搜索

[19305] 2018-05-08_一个钓鱼木马引发的血案

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-05-08_一个钓鱼木马引发的血案 一 个 钓 鱼 木 马 引 发 的 血 案 i 春 秋   2 0 1 8 - 0 5 - 0 8 作 者 ： i m m e n m a i 春 秋 社 区 技 术 是 好 东 西 ， 但 如 果 用 来 歪 门 邪 道 ， 终 究 是 害 人 害 己 。 技 术 是 好 东 西 ， 但 如 果 用 来 歪 门 邪 道 ， 终 究 是 害 人 害 己 。 故 事 发 生 于 某 个 阳 光 明 媚 的 某 手 绘 交 流 群 ， 不 知 什 么 时 候 ， 来 了 一 位 传 奇 般 的 雷 锋 级 黑 客 。 具 体 他 说 了 什 么 ， 就 不 再 复 述 了 ， 基 本 就 是 ： “ 群 里 谁 要 Q B ， 我 可 以 帮 你 刷 ” 。 寡 人 回 了 一 句 ， 大 概 意 思 是 ： “ 这 是 手 绘 群 ， 打 广 告 别 来 ， Q B 什 么 用 ” 之 类 的 云 云 。 没 想 到 这 位 雷 锋 黑 客 不 但 不 放 弃 ， 秉 着 “ 我 一 定 要 为 人 民 服 务 的 中 国 梦 ” 精 神 还 加 我 好 友 ， 寡 人 也 想 看 看 这 葫 芦 里 卖 的 什 么 药 。 于 是 有 了 以 下 的 一 幕 ： 看 来 真 是 天 下 掉 馅 饼 的 好 事 ， 为 什 么 不 试 试 呢 ， 但 是 感 觉 为 什 么 有 点 不 对 劲 。
骚 年 ， 这 意 图 要 不 要 那 么 明 显 ， 顿 时 产 生 了 一 种 ： “ 总 有 刁 民 想 害 朕 ” 的 危 机 感 。 如 果 在 平 时 ， 基 本 是 已 经 是 拉 黑 删 除 钓 鱼 程 序 结 束 了 ， 但 是 今 天 寡 人 怨 念 尤 其 的 深 ， 不 知 道 是 不 是 昨 晚 喝 的 咖 啡 弄 的 一 夜 没 睡 ， 还 是 陪 母 上 大 人 看 了 一 上 午 的 国 产 雷 剧 ， 浑 身 积 攒 了 满 满 的 负 能 量 ， 我 开 始 有 了 一 些 比 较 腹 黑 的 想 法   ( ╯ ° Д ° ) ╯ ︵   ┻ ━ ┻ 我 决 定 ， 看 看 这 个 钓 鱼 程 序 卖 的 是 什 么 药 先 来 看 看 这 款 软 件 闷 骚 的 小 图 标 使 用 P E i d 进 行 查 壳 ： 发 现 加 了 U P X 壳
当 然 这 种 这 个 难 度 约 等 于 0 的 压 缩 壳 ， 使 用 e s p 定 律 或 者 直 接 用 工 具 能 轻 松 搞 定 ， 脱 去 u p x 壳 后 再 次 查 壳 ， 发 现 变 成 了 V C + + 6 . 0 这 个 年 代 ， 当 然 基 本 不 会 有 人 还 在 用 V C + + 6 . 0 了 那 么 基 本 肯 定 ， 这 一 定 是 宇 宙 无 敌 易 语 言 写 的 神 奇 玩 意 。 在 虚 拟 机 中 再 次 运 行 这 个 软 件 可 以 观 察 到 ， 程 序 的 意 图 基 本 就 是 钓 取 我 们 的 账 号 密 码 ， 那 么 ， 这 个 账 号 密 码 会 被 发 送 到 哪 里 呢 ？ 不 过 不 管 如 何 发 送 ， 我 们 至 少 能 够 猜 到 9 9 % 是 通 过 网 络 发 送 出 去 的 ， 易 语 言 这 个 e x c i t e d 的 东 西 啊 。 网 络 最 一 般 是 通 过 s o c k e t 来 进 行 的 ， s o c k e t 进 行 网 络 通 信 ， 用 的 是 t c p   u d p 两 种 通 讯 协 议 ， 对 应 最 常 用 的 发 送 数 据 ， 应 该 就 是 s e n d 和 s e n d t o 这 两 个 函 数 了 。 （ 当 然 也 有 W S A s e n d 之 类 I O C P 的 做 法 ， 不 过 既 然 是 易 语 言 这 种 宇 宙 级 语 言 写 出 来 的 东 西 ， 我 们 就 不 用 想 的 那 么 复 杂 ） 到 这 里 ， 寡 人 决 定 做 一 个 小 小 的 工 具 ， 把 这 个 软 件 发 送 的 数 据 给 d u m p 下 来 到 这 里 ， 想 到 一 个 被 用 烂 了 十 几 年 但 是 仍 然 有 效 的 技 术 - - - - - - - - i n l i n e   h o o k 至 于 什 么 是 i n l i n e   h o o k ， 这 里 我 也 不 继 续 复 述 ， 毕 竟 这 东 西 网 上 存 在 的 资 料 已 经 非 常 非 常 多 了 ， 自 己 动 手 丰 衣 足 食 ， 不 过 我 还 是 使 用 两 张 图 来 简 单 描 述 一 下 i n l i n e   h o o k 图 图 1 . 0 首 先 这 是 原 来 正 常 的 函 数
然 后 这 是 被 h o o k 过 的 函 数 显 然 的 ， 在 我 们 的 函 数 里 ， 我 们 就 可 以 做 一 点 坏 事 ， 比 如 把 传 递 给 原 函 数 的 参 数 进 行 过 滤 修 改 ， 当 然 ， 在 这 里 我 们 只 是 想 d u m p 下 这 个 软 件 发 送 出 去 的 数 据 ， 废 话 就 不 多 说 了 ， 打 开 v i s u a l s t u d i o 创 建 项 目
编 写 注 入 用 的 D L L （ 为 什 么 使 用 D L L 呢 ， 因 为 D L L 能 够 避 免 很 多 直 接 代 码 注 入 修 改 的 很 多 问 题 ， 比 如 代 码 重 定 向 ， 例 如 a s l r 保 护 … … 最 主 要 的 是 ， 直 接 写 起 来 也 方 便 ） 编 写 h o o k 类 ， 自 己 放 大 图 片 看 吧 ， 具 体 代 码 在 附 件 当 中 自 行 查 阅 编 写 D L L M a i n
到 这 里 ， 我 们 需 要 H o o k S e n d 和 s e n d t o 这 两 个 函 数 ， 在 上 面 说 到 的 “ 我 们 的 函 数 中 ” ， 我 们 就 是 把 数 据 给 d u m p 下 来 （ 就 是 保 存 下 来 ） 保 存 的 文 件 名 格 式 是 （ 通 讯 协 议 _ 发 送 I P 地 址 _ 端 口 _ 索 引 . b i n ） 最 后 在 D L L M a i n a t t a c h 中 让 h o o k 执 行 并 生 效 编 译 ， 一 次 成 功 （ 苍 天 保 佑 ）
最 后 我 们 还 需 要 编 写 一 个 注 入 器 （ 这 个 比 较 复 杂 点 ， 但 是 我 们 可 以 用 复 制 黏 贴 大 法 在 网 上 抄 一 段 ） 注 入 器 的 功 能 ， 就 是 把 让 这 个 D L L 在 程 序 执 行 之 前 加 载 进 去 ， 打 个 比 方 嘛 就 是 在 程 序 里 插 入 一 个 内 奸 。 这 个 内 奸 就 是 我 们 的 h o o k 程 序 ， 他 会 不 断 把 这 个 钓 鱼 程 序 的 信 息 报 告 给 我 们 。 编 译 ， R e l e a s e ， 那 么 到 这 里 ， 我 们 的 准 备 工 作 也 就 完 成 了 现 在 万 事 俱 备 ， 只 欠 东 风 ， 当 然 ， 这 个 程 序 表 面 上 看 “ 是 个 钓 鱼 程 序 ” ， 但 是 我 们 也 不 得 不 防 一 手 ， 万 一 这 个 程 序 还 有 些 别 的 什 么 动 作 ， 那 不 就 神 不 知 鬼 不 觉 被 它 搞 了 个 大 新 闻 么 ， 所 以 ， 我 们 打 开 虚 拟 机 环 境 以 防 万 一 。 把 这 个 “ 2 0 1 6 刷 q b 软 件 ” 和 我 们 编 写 好 的 h o o k 程 序 一 起 放 入 虚 拟 机 ， 我 们 把 这 个 钓 鱼 程 序 重 命 名 为 S a m p l e . e x e 其 中 I n j e c t o r 就 是 注 入 器 ， 他 会 把 当 前 目 录 的 i n l i n e H o o k e r . d l l 注 入 到 S a m p l e . e x e 当 中 ， 这 样 我 们 就 能 够 监 视 这 个 程 序 了
运 行 I n j e c t o r ， 没 有 出 现 错 误 ， 目 标 程 序 也 被 顺 利 的 打 开 了 。 说 明 注 入 成 功 在 Q Q 号 码 和 密 码 中 ， 我 们 随 便 输 入 一 串 数 字 ， 比 如 1 1 1 1 1 1 1 之 类 的 ， 然 后 点 击 “ 一 键 刷 q b ” ， 在 这 个 “ 您 已 成 功 刷 取 Q B ， 2 4 小 时 到 账 ” 的 忽 悠 弹 窗 后 ， 我 们 发 现 了 桌 面 上 多 了 点 东 西 。 首 先 我 们 成 功 d u m p 到 了 这 个 程 序 往 外 发 送 的 一 些 数 据 包 ， 我 们 可 以 看 到 这 些 数 据 包 是 以 s e n d 函 数 的 形 式 发 送 出 去 的 ， 也 就 是 这 个 钓 鱼 程 序 与 某 个 I P 进 行 了 某 些 肮 脏 的 屁 眼 交 易
从 文 件 名 可 以 看 到 ， 这 个 T C P 连 接 到 了 2 7 . 1 5 2 . 1 8 1 . 1 1 4 这 个 地 址 ， 而 端 口 是 8 0 ， 显 而 易 见 这 八 成 是 一 个 H t t p 协 议 的 通 讯 ， 我 们 用 记 事 本 直 接 打 开 这 个 文 件 ， 发 现 它 访 问 了 p a n . l a n z o u . c o m 并 且 G e t   x / 5 6 6 3 6 里 的 东 西 那 么 到 底 是 什 么 玩 意 呢 。 不 妨 打 开 浏 览 器 浏 览 一 下 那 个 地 址 ， 2 3 4 5 ？ ？ ？ ？ . e x e ，
看 来 就 是 桌 面 上 多 出 的 这 个 玩 意 了 。 真 是 钓 鱼 也 不 忘 打 广 告 捞 一 笔 。 真 不 知 道 这 个 钓 鱼 程 序 和 2 3 4 5 间 存 在 着 什 么 更 多 的 p y 交 易 我 们 接 着 分 析 第 一 个 数 据 包 ， 发 现 它 指 向 了 v i p . s t o r e . b a i d u p a n . c o m 这 是 百 度 网 盘 还 是 什 么 。 看 这 又 臭 又 长 的 G e t 请 求 ， 那 个 F i l e 字 样 深 深 出 卖 了 它 似 乎 又 下 载 了 一 些 别 的 什 么 东 西 .
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理