Microsoft Word - QQScLauncher逆向分享.docx

Size: px

Start display at page:

Download "Microsoft Word - QQScLauncher逆向分享.docx"

催整沙
6 years ago
Views:

1 QQScLauncher 逆向分析逆向版本 :QQ2011 正式版 (2425) 逆向目的 : 只是感兴趣, 没有任何其他意图版权声明 : 本文档由代码疯子整理, 在保留本文档版权声明和原始出处的前提下欢迎转载! 需要工具 :IDA Pro Ollydbg 正文内容 : 在 QQ 最新版 (QQ2011 正式版 ) 中加入了不少新功能, 如手写视频群聊语音输入等, 另外还有一个功能是可以把好友拖放到桌面上, 点击就可以直接与之进行聊天, 处于好奇, 本人对他进行了一下逆向, 于是便有本文先去准备两个 QQ 小号 ( , 不是必须的, 这里显示, 所以用小号 ) 先随便把一个好友拖放到桌面上, 会产生一个快捷方式, 查看这个快捷方式的属性, 得到目标内容 : "C:\Program Files\Tencent\QQ\Bin\QQScLauncher.exe" /uin: /quicklunch: 1D0BEC54CBEE33C09ED6F8089A7528E12EA3F4892C20DE8B0E8EF1144D765CD46176A599C09696DF 可以看到, 这里是通过一个叫做 QQScLauncher.exe 的程序来启动的,uin 参数指定自己的 QQ 号码,

2 quicklaunch 肯定就是用于鉴别好友用的了用 PEiD 对 QQScLauncher.exe 进行查壳, 结果什么也没查到, 估计是我的 PEiD 数据库太久了, 用 File Format Identifier 查出来是 Visual C Release -> Microsoft 其实是什么不要紧, 拿起 IDA 逆一逆就没什么了下面使用 IDA 对其进行简单的分析, 可以看到一个获取命令行参数 /uin 和 /quicklunch 的过程 :.text: sub esp,270h.text: mov eax,dword_ text: bxor eax,esp.text: dmov [esp+270h+var_4],eax.text: mov eax,ds: argc ; 命令行参数个数 argc 的地址.text: push ebx.text: apush ebp.text: bpush esi.text: cpush edi.text: dxor edi,edi ;edi 清零.text: Fxor ebp,ebp ;ebp 清零.text: cmp [eax],edi ; 看看是不是正常启动 ( 三个参数 ).text: mov [esp+280h+var_270],edi ; 存放 QQ 号的位置.text: mov [esp+280h+var_26c],edi ;0/1 暗示 QQ 号是否找到.text: Bmov [esp+280h+var_268],edi ;0/1 暗示 quicklunch 是否找到.text: Fjle loc_40112a ; 不是正常启动则跳转.text: mov ebx,ds:wcsncmp ; 存储 wcsncmp 函数的地址, 后面会经常用到.text: Bjmp shortloc_ text: b; text: dalign10h.text: text: loc_401040: ;CODEXREF:wWinMain(x,x,x,x)+3Bj.text: ;wwinmain(x,x,x,x)+93j.text: mov ecx,ds: wargv ; 命令行参数的地址.text: mov edx,[ecx] ; 取得第一个字符串的地址.text: mov esi,[edx+edi*4] ; 取得第一个字符串的字符.text: ; 第一次将取到 C:\ProgramFiles\Tencent\QQ\Bin\QQScLauncher.exe.text: ;.text: bpush 5 ;MaxCount.text: Dpush offsetstr2 ;"/uin:".text: push esi ;Str1.text: call ebx;wcsncmp ; 调用 wcsncmp 比较字符串, 看前五个字符是否是 /uin:.text: add esp,0ch ; 平衡 wcsncmp 堆栈.text: test eax,eax ; 找到时返回 0, 否则返回非 0 值.text: Ajnz shortloc_40106d ; 没有找到 "/uin:" 时跳转.text: Cadd esi,0ah ;0xA=10, 跳过前十个字节, 长度正好是 /uin: 的 Unicode 长度

3 .text: fmov [esp+280h+var_270],esi; 把 QQ 号码存下来.text: mov [esp+280h+var_26c],1; 表示 QQ 号码已经找到.text: Bjmp shortloc_ text: d; text: d.text: dloc_40106d: ;CODEXREF:wWinMain(x,x,x,x)+5Aj.text: Dpush 0Ch ;MaxCount.text: Fpush offsetaquicklunch ;"/quicklunch:".text: push esi ;Str1.text: call ebx;wcsncmp ; 调用 wcsncmp 比较字符串, 看前 12 个字符是否是 /quicklunch:.text: ; 看到这我石化了,quicklunch? 快餐么?.text: add esp,0ch.text: atest eax,eax ; 看是否找到 quicklunch.text: cjnz shortloc_ ; 没有找到则跳转.text: Elea ebp,[esi+18h] ;quicklunch 值的地址由 ebp 保存.text: mov [esp+280h+var_268],1; 表示 quicklunch 已经找到.text: text: loc_401089: ;CODEXREF:wWinMain(x,x,x,x)+6Bj.text: ;wwinmain(x,x,x,x)+7cj.text: mov eax,ds: argc ; 命令行参数个数 argc 的地址.text: Eadd edi,1 ; 准备取得下一个命令行参数.text: cmp edi,[eax] ; 看看命令行参数是否已经取完.text: jl shortloc_ ; 没有取完则调回去继续取.text: xor ebx,ebx 对于上面的代码中蓝色的行, 我们是如何知道他的意义的呢? 看下面的几行代码就知道了 :.text: xor ebx,ebx ;ebx 寄存器清零.text: cmp [esp+280h+var_268],ebx; 从这里的比较可以知道这几个字段的意义.text: Bjz loc_40112a.text:004010a1cmp [esp+280h+var_26c],ebx.text:004010a5jz loc_40112a 可以看到, 这里判断 quicklunch 和 QQ 号是否找到, 没找到就跳转 ; 跳转到的地址和上面命令行参数个数不是 3 是一样的 ( 绿色的代码行 ) 接下来, 程序生成一个特定的字符串, 格式为 "qqexchangewnd_shortcut_prefix_ ", 后面那几位就是 QQ 号码了然后通过 FindWindow 来查找窗口, 调用代码如下 : E4 PUSHECX ;/Title="qqexchangewnd_shortcut_prefix_ " E5 PUSH ; 5b3838f5-0c81-46d9-a4c0-6ea28ca3e EA CALLDWORDPTRDS:[<&USER32.FindWindowW>] ;\FindWindowW 如果 FindWindow 返回非零值, 则接下来的代码逻辑是计算出 quicklunch 的长度, 代码如下 :.text:004010f4mov ecx,ebp ; 让 ecx 指向 quicklunch

4 .text:004010f6mov [esp+280h+processinformation],ebx.text:004010falea esi,[ecx+2] ;esi 略过 quicklunch 第一个字符.text:004010FDlea ecx,[ecx+0].text: text: loc_401100: ;CODEXREF:wWinMain(x,x,x,x)+109j.text: mov dx,[ecx] ; 找到 ECX 中第一个 '\0'.text: ; 这里其实就是求字符串长度吧.text: add ecx,2.text: cmp dx,bx.text: jnz shortloc_ text: bsub ecx,esi ; 计算出字符串的字节数.text: Dsar ecx,1 ; 因为是 Unicode, 所以字节数除以 2 然后, 程序会调用 SendMessage 发送 WM_COPYDATA 消息, 本人对这个消息不太熟, 所以先看 MSDN 的解释 : 程序通过发送一个 WM_COPYDATA 消息来把数据传送给另一个应用程序语法 : lresult=sendmessage( //returnslresultinlresult (HWND)hWndControl, //handletodestinationcontrol (UINT)WM_COPYDATA, //messageid (WPARAM)wParam, //=(WPARAM)()wParam; (LPARAM)lParam //=(LPARAM)()lParam; ); 参数 : wparam 为传送数据的窗口的句柄,lParam 是一个指向 COPYDATASTRUCT 结构的指针 COPYDATASTRUCT 的结构如下 : typedefstructtagcopydatastruct{ ULONG_PTRdwData; // 附加数据 DWORDcbData; PVOIDlpData; }COPYDATASTRUCT,*PCOPYDATASTRUCT; 返回值 : 如果接收方应用程序处理了这个消息, 那么返回 TRUE, 否则返回 FALSE 逆向所得代码 :.text: push ecx ;lparam( 指向 COPYDATASTRUCT 结构的指针 ).text: push ebx ;wparam( 这里是 0).text: push 4Ah ;Msg( 就是 WM_COPYDATA).text: Bpush eax ;hwnd( 接收方窗口句柄, 上面 FindWindow 的返回值 ).text: cmov [esp+290h+hobject],edx; 填充 COPYDATASTRUCT.cbData.text: mov [esp+290h+var_25c],ebp; 填充 COPYDATASTRUCT.lpData.text: call ds:sendmessagew ; 调用 SendMessage 可以看到上面 SendMessage 时 wparam 用了 0, 这里本来应该是发送方的窗口句柄值 ( 我猜 wparam

5 的字段是为了通知接收方消息是从哪里传来的, 这里接收方不会反过来和发送方通信, 所以填 0 也不影响有兴趣自己测试吧, 这里懒得验证了 ) 之后,QQ 就可以弹出聊天窗口了 ( 这里的逻辑就由 QQ 负责了 ) 如果 QQ 没有开启, 那么上面的 FindWindow 调用就返回 NULL, 那么将进入另一个分支来到如下代码 :.text: aloc_40114a: ;CODEXREF:wWinMain(x,x,x,x)+F2j.text: Acall GetQQInstallPath ; 如果 QQ 没有开启, 则跳转到这里这里的函数名字是我自己改的, 看代码逻辑可以知道他是用来获取 QQ 安装目录的 :.text:004012e0getqqinstallpathprocnear ;CODEXREF:wWinMain(x,x,x,x):loc_40114Ap.text:004012E0push esi ;quicklunch.text:004012e1push 20Ah ;unsignedint.text:004012e6call??2@yapaxi@z ;operatornew(0x020a) 分配空间.text:004012EBadd esp,4.text:004012eemov esi,eax.text:004012f0push 104h ;nsize.text:004012f5push esi ;lpfilename.text:004012f6push 0 ;hmodule.text:004012f8mov wordptr[esi],0.text:004012fdcall ds:getmodulefilenamew; 得到当前进程的路径.text: push 5Ch ; 字符 '\'.text: push esi ;Str.text: call ds:wcsrchr ;wcsrchr 返回字符在字符串中最后一次出现的位置.text: Cadd esp,8.text: ftest eax,eax.text: jz shortloc_ ; 没有找到 '\' 时跳转.text: add eax,2 ;eax 指向下一个字符.text: mov ecx,eax.text: sub ecx,esi ; 前面一段字符的字节数.text: Apush offsetaqq_exe ;"QQ.exe".text: Fsar ecx,1 ; 算术右移一位, 得到长度.text: mov edx,104h.text: push offsetas ;"%s".text: bsub edx,ecx.text: dpush edx ;SizeInWords.text: Epush eax ;Dst( 替换 QQScLauncher.exe).text: Fcall ds:swprintf_s ; 调用 swprintf_s.text: add esp,10h.text: text: loc_401338: ;CODEXREF:GetQQInstallPath+31j.text: mov eax,esi.text: apop esi.text: bretn ; 返回.text: BGetQQInstallPathendp

6 上面先通过 new 来分配一段空间, 然后调用 GetModuleFileName 来获取当前进程的路径, 也就是 : C:\ProgramFiles\Tencent\QQ\Bin\QQScLauncher.exe 然后通过 wcsrchr 来查找 \ 字符, 从而 eax 指向 \QQScLauncher.exe,eax 加上 2( 一个 Unicode 字符长度 ), 于是 eax 指向 QQScLauncher.exe, 后面调用 swprintf_s 时第一个参数直接填入 eax 即可随后程序会调用一个函数来生成一些 CreateProcess 需要的一些参数, 这个过程和前面分析的过程差不多, 所以不再赘述之后就是通过 CreateProcess 来创建一个 QQ.exe 进程了 C8 ModuleFileName="C:\ProgramFiles\Tencent\QQ\Bin\QQ.exe" 01282BE0 CommandLine="/uin: /quicklunch:1d0bec54cbee33c09ed6f8089a7528e12ea3f4892c20de8b0e8ef1144d765cd46176a599c09696d F" pprocesssecurity=null pthreadsecurity=null InheritHandles=FALSE CreationFlags= penvironment=null CurrentDir=NULL 0012FCA4 pstartupinfo=0012fca4 0012FC94 \pprocessinfo=0012fc94 可以看到这里把 QQ 号和好友的识别符作为命令行参数传给了 QQ.exe 如果启动 QQ.exe 失败则会继续尝试使用 CreateProcess 来启动 QQ, 直到启动成功, 之后程序的逻辑也就结束了分析到这里, 可以看出 QQScLauncher.exe 的内部逻辑已经很清晰了, 这个程序没有经过特殊处理, 很适合像我这样的新手分析, 有兴趣的话还可以自己写一个 QQScLauncher.exe 有意思的是命令行参数竟然写成了 quicklunch 至于 QQ 是如何通过那一串 16 进制来找到 QQ 好友的, 暂时没有找到地方, 有兴趣的朋友可以试着看一下

Microsoft Word - “调戏”反遭“反调戏”—记Visual Toolbar 的破解过程.doc

Microsoft Word - “调戏”反遭“反调戏”—记Visual Toolbar 的破解过程.doc 调戏反遭反调戏记 Visual Toolbar 的破解过程 cntrump 由于要做工具栏, 在网上找到了 Visual Toolbar 这个工具, 看了介绍挺不错的, 下载回来之后发现软件要注册, 但是这是个 04 年的软件, 已经没法向作者购买了, 更重要的原因是俺还在失业中, 吃饭都成问题了, 哪里还有钱注册呀 ~~ 用 PEID 检测是 UPX 的老壳, 直接手脱, 过程不是重点反正能脱壳就行了