搜索

[9128] 2015-07-14_微信也被监控：HackingTeam语音监控代码分析

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-17
2015-07-14_微信也被监控：HackingTeam语音监控代码分析 微 信 也 被 监 控 ： H a c k i n g T e a m 语 音 监 控 代 码 分 析 F r e e B u f   2 0 1 5 - 0 7 - 1 4 微 信 号 微 信 号 : f r e e b u f 在 在 H a c k i n g T e a m 泄 漏 的 文 件 ， 我 们 发 现 了 有 针 对 主 流 聊 天 软 件 中 的 语 音 进 行 监 控 的 代 码 ， 其 中 包 括 国 内 常 用 的 微 泄 漏 的 文 件 ， 我 们 发 现 了 有 针 对 主 流 聊 天 软 件 中 的 语 音 进 行 监 控 的 代 码 ， 其 中 包 括 国 内 常 用 的 微 信 。 下 面 就 以 微 信 为 例 ， 来 分 析 一 下 信 。 下 面 就 以 微 信 为 例 ， 来 分 析 一 下 H a c k i n g T e a m 是 如 何 实 现 语 音 监 控 的 。 是 如 何 实 现 语 音 监 控 的 。 语 音 监 控 的 相 关 代 码 在 c o r e - a n d r o i d - a u d i o c a p t u r e - m a s t e r 文 件 夹 下 ， 通 览 全 部 源 码 之 后 ， 我 们 发 现 ， 语 音 监 控 的 实 现 ， 主 要 是 通 过 p t r a c e 实 现 代 码 注 入 ， 将 一 个 动 态 库 注 入 到 微 信 的 进 程 中 实 现 的 。 由 于 A n d r o i d 系 统 对 权 限 的 控 制 ， 要 实 现 该 目 的 ， 必 须 要 拥 有 管 理 员 权 限 才 可 以 。 也 就 是 说 ， 恶 意 软 件 需 要 先 获 取 r o o t 权 限 ， 之 后 才 能 进 一 步 实 现 语 音 监 控 。 下 面 进 入 主 题 ， 说 说 是 如 何 实 现 语 音 监 控 的 。 下 面 进 入 主 题 ， 说 说 是 如 何 实 现 语 音 监 控 的 。 c o r e - a n d r o i d - a u d i o c a p t u r e - m a s t e r d b i _ r e l e a s e 文 件 夹 里 面 是 程 序 主 要 代 码 ， 包 括 的 文 件 如 下 其 中 ， h i j a c k 文 件 夹 下 包 含 了 一 份 进 程 注 入 的 代 码 ， 该 代 码 的 主 要 功 能 就 是 通 过 p t r a c e 将 一 个 动 态 链 接 库 ( * . s o 文 件 ) 注 入 到 指 定 的 进 程 里 面 ， 并 执 行 。 实 际 上 关 于 进 程 注 入 的 代 码 ， 之 前 已 经 有 过 很 多 个 版 本 了 ， 关 于 细 节 就 不 再 赘 述 。 相 信 在 不 久 之 后 ， 基 于 H a c k i n g T e a m 泄 漏 版 进 行 改 写 的 h i j a c k 将 会 大 量 的 出 现 。 当 动 态 链 接 库 文 件 被 注 入 到 微 信 进 程 之 后 ， 会 直 接 调 用 初 始 化 函 数 ， 该 函 数 即 为 l i b t . c 中 的 m y _ i n i t 函 数 。 在 m y _ i n i t 函 数 开 始 部 分 ， 首 先 对 系 统 版 本 进 行 了 判 断 ， 并 根 据 不 同 的 版 本 采 取 不 同 的 措 施 。
为 了 更 容 易 理 解 ， 我 们 选 取 a n d r o i d   4 . 0 的 环 境 ， 看 看 m y _ i n i t 都 做 了 写 什 么 事 情 。 可 以 看 到 很 多 H O O K _ c o v e r a g e _ X X 形 式 的 变 量 ， 这 实 际 上 是 函 数 调 用 的 宏 定 义 。 相 关 的 定 义 在 h i j a c k _ f u n c h o o k e r . h 文 件 中 根 据 上 图 可 以 知 道 ， H O O K _ c o v e r a g e _ X X 实 际 上 是 调 用 了 h e l p _ n o _ h a s h 函 数 。 那 么 我 们 先 来 总 结 一 下 h e l p _ n o _ h a s h 函 数 都 做 了 些 什 么 ， 该 函 数 在 l i b t . c 文 件 中 定 义 。 首 先 ， h e l p _ n o _ h a s h 调 用 f i n d _ n a m e 来 获 取 指 定 函 数 地 址 。 f i n d _ n a m e 的 实 现 在 u t i l . c 文 件 中 ， 过 程 就 是 通 过 指 定 的 p i d 读 取 / p r o c / < p i d > / m a p s 文 件 ， 获 取 l i b n a m e 的 基 址 B a s e 和 文 件 路 径 P a t h 。
随 后 根 据 P a t h 读 取 l i b n a m e 这 个 文 件 并 解 析 ， 获 取 f u n c n a m e 的 相 对 地 址 偏 移 V A ， 最 后 计 算 B a s e + V A 就 是 f u n c n a m e 在 进 程 中 的 实 际 地 址 ， 最 后 写 入 a d d r 中 。 最 后 把 l i b n a m e 所 在 的 内 存 属 性 设 置 为 可 读 写 和 执 行 ， 方 便 后 期 进 行 修 改 。 经 过 f i n d _ n a m e 的 调 用 ， 就 可 以 找 到 f u n c n a m e 函 数 的 实 际 地 址 ， 就 是 a d d r 的 值 。 之 后 通 过 判 断 a d d r 的 值 ， 就 可 以 知 道 该 函 数 指 令 集 是 A R M 还 是 T H U M B 。 并 根 据 不 同 的 指 令 集 进 行 不 同 的 处 理 。 重 点 看 一 下 A R M 指 令 集 的 处 理 根 据 上 图 ， 可 以 看 到 ， 主 要 内 容 就 是 初 始 化 h o o k 变 量 ， h o o k 变 量 的 类 型 是 s t r u c t   h o o k _ t   * ， 随 后 修 改 f u n c n a m e 函 数 的 前 1 2 个 字 节 ， 实 现 i n l i n e   h o o k 。 对 于 T H U M B 指 令 集 ， 实 现 的 功 能 也 类 似 。 都 是 i n l i n e   h o o k ， 只 是 在 具 体 指 令 上 有 些 差 别 。 此 处 就 不 再 赘 述 了 。 综 合 上 述 的 信 息 ， 总 结 一 下 ， h e l p _ n o _ h a s h 函 数 的 主 要 功 能 就 是 对 于 指 定 的 函 数 实 现 i n l i n e   h o o k 。 相 信 该 部 分 代 码 以 后 也 会 流 行 起 来 的 。 但 是 该 段 代 码 虽 然 写 的 比 较 漂 亮 ， 但 是 依 旧 存 在 一 些 问 题 ， 诸 位 发 挥 拿 来 主 意 的 时 候 ， 最 好 还 是 多 测 试 一 下 。 回 到 主 题 ， 既 然 知 道 了 h e l p _ n o _ h a s h 是 实 现 了 i n l i n e   h o o k 功 能 ， 那 么 就 来 总 结 一 下 ， 都 h o o k 了 哪 些 函 数 。
上 表 总 结 了 h o o k 关 系 。 我 们 重 点 关 注 的 是 ” H o o k 函 数 ” 这 一 项 ， 里 面 的 内 容 就 是 实 际 的 代 码 。 各 个 函 数 主 要 是 实 现 监 控 并 记 录 的 功 能 ， 我 们 挑 选 一 个 比 较 有 代 表 性 的 ” n e w T r a c k _ h ” 来 进 行 分 析 。 n e w T r a c k _ h 函 数 实 现 是 在 h i j a c k _ f u n c h o o k e r _ t h u m b . c 文 件 中 。 由 于 使 用 的 是 i n l i n e   h o o k ， 并 且 目 的 是 监 控 ， 而 非 控 制 ， 所 以 ， 在 每 个 H o o k 函 数 开 始 位 置 都 有 相 似 的 调 用 原 始 函 数 的 过 程 。 通 过 h e l p e r _ p r e c a l l 和 h e l p e r _ p o s t c a l l 来 实 现 安 装 和 卸 载 i n l i n e   h o o k 的 功 能 。 之 后 经 过 一 些 无 关 紧 要 的 操 作 ， 生 成 一 个 s t r u c t   c b l k _ t   * 类 型 的 结 构 体 变 量 c b l k _ t m p ， 并 进 行 初 始 化 。 然 后 为 c b l k _ t m p - > f i l e n a m e 生 成 一 个 值 ， 作 为 保 存 的 文 件 名 。 以 c b l k _ t m p - > f i l e n a m e 作 为 文 件 名 创 建 文 件 继 续 对 c b l k _ t m p 的 成 员 变 量 进 行 赋 值 ， 最 后 放 入 哈 希 表 中 ， 方 便 后 续 的 查 找 等 操 作 。 至 此 ， n e w T r a c k _ h 函 数 的 主 要 流 程 就 描 述 完 了 。 相 信 大 家 一 定 很 奇 怪 ， 说 好 的 语 音 监 控 呢 ？ 根 本 没 有 看 到 啊 。 事 实 上 ， 用 于 记 录 语 音 的 操 作 是 在 r e c o r d T r a c k _ g e t N e x t B u f f e r 3 _ h 和 p l a y b a c k T r a c k _ g e t N e x t B u f f e r 3 _ h 中 实 现 的 ， 从 名 字 就 能 看 出 来 ， 这 两 个 函 数 分 别 用 于 在 录 音 和 播 放 的 时 候 ， 用 于 记 录 音 频 内 容 。 由 于 这 两 个 函 数 比 较 复 杂 ， 我 们 只 重 点 介 绍 一 下 音 频 记 录 相 关 的 部 分 。
选 取 p l a y b a c k T r a c k _ g e t N e x t B u f f e r 3 _ h 进 行 分 析 ， 该 函 数 实 现 在 用 户 播 放 语 音 的 时 候 ， 进 行 记 录 。 在 函 数 的 开 始 部 分 ， 依 旧 是 调 用 原 始 的 函 数 。 之 后 ， 会 根 据 系 统 版 本 ， 通 过 硬 编 码 的 偏 移 值 ， 获 取 系 统 结 构 地 址 。 然 后 将 信 息 写 入 文 件 注 意 到 ， b u f f e r R a w 就 是 音 频 的 信 息 ， 根 据 之 前 的 表 格 ， 可 以 看 到 p l a y b a c k T r a c k _ g e t N e x t B u f f e r 3 _ h 实 际 上 是 对 A u d i o F l i n g e r : : P l a y b a c k T h r e a d : : T r a c k : : g e t N e x t B u f f e r 函 数 进 行 的 H o o k ， 其 参 数 A u d i o B u f f e r P r o v i d e r : : B u f f e r   * 的 内 容 ， 就 是 音 频 内 容 ， 也 就 是 b u f f e r R a w 的 来 源 。 通 过 记 录 b u f f e r R a w ， 就 能 记 录 原 始 的 音 频 内 容 了 。 在 r e c o r d T r a c k _ g e t N e x t B u f f e r 3 _ h 函 数 中 也 有 类 似 的 操 作 ， 就 不 赘 述 了 。 从 记 录 方 式 上 来 看 ， 该 代 码 按 照 自 己 定 义 的 方 式 来 记 录 信 息 的 ， 生 成 的 也 是 b i n 文 件 。 所 以 生 成 的 文 件 并 不 能 直 接 用 于 播 放 。 好 在 H a c k i n g T e a m 预 留 了 一 个 转 换 文 件 ， 在 d e c o d e r   d e c o d e r . p y 文 件 中 ， 实 现 了 将 记 录 的 b i n 文 件 转 换 为 w a v 文 件 的 功 能 。 至 此 ， 语 音 监 控 功 能 的 源 码 分 析 也 就 基 本 完 成 了 。 总 体 看 来 ， H a c k i n g T e a m 的 代 码 写 的 还 是 非 常 漂 亮 的 ， 其 中 动 态 库 注 入 部 分 ， 以 及 i n l i n e   H o o k 部 分 源 码 ， 预 计 在 未 来 一 段 时 间 会 被 借 鉴 与 各 种 A n d r o i d 项 目 中 。 但 是 这 分 代 码 依 旧 存 在 一 些 问 题 ， 首 先 是 必 须 r o o t 权 限 才 能 正 确 执 行 ， 而 且 在 实 现 的 过 程 中 ， 使 用 了 一 些 硬 编 码 ， 而 A n d r o i d 系 统 本 身 碎 片 化 十 分 严 重 ， 各 种 定 制 R O M 流 行 ， 这 就 使 得 硬 编 码 只 能 适 配 少 数 一 部 分 系 统 ， 而 无 法 做 到 对 所 有
A n d r o i d 系 统 都 有 效 。 相 信 这 也 是 一 种 无 奈 之 举 吧 。 * 本 文 作 者 ： 金 山 毒 霸 （ 企 业 帐 号 ） ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理