首页 > 钓鱼微信群

一个钓鱼木马引发的血案

钓鱼微信群钓友圈2023-07-25 18:29:42A+A-
本文原创作者:immenma内容来源:i春秋社区未经许可禁止转载

注意:长文多图预警,建议WIFI环境阅读,土豪请随意!

。。。。。。。。。。分割线。。。。。。。。。。

故事发生于某个阳光明媚的某手绘交流群,不知什么时候,来了一位传奇般的雷锋级黑客。

具体他说了什么,就不再复述了,基本就是:“群里谁要QB,我可以帮你刷”。

寡人回了一句,大概意思是:“这是手绘群,打广告别来,QB什么用”之类的云云。

没想到这位雷锋黑客不但不放弃,秉着“我一定要为人民服务的中国梦”精神还加我好友,

寡人也想看看这葫芦里卖的什么药

于是有了已下的一幕:

看来真是天下掉馅饼的好事,为什么不试试呢,但是感觉为什么有点不对劲

骚年,这意图要不要那么明显,顿时产生了一种:“总有刁民想害朕”的危机感。

如果在平时,基本是已经是拉黑删除钓鱼程序结束了,但是今天寡人怨念尤其的深,不知道是不是昨晚喝的咖啡弄的一夜没睡,还是陪母上大人看了一上午的国产雷剧,浑身积攒了满满的负能量,我开始有了一些比较腹黑的想法 (╯°Д°)╯︵ ┻━┻

我决定,看看这个钓鱼程序卖的是什么药

先来看看这款软件闷骚的小图标

使用PEid进行查壳:发现加了UPX壳

当然这种这个难度约等于0的压缩壳,使用esp定律或者直接用工具能轻松搞定,脱去upx壳后再次查壳,发现变成了VC++6.0

这个年代,当然基本不会有人还在用VC++6.0了那么基本肯定,这一定是宇宙无敌易语言写的神奇玩意。

在虚拟机中再次运行这个软件

可以观察到,程序的意图基本就是钓取我们的账号密码,那么,这个账号密码会被发送到哪里呢?

不过不管如何发送,我们至少能够猜到99%是通过网络发送出去的,易语言这个excited的东西啊。网络最一般是通过socket来进行的,socket进行网络通信,用的是tcp udp两种通讯协议,对应最常用的发送数据,应该就是send和sendto这两个函数了。(当然也有WSAsend之类IOCP的做法,不过既然是易语言这种宇宙级语言写出来的东西,我们就不用想的那么复杂)

到这里,寡人决定做一个小小的工具,把这个软件发送的数据给dump下来

到这里,想到一个被用烂了十几年但是仍然有效的技术--------inline hook

至于什么是inline hook,这里我也不继续复述,毕竟这东西网上存在的资料已经非常非常多了,自己动手丰衣足食,不过我还是使用两张图来简单描述一下inline hook

图1.0

首先这是原来正常的函数

然后这是被hook过的函数

显然的,在我们的函数里,我们就可以做一点坏事,比如把传递给原函数的参数进行过滤修改,当然,在这里我们只是想dump下这个软件发送出去的数据,废话就不多说了,打开visualstudio创建项目

编写注入用的DLL(为什么使用DLL呢,因为DLL能够避免很多直接代码注入修改的很多问题,比如代码重定向,例如aslr保护……最主要的是,直接写起来也方便)

编写hook类,自己放大图片看吧,具体代码在附件当中自行查阅

编写DLLMain

到这里,我们需要HookSend和sendto这两个函数,在上面说到的“我们的函数中”,我们就是把数据给dump下来(就是保存下来)

保存的文件名格式是(通讯协议_发送IP地址_端口_索引.bin)

最后在DLLMainattach中让hook执行并生效

编译,一次成功(苍天保佑)

最后我们还需要编写一个注入器(这个比较复杂点,但是我们可以用复制黏贴大法在网上抄一段)注入器的功能,就是把让这个DLL在程序执行之前加载进去,打个比方嘛就是在程序里插入一个内奸。这个内奸就是我们的hook程序,他会不断把这个钓鱼程序的信息报告给我们。

编译,Release,那么到这里,我们的准备工作也就完成了

现在万事俱备,只欠东风,当然,这个程序表面上看“是个钓鱼程序”,但是我们也不得不防一手,万一这个程序还有些别的什么动作,那不就神不知鬼不觉被它搞了个大新闻么,所以,我们打开虚拟机环境以防万一。

把这个“2016刷qb软件”和我们编写好的hook程序一起放入虚拟机,我们把这个钓鱼程序重命名为Sample.exe

其中Injector就是注入器,他会把当前目录的inlineHooker.dll注入到Sample.exe当中,这样我们就能够监视这个程序了

运行Injector,没有出现错误,目标程序也被顺利的打开了。说明注入成功

在QQ号码和密码中,我们随便输入一串数字,比如1111111之类的,然后点击“一键刷qb”,在这个“您已成功刷取QB,24小时到账”的忽悠弹窗后,我们发现了桌面上多了点东西.

首先我们成功dump到了这个程序往外发送的一些数据包,我们可以看到这些数据包是以send函数的形式发送出去的,也就是这个钓鱼程序与某个IP进行了某些肮脏的屁眼交易

从文件名可以看到,这个TCP连接到了27.152.181.114这个地址,而端口是80,显而易见这八成是一个Http协议的通讯,我们用记事本直接打开这个文件,发现它访问了http://pan.lanzou.com并且Get x/56636里的东西

那么到底是什么玩意呢。不妨打开浏览器浏览一下那个地址,2345????.exe,

看来就是桌面上多出的这个玩意了。真是钓鱼也不忘打广告捞一笔。真不知道这个钓鱼程序和2345间存在着什么更多的py交易

我们接着分析第一个数据包,发现它指向了http://vip.store.baidupan.com

这是百度网盘还是什么。看这又臭又长的Get请求,那个File字样深深出卖了它似乎又下载了一些别的什么东西.

接着看之后另一个数据包,似乎也是在下载什么东西。我们复制下这个链接

发现迅雷弹出来了,掀桌子,怎么又是这个2345网址导航,看来这个钓鱼程序的作者从一个地方下载还不大放心,从另外的一些地方又下载了一次,莫非下载的多就能进行更多的交易?

我索然无味的关掉前几个数据包,显然没有发现什么特别有价值的东西,我接着打开最后一个数据包,恩,似乎出现了一些有意思的东西

通过数据包,我们发现它指向了www.****.cc这个地址,而qqdaohao怎么看怎么觉得像QQ盗号的汉语拼音,这命名手法确实很“易语言”,而name和content这两个参数在传递什么东西。

我蹑手蹑脚地把这个地址放入浏览器然后访问,结果浏览器显示出了ok这个字样,这又代表着什么呢?钓鱼成功?

带着疑问,我意识到信息取得的不够多,我第二次执行了这个钓鱼程序,同时刻意把账号和密码设置成了12345678 和 87654321看看这个与name content这两个参数到底有什么关系。

可以看到,数据包被再次dump了下来

我们再次打开这个数据包,把数据记录下来

然后我们用账号密码都是11111111,重复以上步骤再做一遍,然后把数据剪切出来对齐分析

结果就变得非常显而易见了,第一部分似乎是没有什么改变,第二部分,清楚的看到

Content是 21 22 23 24…… B1FF 28 27 26 25 24 23……,这B1FF应该是作分隔用的

傻子都看得出来。21代表1;22代表2以此类推、

既然是易语言这种宇宙级编程语言,先有易语言后又天的大神写出来的玩意,不得不怀疑下,他的网站空间是否有做完整的数据长度检查呢

就算没有,我是否可以以流量的形式,1kb 1kb地蚕食他的钓鱼空间已绝后患

既然如此,无需客气,打开SpacerFloodProject,修改config.h代码,把我们的请求代码构造一下,我们每次发送3KB的数据,那么就能消耗其至少3KB的空间,假设一秒发送十次的话30kb的速度,一天就能蚕食它24GB的网络空间,那么不出意外,这个损人利己的钓鱼空间不出2天八成就爆炸了

执行dbFlooder,发现数据发送成功,我们尽量地调整发送的数据速度,使其不被其防火墙过滤而拉黑我们。看了看,效果似乎还不错。

但是,这个速度还是太慢了,况且就算我们flood成功了,等这家伙发现,删去我们的数据,还不是分分钟的问题,总不能我们一直和他耗着。

带着这个疑问,我打算更加深入一步,在这个HTTP Get请求包当中,可以明显的看到,这个GET请求被发往了一个www.****.cc网页下面

我蹑手蹑脚地打开这个网站,一股浓浓的中二病杀马特风扑鼻而来

在这个网站得的软件上,我发现了一个有趣的东西,会不会这个钓鱼软件就是这个东西生成的呢?,不顾羞耻病发作,我点开链接下载了这个程序

下载之后发现是一堆乱码命名的文件,一脸黑人问号,不过这个不影响我们继续分析,不如先打开试试?重复之前的注入步骤,把这个生成器重命名为Sample.exe,执行injector注入

看来,这个软件真是至死不渝的打广告啊,除了广告,还有各种忽悠

居然还有二维码登陆,本着我不下地狱谁下地狱的精神,我使用我的账号进行登陆,很快,一堆数据包被dump了下来

其中大部分,应该和企鹅的快速登陆有关系,但是我还是找到了一个比较特别的数据包,

115.238.240.152,没错的话,他不就是钓鱼软件发往的地址么。

打开这个数据包,发现它在请求一个txt文件,前面的那串文件名怎么感觉那么眼熟好像又不大一样

不管那么多了,我也试试这钓鱼软件肿么样,我同样生成了一个“钓鱼木马”,当然这水平叫木马是不是有点太抬举自己的了

重复注入步骤,做了很多次,就不再啰嗦了

在生成的木马面前,输入测试的账号密码11111111

查看dump下来的数据包

复制到之前我们分析的文本文件当中,嘿,Name的参数发生了改变

到了这里,我就大胆的猜想:

1.钓鱼生成器,请求自己钓取到的账号密码是靠那个Name参数同名的txt文件

2.钓鱼软件,通过一个Get请求,把自己的账号密码发送到name对应的txt文本文件下面

通过浏览器,我访问了这个txt文件,同时也证实了这个猜想

嘛。那么这个txt文件是什么时候创建的呢,是我登陆那个钓鱼软件生成器时,还是钓鱼木马发送账号密码时,我偷偷摸摸地自己构造了一个请求,来证实我这个想法

在下面这个请求中我构造了name为testtesttest,content为hellohello….

之后我去访问testtesttest.txt,嘿,还真有,真是作大死啊

现在我们再来看看这个,我创建了一个文本文件,里面只有一个字母,就是只有一字节,为什么会占用磁盘4KB的空间呢

这个和文件系统有关,但文件系统最小粒度单位,常常是簇,而一个簇的大小,就是4KB

所以,文件大小肯定是4KB的整数倍

除了这个,我还想试试更加excited的东西,比如参数中传递一些非常规字符,假如这个能成功,那就不仅仅是flood那么简单了。但是,可惜的是,似乎这些字符都被过滤掉了00截断同样试了试,未果,他也很识相的写出了参数错误字样

既然如此,我就只好用塞文件大法了,我只要发送几十个字节的Get请求,就能足足浪费这个钓鱼空间4KB的空间容量,同时产生大量的文件碎片

这个就不是那么容易删掉了吧

打开spacerFlood项目,重新构造数据包

恩,试了试,效果还不错,皮卡丘,就交给你了

将这个flood扔到某个云主机上运行,然后我们去睡大觉。而这个dbflood在以每秒鈡10个数据包的速度,往这个空间不断塞着辣鸡数据包,而那个钓鱼空间也在以每秒10个文件,每小时36000个文件,每天864000文件塞着一个文件夹,很快这个文件夹就连资源管理器打开都得半个小时了

————————————————————————————————————————————————————————

分割线

已经距离我们编写flood执行到现在已经3天时间了,期间dbflood因为连接问题重启了几次,到现在,这个空间这个文件夹下大概有200w以上个文件了,而今天,发现dbflood的请求从OK变为了全是error

再次访问这个目录,发现已经爆炸了,这也意味着,这个一系列害人害己的钓鱼软件的彻底宕机。

访问这个网站,看来这个钓鱼作者也发现自己空间似乎不是那么对劲,于是他删掉了所有值钱钓鱼的数据,好吧,至少以前的阴谋算是破产了,但他居然还不死心,居然开发了新的版本,然而之前这个钓鱼程序,包括已经发布的和还在使用的,都已经彻底报废了。

我晓有兴趣地下载了这个新版本的钓鱼生成器,再次进行分析

我的天,他居然放弃使用空间,而用易语言自己写了服务端,那么81端口是闹哪样,中文数据包仍然显得非常的“易语言”

我似乎看到了一大堆缺少边界检查和字符过滤的服务端。至于是否存在某些溢出漏洞,这里我就不继续探究了。不过到截止完文为止,这位黑客大神的服务端,似乎还没有做好….

总结:

1.缺少边界与数据检查的服务端,是坑爹又危险的

2.缺少存储优化,曝露直接文件操作而没有检查的存储权限也是坑爹又危险的

3.当然扯远了这个钓鱼程序的用户安全性=0,我可以任意访问其他用户钓取的账户数据,同样是是坑爹又危险的。

最后,技术是好东西,但如果用来歪门邪道,终究是害人害己,就像这次这玩意。

最后附上整个过程完整源代码及钓鱼程序样本(如果你不知道你在干什么请不要打开样本)

附件下载地址在文章原地址,知乎貌似没办法上传附件,请有需要的移步:

传送门:原文地址

感谢大家观看,如果觉得还OK请给我点赞和关注哦,给我更多动力发布更好的文章!

点击这里复制本文地址 以上内容由趣钓网整理呈现,请务必在转载分享时注明本文地址!如对内容有疑问,请联系我们,谢谢!

相关内容

模板文件不存在: ./template/plugins/comment/pc/index.htm

Copyright © 2012-2024 趣钓网 版权所有

钓鱼比赛视频 | 高手钓鱼视频 | 海钓视频 | 台钓视频 | XML地图 | HTML地图

qrcode
返回顶部
X趣钓网

截屏,微信识别二维码

微信号:

(点击微信号复制,添加好友)

  打开微信

微信号已复制,请打开微信添加咨询详情!