骗 人 的 假 货 ， 相 关 的 技 术 分 析 网 上 有 很 多 ， 这 并 不 是 我 们 今 天 谈 论 的 主 题 。 一 般 的 窃 听 分 为 物 理 窃 听 和 软 件 窃 听 ， 而 软 件 窃 听 的 成 本 相 较 较 低 ， 但 是 一 般 的 窃 听 软 件 买 卖 信 息 也 为 假 货 。 听 和 软 件 窃 听 ， 而 软 件 窃 听 的 成 本 相 较 较 低 ， 但 是 一 般 的 窃 听 软 件 买 卖 信 息 也 为 假 货 。 近 日 碰 到 一 个 让 人 细 思 极 恐 的 真 实 的 窃 听 软 件 ， 可 以 说 是 把 用 户 扒 的 一 条 “ 胖 次 ” 都 不 剩 ， 这 里 针 对 其 窃 听 的 隐 私 内 容 和 实 现 技 术 进 行 简 要 分 析 ， 让 大 家 感 受 一 波 ， 旨 在 提 高 自 身 的 安 全 意 识 。 一 、 窃 听 词 云 一 、 窃 听 词 云 本 次 分 析 的 恶 意 软 件 伪 装 成 “ 百 度 ” 应 用 ， 病 毒 名 称 定 义 为 “   A . P r i v a c y . O v e r H e a r d . a ” , 在 用 户 使 用 时 安 装 之 后 ， 会 隐 藏 启 动 图 标 ， 不 明 所 以 的 用 户 会 认 为 未 安 装 成 功 ， 之 后 就 置 之 不 理 了 。 恶 意 软 件 在 此 之 后 就 会 注 册 广 播 ， 监 听 系 统 广 播 开 启 自 身 服 务 ， 并 使 用 远 程 控 制 技 术 向 手 机 发 送 各 种 指 令 ， 达 到 窃 听 的 目 的 。 我 们 研 究 的 重 点 在 于 窃 取 隐 私 技 术 ， 直 接 爆 破 样 本 ， 从 源 码 维 度 对 此 样 本 进 行 追 踪 分 析 ， 看 我 们 日 常 使 用 的 手 机 都 包 含 了 我 们 哪 些 的 私 密 信 息 ， 而 此 恶 意 软 件 又 能 拿 我 们 这 些 信 息 对 我 们 造 成 什 么 伤 害 ， 相 信 等 你 看 完 此 报 告 ， 一 定 是 一 地 鸡 毛 。 下 面 我 们 通 过 一 张 词 云 图 来 直 观 的 感 受 一 下 “ 窃 听 风 云 ” ， O v e r H e a r d 病 毒 窃 取 的 用 户 信 息 如 图 1 - 1 所 示 ： 图 1 - 1   窃 取 隐 私 词 云 二 、 窃 听 技 术 逐 个 击 破 二 、 窃 听 技 术 逐 个 击 破 恶 意 软 件 在 窃 取 隐 私 数 据 时 使 用 U D P 协 议 进 行 发 送 加 密 数 据 ， 我 们 分 析 其 窃 取 隐 私 信 息 最 好 的 方 式 就 是 直 接 找 到 其 协 议 包 发 送 的 源 码 ， 对 其 加 密 前 的 数 据 进 行 分 析 。 此 样 本 近 乎 把 用 户 常 见 的 隐 私 数 据 全 部 获 取 了 ， 而 a n d r o i d 系 统 中 大 部 分 数 据 获 取 都 有 其 相 应 的 A P I ， 所 以 在 这 里 我 们 针 对 主 要 窃 取 行 为 进 行 详 细 分 析 ， 常 见 窃 取 行 为 进 行 简 要 分 析 ， 简 单 窃 取 行 为 一 笔 带 过 或 直 接 忽 略 。 2 . 1   用 户 通 话 录 音 及 日 常 录 音 用 户 通 话 录 音 及 日 常 录 音
O v e r H e a r d 窃 听 软 件 ， 最 重 要 的 功 能 就 是 对 用 户 实 施 监 听 ， 但 是 这 种 监 听 的 方 式 并 不 是 实 时 的 ， 而 是 通 过 两 种 方 式 实 现 ， 一 是 对 用 户 通 话 的 监 听 ， 实 现 方 式 是 设 置 用 户 通 话 监 听 ， 通 过 用 户 通 话 状 态 的 改 变 来 控 制 录 音 ； 二 是 对 用 户 日 常 信 息 的 监 听 ， 实 现 方 式 是 通 过 远 程 控 制 ， 遥 控 指 令 控 制 录 音 的 开 启 和 关 闭 。 最 终 将 录 音 文 件 发 送 到 服 务 器 。 两 种 监 听 都 有 一 个 前 提 ， 在 a n d r o i d 系 统 中 要 使 用 录 音 功 能 ， 需 要 向 用 户 申 请 相 应 的 录 音 权 限 。 录 音 权 限 的 申 请 如 图 2 - 1 所 示 ： 图 2 - 1   窃 取 隐 私 词 云 取 得 用 户 授 权 之 后 ， 就 可 以 使 用 相 应 A P I 执 行 操 作 。 窃 听 行 为 的 第 一 种 对 用 户 通 话 实 施 监 听 。 首 先 是 在 其 开 启 的 服 务 T i m e r S e r v i c e 中 ， 实 例 化 对 象 A u d i o ， 并 进 行 初 始 化 i n i t ， 传 入 T e l e p h o n y M a n a g e r 对 象 ， 初 始 化 A u d i o 的 代 码 如 图 2 - 2 所 示 ： 图 2 - 2   初 始 化 A u d i o 在 A u d i o 初 始 化 时 ， T e l e p h o n y M a n a g e r 设 置 了 一 个 电 话 状 态 的 监 听 P h o n e S t a t e L i s t e n e r ， 在 通 话 状 态 改 变 时 ， 分 别 调 用 开 启 录 音 和 关 闭 录 音 的 方 法 ， 如 图 2 - 3 、 图 2 - 4 所 示 ： 图 2 - 3   设 置 电 话 监 听 器
图 2 - 4   通 话 状 态 改 变 控 制 录 音 下 面 我 们 看 一 下 开 启 录 音 的 方 法 ， 就 是 调 用 了 A n d r o i d 提 供 的 M e d i a R e c o r d e r 进 行 了 录 音 ， 将 录 音 文 件 存 储 在 S D 卡 下 的 隐 藏 文 件 . t m p / a u d i o 中 （ 在 l i n u x 系 统 中 以 “ . ” 开 头 的 是 隐 藏 目 录 ） ， 回 调 的 s t a r t R e c 方 法 如 图 2 - 5 所 示 ： 图 2 - 5   开 启 录 音 在 用 户 结 束 通 话 时 ， 回 调 s t o p R e c 方 法 ， 结 束 录 音 ， 并 将 录 音 文 件 地 址 发 送 到 服 务 器 。 如 图 2 - 6 所 示 ：
图 2 - 6   关 闭 录 音 发 送 录 音 文 件 路 径 窃 听 行 为 的 第 二 种 是 实 行 遥 控 录 音 。 本 次 分 析 分 恶 意 应 用 会 通 过 网 络 发 送 指 令 ， 控 制 手 机 的 各 种 操 作 ， 但 本 次 重 点 在 讨 论 其 隐 私 窃 取 行 为 ， 不 对 其 u d p 指 令 的 执 行 结 构 做 说 明 。 下 面 是 其 接 收 开 启 录 音 的 指 令 及 相 应 指 令 值 ， 如 图 2 - 7 所 示 ：
图 2 - 7   根 据 指 令 控 制 录 音 操 作 从 代 码 中 我 们 很 易 看 出 ， 通 过 指 令 e n v i r o n m e n t a u d i o 来 控 制 录 音 行 为 ， 此 指 令 下 再 含 有 “ 1 ” 时 开 启 录 音 ， 不 含 时 结 束 录 音 。 开 启 录 音 和 结 束 录 音 的 操 作 也 同 样 是 调 用 了 M e d i a R e c o r d e r 来 执 行 ， 在 结 束 录 音 时 同 样 将 录 音 文 件 路 径 发 送 至 服 务 器 ， 这 里 不 再 进 行 赘 述 ， 我 们 直 接 看 其 录 音 文 件 保 存 路 径 ， 存 储 在 S D 卡 目 录 下 一 个 时 间 戳 命 名 的 3 g p 中 ， 如 图 2 - 8 所 示 ： 图 2 - 8   录 音 文 件 保 存 路 径
2 . 2   W e c h a t 数 据 及 聊 天 记 录 数 据 及 聊 天 记 录 微 信 现 在 已 经 成 为 我 们 日 常 交 流 的 必 备 软 件 ， 每 个 人 都 有 至 少 一 个 微 信 账 号 ， 我 们 常 常 会 碰 到 这 样 的 问 题 ， 微 信 聊 天 记 录 不 小 心 删 除 了 ， 想 恢 复 怎 么 办 ？ 微 信 的 数 据 和 聊 天 数 据 保 存 在 哪 里 ？ 窃 听 软 件 告 诉 你 ， 如 何 获 取 你 的 微 信 数 据 和 聊 天 记 录 。 首 先 是 接 收 到 服 务 器 的 指 令 获 取 微 信 信 息 ， 服 务 器 的 指 令 及 调 用 获 取 微 信 信 息 的 操 作 如 图 2 - 9 所 示 ： 图 2 - 9   获 取 微 信 数 据 指 令 跳 转 下 一 步 G e t F i l e 方 法 ， 在 方 法 中 判 断 是 否 含 有 标 记 字 段 “ w e i x i n d b ” ， 含 有 此 字 段 时 则 调 用 C o p y W e i X i n D a t a 方 法 拷 贝 微 信 数 据 ， 并 将 微 信 数 据 发 送 到 服 务 器 。 如 图 2 - 1 0 所 示 ：
图 2 - 1 0   发 送 微 信 数 据 路 径 到 服 务 器 那 么 它 是 如 何 拷 贝 微 信 数 据 的 呢 ， 我 们 进 入 拷 贝 方 法 追 踪 ， 可 以 发 现 它 执 行 了 一 系 统 的 l i n u x 命 令 。 将 “ / d a t a / d a t a / c o m . t e n c e n t . m m / M i c r o M s g ” 中 的 数 据 拷 贝 到 S D 卡 下 自 己 设 置 的 目 录 中 ， 是 的 ， 你 猜 对 了 ， 此 目 录 下 就 保 存 着 你 的 微 信 数 据 包 含 聊 天 记 录 。 虽 然 是 加 密 的 ， 本 软 件 未 在 本 地 执 行 解 密 操 作 ， 我 们 不 在 论 述 ， 感 兴 趣 的 人 总 能 找 到 。 拷 贝 微 信 数 据 的 方 法 如 图 2 - 1 1 所 示 ： 图 2 - 1 1   拷 贝 微 信 数 据 那 么 事 情 是 否 就 是 这 么 简 单 呢 ？ 当 然 不 是 ， a n d r o i d 系 统 中 只 允 许 应 用 访 问 自 己 的 文 件 存 储 区 间 ， 要 想 执 行 命 令
到 “ / d a t a / d a t a / c o m . t e n c e n t . m m / ”   第 三 方 应 用 的 数 据 区 间 去 拷 贝 东 西 ， 还 需 要 超 级 权 限 R O O T 权 限 。 此 恶 意 软 件 在 开 启 服 务 之 后 ， 经 进 行 了 尝 试 获 取 R O O T 权 限 的 操 作 ， 尝 试 将 自 身 的 一 个 s u 文 件 写 入 系 统 目 录 中 。 尝 试 获 取 R O O T 权 限 的 操 作 如 图 2 - 1 2 所 示 ： 图 2 - 1 2   尝 试 获 取 R O O T 权 限 2 . 3   Q Q 隐 私 数 据 隐 私 数 据 Q Q 数 据 的 获 取 与 微 信 的 获 取 原 理 相 同 ， 而 且 Q Q 号 具 有 的 记 录 密 码 功 能 ， 使 得 你 的 Q Q 号 更 加 的 危 险 ， 不 仅 你 的 聊 天 记 录 可 以 被 获 取 ， 而 且 通 过 “ 应 用 数 据 克 隆 ” 的 方 式 ， 别 人 还 可 以 直 接 登 录 到 你 的 账 号 。 下 面 我 们 来 讨 论 此 病 毒 应 用 对 Q Q 数 据 的 窃 取 。 恶 意 样 本 在 服 务 中 直 接 初 始 化 m o b i q q 的 对 象 ， 之 后 调 用 G e t A l l I n f o r 方 法 获 取 Q Q 的 应 用 数 据 ， 因 为 方 式 与 微 信 数 据 窃 取 都 一 样 ， 我 们 直 接 进 入 G e t A l l I n f o r 查 看 。 如 图 2 - 1 3 所 示 ：
图 2 - 1 3   G e t A l l I n f o r 获 取 Q Q 数 据 从 代 码 中 我 们 可 以 看 到 ， 先 进 行 了 Q Q 数 据 库 文 件 的 移 动 ， 之 后 获 取 一 个 A r r a y L i s t 的 文 件 名 列 表 ， 从 中 截 取 去 Q Q 号 码 ， 因 为 其 在 移 动 Q Q 数 据 库 时 已 经 进 行 过 正 则 校 验 ， 其 中 ” 0 x 0 0 2 E ” 就 是 十 进 制 的 “ 4 6 ” ， 对 比 A S C I I 码 表 可 知 就 是 文 件 分 隔 符 “ . ” 。 获 取 数 据 库 和 Q Q 号 之 后 通 过 解 析 数 据 库 获 取 Q Q 聊 天 记 录 ， 群 组 和 朋 友 。 我 们 先 来 看 M o v e D b F i l e 方 法 ， 查 看 其 如 何 移 动 Q Q 数 据 库 。 如 图 2 - 1 4 所 示 ：
图 2 - 1 4   复 制 Q Q 数 据 从 中 我 们 可 以 看 到 其 也 是 使 用 c p 命 令 从 “ / d a t a / d a t a / c o m . t e n c e n t . m o b i l e q q / d a t a b a s e s / ” 中 复 制 的 Q Q 数 据 。 获 取 Q Q 的 数 据 库 之 后 ， 从 中 截 取 获 得 Q Q 号 ， 之 后 创 建 D B O p e n H e l p e r 类 D B m q q 获 得 数 据 库 ， 对 数 据 库 进 行 操 作 。 首 先 是 从 数 据 库 中 获 取 Q Q 聊 天 记 录 ， 我 们 查 看 其 G e t c h a t 方 法 ， 如 图 2 - 1 5 所 示 ： 图 2 - 1 5   遍 历 数 据 库 表 G e t c h a t 方 法 直 接 从 数 据 库 中 获 取 表 ， 之 后 遍 历 表 ， 使 用 G e t Q Q c h a t 方 法 对 表 进 行 查 询 。 跳 转 到 G e t Q Q c h a t 方 法 中 ， 我 们 发 现 它 先 从 表 中 通 过 S Q L 查 询 获 取 相 应 的 聊 天 P a g e I n d e x , 在 使 用 g e t P r i v a t e S c r o l l c h a t D a t a 方 法 进 行 解 析 ， 将 聊 天 数 据 存 储 到 数 据 对 象 Q q c h a t u n i t 中 。 这 里 由 于 安 全 问 题 不 对 其 解 密 方 法 进 行 粘 贴 ， 旨 在 了 解 其 流 程 。 G e t Q Q c h a t 在 解 析 之 后 将 聊 天 数 据 使 用 u d p 利 用 循 环 发 送 至 服 务 器 ， 分 别 如 图 2 - 1 6 、 图 2 - 1 7 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理