QQ密码框的那点破事

心已赠人 2022-09-17 13:16 169阅读 0赞

原文链接:http://bbs.pediy.com/showthread.php?t=143216

前阵子把QQ密码搞出来了，现在想复习下发现又生疏了，看来要写个文章利用看雪论坛帮自己保存下，特别是WinDbg的命令忘的太快了，恩要记下来了。  
注：本文没有用到驱动来实现，也没有用到假界面这个方法，只是借助于WinDbg分析，代码是Ring3的，QQ版本是2011,版本号是1.65.2221.488即最新的版本beta 3.3  
QQ密码框是靠不停的安装卸载钩子来实现密码保护的，这地球人都知道，主要的2个钩子是WH\_DEBUG和WH\_KEYBOARD\_LL,但你断SetWindowsHookExA或者SetWindowsHookExW都是断不下来的，只能在QQ启动时断下来几个无关紧要的键盘钩子，那么WH\_DEBUG和WH\_KEYBOARD\_LL这2个钩子从哪里来的，下面一步步分析：  
1、毫无疑问QQ已经将代码进行了转移，但作为一个无壳无驱动的聊天程序，肯定还是要经过内核中的函数的，SetWindowsHookEx以及SetWindowsHook的内核函数都是Win32k!NtUserSetWindowsHookEx,它是在ShadowSSDT表中的。  
2、开虚拟机，WinDbg连上,先将QQ打开停在登陆界面，这时候QQ内部就会不停的加载和卸载钩子，这是因为有定时器的缘故，后面再说。然后在WinDbg中Ctrl+Break,输入下面的命令  
kd> !process 0 0 qq.exe  
PROCESS 81a98260 SessionId: 0 Cid: 0640 Peb: 7ffdf000 ParentCid: 0540  
DirBase: 084001a0 ObjectTable: e12cb3b0 HandleCount: 280.  
Image: QQ.exe  
找到qq的EPROCESS 为81a98260  
3、下断点：  
bu /p 81a98260 Win32k!NtUserSetWindowsHookEx  
则断在QQ的进程空间中，这就是加上/p的好处,详解参见帮助文档  
4、输入命令 kb  
kd> kb  
ChildEBP RetAddr Args to Child  
f8202d44 8053e638 00400000 0012f9a8 00000000 win32k!NtUserSetWindowsHookEx  
f8202d44 7c92e4f4 00400000 0012f9a8 00000000 nt!KiFastCallEntry+0xf8  
0012f980 1000a20c 100072e1 00400000 0012f9a8 ntdll!KiFastSystemCallRet  
看见了吧 被我们纠出来了，分析堆栈结构  
win32k!NtUserSetWindowsHookEx会返回到nt!KiFastCallEntry中而nt!KiFastCallEntry会调用sysexit返回到Ring3,返回Ring3的地址是7c92e4f4  
这是ntdll!KiFastSystemCallRet函数,只有一个指令是ret,这个函数又会返回到1000a20c 中，1000a20c 地址是QQ的TsSafeEdit.dat模块中  
5、将断点清除，系统继续运行，用OD附加，来到1000a20c 处，往上看就会看到你想要的,如图:  
![名称:  钩子.png查看次数: 1613文件大小:  6.2 KB][_.png_ 1613_ 6.2 KB]  
1125就是Win32k!NtUserSetWindowsHookEx在ShadowSSDT中的序列号，因为在ShadowSSDT中所以算函数表中的偏移要减0x1000,  
具体的原因请参见http://bbs.pediy.com/showthread.php?t=89407  
6、1000A200就是QQ秘密调用生成WH\_DEBUG和WH\_KEYBOARD\_LL钩子的地方，而且一直地址不变，始终是模块TsSafeEdit.dat的地址+A200,但这个地址一开始是没有代码的，QQ会用memcpy函数将代码复制过来执行，  
所以我们要Hook住memcpy,判断目标地址是不是TsSafeEdit.dat的地址+A200，然后再到这个1000A200进行猥琐,当然我这个是笨方法。。。  
7、好了，怎么得到QQ密码的思路就出来了，  
（1）Hook住memcpy,判断目标地址是不是TsSafeEdit.dat的地址+A200，然后再那个地址写入mov eax,1 ret 18h,即成功的返回  
（2）加载我们自己的钩子来得到密码。。。。。。。。。不罗嗦了，都在代码里，以下QQ账号和密码的截图：  
[![点击图片以查看大图图片名称:	密码.png查看次数:	1615文件大小:	80.0 KB文件 ID :	62370][.png_1615_80.0 KB_ ID _62370]][.png_1615_80.0 KB_ ID _62370_.png_1615_80.0 KB_ ID _62370]  
8、实际上QQ不停的加载和卸载钩子是SetTimer的缘故，只要Hook住SetTimer就可以了，Hook中判断句柄的窗口类型是不是Edit就可以了，但这种方法，WH\_DEBUG和WH\_KEYBOARD\_LL的钩子还是存在的，得到的数据虽然不完全是按键数据，但又规律可循  
9、附件中的工程编译出来的是DLL,用OD在程序载入点的时候加载DLL就可以了，写着玩的所以代码不规范。。。。，还有BUG,但基本思路就这样，另外如果想做成木马的话，  
还需要过360对QQ目录下的文件保护，保证在QQ启动的时候加载DLL,至于怎么过我就不透露了 ![微笑][smile.gif]，另外如果用户是记住密码的，可以在将用户的db文件删除，这样用户  
必须输入密码了，只想到这种，代码中获取QQ号是Hook住了明文处，恩 ，就这样了  
[HookQQ.rar][].

[_.png_ 1613_ 6.2 KB]: /images/20220828/f18fb2e0f9b44e20a17ab8cc89dc42ce.png
[.png_1615_80.0 KB_ ID _62370]: http://bbs.pediy.com/attachment.php?attachmentid=62370&thumb=1&d=1359477289
[.png_1615_80.0 KB_ ID _62370_.png_1615_80.0 KB_ ID _62370]: /images/20220828/a09a21ed3687407cb92feb188f589a29.png
[smile.gif]: http://bbs.pediy.com/images/smilies/smile.gif
[HookQQ.rar]: http://bbs.pediy.com/attachment.php?attachmentid=62372&d=1321946321