搜索

[13801] 2019-02-26_使用x64dbg分析微信并获取所有联系人信息

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2019-02-26_使用x64dbg分析微信并获取所有联系人信息 使 用 x 6 4 d b g 分 析 微 信 并 获 取 所 有 联 系 人 信 息 l a n t 1 e   F r e e B u f   2 0 1 9 - 0 2 - 2 6 引 言 引 言 上 回 我 们 完 成 了 微 信 中 对 发 信 息 的 自 动 调 用 ， 这 次 我 们 接 着 分 析 微 信 的 联 系 人 信 息 ， 完 成 对 联 系 人 、 群 信 息 的 上 回 我 们 完 成 了 微 信 中 对 发 信 息 的 自 动 调 用 ， 这 次 我 们 接 着 分 析 微 信 的 联 系 人 信 息 ， 完 成 对 联 系 人 、 群 信 息 的 获 取 。 完 整 代 码 会 放 在 获 取 。 完 整 代 码 会 放 在 g i t h u b 上 ： 上 ： h t t p s : / / g i t h u b . c o m / 1 5 p b / w e c h a t _ t o o l s 。 。 蓝 铁 在 逆 向 分 析 时 的 三 种 分 析 思 路 蓝 铁 在 逆 向 分 析 时 的 三 种 分 析 思 路 我 们 在 逆 向 工 程 中 ， 分 析 方 法 一 般 是 多 种 方 法 尝 试 。 以 分 析 微 信 联 系 人 列 表 为 例 ， 我 们 可 以 从 三 方 面 入 手 来 分 析 ： 自 上 而 下 分 析 法 此 方 法 是 从 界 面 开 始 分 析 ， 也 就 是 从 窗 口 回 调 函 数 开 始 分 析 界 面 相 关 的 代 码 ， 从 界 面 中 获 取 到 联 系 人 信 息 ， 这 种 分 析 方 法 如 果 对 U I 库 ( 微 信 用 的 是 D u i L i b 库 ) 比 较 熟 悉 的 话 ， 分 析 起 来 会 比 较 好 一 些 。 自 下 而 上 分 析 法 此 方 法 是 从 A P I 的 调 用 开 始 ， 向 上 栈 回 溯 分 析 ， 一 般 在 我 们 破 解 一 些 有 注 册 弹 窗 的 程 序 会 比 较 好 下 断 点 ， 而 分 析 微 信 联 系 人 列 表 没 有 弹 窗 信 息 ， 所 以 这 块 分 析 起 来 需 要 猜 测 A P I ， 再 分 析 。 字 符 串 分 析 法 此 方 法 可 以 说 在 任 何 时 候 都 可 以 进 行 分 析 ， 比 如 分 析 联 系 人 列 表 ， 可 以 从 或 入 手 开 始 分 析 。 在 分 析 微 信 联 系 人 信 息 时 ， 我 采 用 了 三 种 方 法 相 结 合 的 方 式 ， 起 初 使 用 的 是 自 下 而 上 分 析 法 ， 从 A P I 入 手 ， 因 为 在 上 一 节 对 微 信 发 信 息 的 函 数 分 析 时 ， 是 一 步 一 步 向 上 栈 回 溯 分 析 的 ， 想 的 也 可 以 采 用 类 似 的 方 式 ， 但 在 跟 踪 过 程 中 耗 费 了 大 量 时 间 找 信 息 ， 并 没 有 找 到 稳 定 的 数 据 列 表 。 所 以 最 终 放 弃 这 种 方 法 ， 而 从 U I 层 分 析 ， 需 要 先 对 U I 库 熟 悉 一 下 ， 而 现 在 一 心 只 想 获 取 数 据 ， 不 想 学 U I ， 所 以 只 能 用 字 符 串 分 析 法 了 。 而 使 用 字 符 串 分 析 ， 发 现 也 是 没 有 结 果 。 回 过 头 来 ， 依 然 使 用 A P I 下 断 的 方 式 ， 这 时 由 于 前 面 分 析 和 跟 踪 的 过 程 中 ， 已 经 对 微 信 的 代 码 熟 悉 了 ， 发 现 微 信 中 所 有 的 信 息 分 为 两 种 方 式 存 储 ， 第 一 种 是 U I 上 会 有 存 储 ， 第 二 种 是 数 据 库 存 储 ， 第 一 种 P A S S ， 选 择 第 二 种 最 终 找 到 了 关 键 函 数 。 下 面 就 是 我 尝 试 的 两 种 方 式 。 使 用 字 符 串 分 析 法 分 析 无 果 使 用 字 符 串 分 析 法 分 析 无 果 首 先 使 用 x 6 4 d b g 附 加 正 在 运 行 的 微 信 ， 在 符 号 选 项 卡 中 选 择 微 信 的 通 信 逻 辑 模 块 ： 然 后 搜 索 当 前 模 块 的 字 符 串 ， 在 字 符 串 中 过 滤 : 会 发 现 字 符 串 还 是 很 多 的 ， 换 另 一 个 过 滤 ， 发 现 少 了 一 些 。 仔 细 观 察 过 滤 出 的 字 符 串 ， 有 几 个 看 起 来 可 能 有 关 ， 我 试 了 两 个 ， 最 终 并 没 找 到 相 关 代 码 。 写 出 分 析 的 过 程 主 要 就 是 告 诉 大 家 逆 向 本 不 是 一 帆 风 顺 ， 有 时 在 分 析 时 会 无 功 而 返 ， 在 这 个 时 候 需 要 耐 心 ， 总 会 有 出 路 的 ！ 巧 用 巧 用 s q l 语 句 执 行 函 数 找 到 获 取 联 系 人 信 息 函 数 语 句 执 行 函 数 找 到 获 取 联 系 人 信 息 函 数 在 分 析 发 信 息 的 函 数 时 ， 底 层 找 到 了 执 行 s q l 语 句 的 函 数 ， 由 于 执 行 这 个 函 数 会 多 次 调 用 ， 经 过 下 断 观 察 ， 发 现 有 和 联 系 人 相 关 的 s q l 语 句 。 ( 蓝 铁 提 示 ： 注 意 获 取 联 系 人 信 息 的 代 码 是 在 微 信 扫 码 之 后 执 行 的 ， 所 以 需 要 在 微 信 扫 码 之 前 使 用 x 6 4 d b g 附 加 程 序 并 下 断 点 ) 在 动 态 跟 踪 的 过 程 中 ， 在 上 面 代 码 断 下 后 的 上 两 层 代 码 中 ， 又 一 次 调 用 了 S q l 执 行 函 数 ， s q l 语 句 和 上 图 基 本 一 致 ， 再 C o n t a c t C o n t a c t L i s t w e c h a t w i n . d l l C o n t a c t C o n t a c t C o n t a c t L i s t
继 续 跟 踪 的 过 程 中 ， 发 现 了 获 取 微 信 I D 的 函 数 。 继 续 向 下 跟 踪 时 ， 找 到 了 获 取 微 信 号 信 息 的 函 数 。 经 过 跟 踪 ， 发 现 这 段 代 码 是 一 个 循 环 ， 每 次 获 取 到 微 信 号 信 息 不 一 样 ， 并 且 还 有 群 信 息 。 如 果 我 们 能 自 己 实 现 这 个 循 环 就 能 完 成 获 取 联 系 人 以 及 群 信 息 。 但 看 上 下 文 函 数 调 用 比 较 多 。 所 以 采 用 h o o k 的 方 式 对 上 图 中 调 用 的 函 数 进 行 H o o k 是 一 种 比 较 好 的 方 法 。 h o o k 的 点 在 此 ： 巧 用 巧 用 i n l i n e   h o o k 提 取 联 系 人 以 及 群 名 称 提 取 联 系 人 以 及 群 名 称 我 们 知 道 一 般     是 在 函 数 的 开 始 处 进 行 H o o k , 而 在 这 个 代 码 中 发 现 我 们 要 H o o k 的 这 个 C A L L 引 用 的 地 方 是 比 较 多 的 ， 也 就 是 说 有 很 多 地 方 都 调 用 了 这 个 函 数 ， 所 以 我 们 采 用 的 方 式 是 只 h o o k 我 们 调 用 的 这 个 点 。 ( 蓝 铁 提 示 ： 在 x 6 4 d b g 中 ， 选 中 函 数 开 始 处 ， 使 用 快 捷 键 x ， 可 以 查 看 所 有 引 用 这 个 函 数 的 代 码 ) 我 们 h o o k 的 代 码 是 将 处 代 码 改 成 我 们 自 己 的 函 数 ， 然 后 在 我 们 自 己 的 函 数 中 保 存 微 信 信 息 ， 之 后 再 跳 过 来 。 原 理 图 如 下 ： 原 理 有 了 剩 下 的 就 是 写 代 码 ， 不 过 写 代 码 前 需 要 先 分 析 一 下 函 数 调 用 的 参 数 以 及 我 们 保 存 的 参 数 的 结 构 ， 即 微 信 联 系 人 信 息 的 结 构 。 经 过 多 次 调 用 观 察 堆 栈 信 息 ， 得 出 了 以 下 结 果 。 H o o k 的 关 键 代 码 ： 从 原 函 数 跳 转 到 的 H o o k 代 码 0 C C B A 0 C 6       |   E 8   4 5   0 D   0 0   0 0               |   c a l l   < w e c h a t w i n . s u b _ C C B A E 1 0 >                     |   获 取 微 信 号 信 息 ， h o o k 点 i n l i n e   h o o k 0 C C B A 0 C 6 c a l l   获 取 微 信 信 息 c a l l 参 数 ：   第 一 个 是 传 出 缓 冲 区 ， 获 取 微 信 联 系 人 信 息   第 二 个 是 s q l 执 行 返 回 的 对 象 ， 即 查 询 对 象 或 结 果 集 对 象   我 们 关 注 的 是 第 一 个 ， 调 用 之 后 会 得 到 联 系 人 信 息 传 出 缓 冲 区 即 为 传 出 对 象   + 0 x 8     微 信 I D   + 0 x 1 C   微 信 号   + 0 x 4 8   标 志 位 ， 1 代 表 联 系 人 ， 2 代 表 群 ， 3 代 表 服 务 号   + 0 x 4 C   0 x 0   代 表 个 人 ， 0 x 8 代 表 普 通 订 阅 号 ， 0 x 1 8   代 表 订 阅 、 服 务 号 ， 0 x 1 C   代 表 系 统 服 务   + 0 x 5 0   微 信 备 注   + 0 x 6 4   服 务 名 称 或 微 信 名 称 ( )   + 0 x A 4   拼 音 简 称 ( 全 大 写 )   + 0 x B 8   拼 音 名 称 ( 全 拼 小 写 )         / /   1 .   计 算 虚 拟 地 址 ， 模 块 基 地 址 + R V A 地 址         H M O D U L E   h M o d   =   : : G e t M o d u l e H a n d l e ( L " w e c h a t w i n . d l l " ) ;         D W O R D   d w E I P A d d r   =   ( D W O R D ) h M o d   +   0 x 3 A A 0 C 6 ;         D W O R D   d w C a l l A d d r   =   ( D W O R D ) h M o d   +   0 x 3 A A E 1 0 ;         / /   2 .   修 改 代 码 属 性         D W O R D   d w O l d T y p e   =   0 ;         : : V i r t u a l P r o t e c t ( ( L P V O I D ) d w E I P A d d r ,   5 ,   P A G E _ E X E C U T E _ R E A D W R I T E ,   & d w O l d T y p e ) ;         / /   3 .   读 取 代 码         D W O R D   d w R e a d ;         H o o k D a t a   s t c R e a d D a t a ;         : : R e a d P r o c e s s M e m o r y ( ( H A N D L E ) - 1 ,   ( L P V O I D ) d w E I P A d d r ,   & s t c R e a d D a t a ,   5 ,   & d w R e a d ) ;         / /   4 .   写 入 代 码         H o o k D a t a   s t c W r i t e D a t a ( 0 x E 9 ,   d w E I P A d d r ,   ( D W O R D ) N a k e H o o k C a l l ) ;         : : W r i t e P r o c e s s M e m o r y ( ( H A N D L E ) - 1 ,   ( L P V O I D ) d w E I P A d d r ,   & s t c W r i t e D a t a ,   5 ,   & d w R e a d ) ;         / /   5 .   恢 复 属 性         : : V i r t u a l P r o t e c t ( ( L P V O I D ) d w E I P A d d r ,   5 ,   d w O l d T y p e ,   & d w O l d T y p e ) ;         / /   6 .   记 录 原 函 数 返 回 地 址         g _ d w R e t A d d r   =   d w E I P A d d r   +   5 ;
保 存 联 系 人 的 代 码 ： 自 己 定 义 的 微 信 联 系 人 类 ： 除 此 之 外 ， 当 然 获 取 信 息 之 后 ， 还 需 要 进 行 过 滤 ， 经 过 人 肉 分 析 之 后 ， 发 现 微 信 联 系 人 结 构 中 和 是 两 个 标 志 ， 可 以 使 用 这 两 个 标 志 过 滤 群 列 表 和 联 系 人 列 表 。 测 试 结 果 测 试 结 果 测 试 代 码 还 是 写 在 了 D L L 中 ， 所 以 测 试 的 顺 序 是 ： D W O R D   g _ d w R e t A d d r ;   / /   用 于 保 存 返 回 到 原 函 数 的 地 址 v o i d   _ d e c l s p e c ( n a k e d )   N a k e H o o k C a l l ( )   {         _ a s m   {                 m o v   g _ O u t O b j ,   e s i             / /   保 存 参 数 1 ， 从 这 个 值 中 获 取 微 信 信 息                 m o v   e a x ,   g _ h M o d ;               / /                   a d d   e a x ,   0 x 3 A A E 1 0 ;           / /   计 算 调 用 函 数                 c a l l   e a x                               / /   调 用 获 取 微 信 联 系 人 信 息 函 数                 m o v   e a x ,   S a v e I n f o                 c a l l   e a x                               / /   调 用 自 己 的 函 数 保 存 微 信 联 系 人 信 息                 p u s h   g _ d w R e t A d d r               / /   跳 转 回 原 函 数                 r e t         } } v e c t o r < M y W X C o n t a c t I n f o >   g _ v e c t o r ;   / /   保 存 微 信 联 系 人 v o i d   S a v e I n f o ( )   {   / /   执 行 到 H o o k 点 ， 每 次 都 会 调 用 这 个 函 数 保 存 微 信 联 系 人         M y W X C o n t a c t I n f o   o b j ( g _ O u t O b j ) ;         g _ v e c t o r . p u s h _ b a c k ( o b j ) ; } c l a s s   M y W X C o n t a c t I n f o   { p u b l i c :         / /   + 0 x 8     微 信 I D         / /   + 0 x 1 C   微 信 号         / /   + 0 x 4 8   标 志 位 ， 1 代 表 联 系 人 ， 2 代 表 群 ， 3 代 表 服 务 号         / /   + 0 x 4 C   0 x 0   代 表 个 人 ， 0 x 8 代 表 普 通 订 阅 号 ， 0 x 1 8   代 表 订 阅 、 服 务 号 ， 0 x 1 C   代 表 系 统 服 务         / /   + 0 x 5 0   微 信 备 注         / /   + 0 x 6 4   服 务 名 称 或 微 信 名 称 ( )         / /   + 0 x A 4   拼 音 简 称 ( 全 大 写 )         / /   + 0 x B 8   拼 音 名 称 ( 全 拼 小 写 )         M y W X C o n t a c t I n f o ( D W O R D   d w O b j )   {                 m _ w x I D   =   * ( w c h a r _ t * * ) ( d w O b j   +   0 x 8 ) ;                 m _ w x N u m   =   * ( w c h a r _ t * * ) ( d w O b j   +   0 x 1 C ) ;                 m _ w x F l a g 1   =   * ( D W O R D * ) ( d w O b j   +   0 x 4 8 ) ;                 m _ w x F l a g 2   =   * ( D W O R D * ) ( d w O b j   +   0 x 4 C ) ;                 m _ w x B e i z h u   =   * ( w c h a r _ t * * ) ( d w O b j   +   0 x 5 0 ) ;                 m _ w x N a m e   =   * ( w c h a r _ t * * ) ( d w O b j   +   0 x 6 4 ) ;         }         w c h a r _ t *   P r i n t S t r i n g ( )   {                 C S t r i n g   s t r O b j ;                 s t r O b j . F o r m a t ( L " I D : % s   N U M : % s   f 1 : % p   f 2   % p , B e i z h u : " ,   m _ w x I D ,   m _ w x N u m ,   m _ w x F l a g 1 ,   m _ w x F l a g 2 ) ;                 i f   ( m _ w x B e i z h u )   {                         s t r O b j   + =   m _ w x B e i z h u ;                         s t r O b j   + =   "   " ;                 }                 i f   ( m _ w x N a m e )   {                         s t r O b j   + =   m _ w x N a m e ;                         s t r O b j   + =   "   " ;                 }                 O u t p u t D e b u g S t r i n g ( s t r O b j . G e t B u f f e r ( ) ) ;                 r e t u r n   s t r O b j . G e t B u f f e r ( ) ;         } p u b l i c :         w c h a r _ t *   m _ w x I D ;     / /   + 0 x 8     微 信 I D         w c h a r _ t *   m _ w x N u m ;   / /   + 0 x 1 C   微 信 号         i n t             m _ w x F l a g 1 ; / /   + 0 x 4 8   标 志 位         i n t             m _ w x F l a g 2 ; / /   + 0 x 4 C   0 x 0         w c h a r _ t *   m _ w x B e i z h u ; / /   + 0 x 5 0         w c h a r _ t *   m _ w x N a m e ; / /   + 0 x 6 4 } ; 0 x 4 8 0 x 4 7
1 . 开 微 信 2 . 注 入 D L L 3 . 在 测 试 对 话 框 中 点 击 按 钮 4 . 扫 码 登 录 微 信 5 . 打 开 D e b u g V i e w 6 . 在 测 试 对 话 框 中 点 击 按 钮 7 . 在 测 试 对 话 框 中 点 击 按 钮 总 结 总 结 在 分 析 微 信 联 系 人 过 程 中 ， 我 们 会 发 现 ， 从 一 个 商 业 软 件 中 获 取 一 组 信 息 还 是 比 较 麻 烦 的 ， 最 终 我 们 使 用 了 H o o k 这 种 方 式 完 成 了 功 能 ， 而 写 代 码 和 分 析 两 者 其 实 做 好 都 比 较 难 ， 所 以 合 格 的 逆 向 工 程 师 ， 两 者 能 力 都 应 该 具 备 ！ * 本 文 原 创 作 者 ： l a n t 1 e ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文 H o o k 获 取 联 系 人 获 取 群 列 表 获 取 联 系 人 列 表
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理