-
-
[原创]获取QQ密码MD5 并直接用MD5登陆
-
发表于: 2013-1-8 14:57
-
最近逆QQ逆得比较蛋疼。
在跟踪读取QQ号码的函数中 KernelUtil.dll!?GetSelfUin@Contact@Util@@YAKXZ 发现了TX的猫腻
，TX会把QQMD5值放在QQ Number的前方，只要准确的定位到 GetSelfUin 函数读取的QQ号码内存地址就能定位到Password Hash值，由于这个QQ号码在类成员变量的偏移地址是不固定的（在2011、2012、2013都有变化），想了好久也没想到有什么好办法准确的去定位这个QQ号码
。
到后面的时候发现这个保持这QQ号码、密码Hash的类变量某部分数据是固定的，诚然可以使用特征码定位的方法定位这个MD5，下面发布hash获取源码(目测,x64情况下还是有问题的,可能是查找的内存太小了吧~~~)。
此程序可以扫描2011、2012、2013、QQ多国语言版、QQ国际版。其他密码HASH也可以通过此方法获得。
得到内存中的HASH值不一定能还原出明文值，而在调试的时候QQ老是在一条代码上断下来，某天突发奇想可以利用这个断点去修改QQ计算出来的HASH值为自己的HASH值，这样不是可以登录了么，用OD、Winhex验证下想法，果然可以
自己做完整的话,可以下个调试断点在RPCRT4.dll上面(其中在xp上面的断点地址是0x769CE504, 基址0x76990000, 显示界面的时候会断一次,然后点击登录后会再断一次,在第二次断的时候搜索内存, 替换MD5即可~).
由于QQ new的内存地址可以大概确定在0x01000000 ~~ 0x06000000之间，所以直接扫描这块内存就够了。
但是像QQ2012防护版、2013这样用双进程的登录方式的没有解决，我想用DLL注入的，但是还没找到通用的hook地址，还在进一步研究中
用MD5登录QQ附代码。
扫描QQ内存密码HASH工具如下：
打开程序将会读取出QQ号码及密码HASH值，并用BASE64加密过，解析出来的形式如下：
number的是十六进制的QQ号码
word MD5就是密码hash。
得到hash值可以直接用MD5登陆工具登陆QQ：
注意登陆器目前只能完整支持2011。
Password MD5填入刚才取出来的hash
点 启动QQ 以后会调试启动QQ，在QQ上输入刚才得到的QQ号码，并用密码123456登陆即可。
保存密码、自动登录功能都是可以使用的哟
在跟踪读取QQ号码的函数中 KernelUtil.dll!?GetSelfUin@Contact@Util@@YAKXZ 发现了TX的猫腻
，TX会把QQMD5值放在QQ Number的前方，只要准确的定位到 GetSelfUin 函数读取的QQ号码内存地址就能定位到Password Hash值，由于这个QQ号码在类成员变量的偏移地址是不固定的（在2011、2012、2013都有变化），想了好久也没想到有什么好办法准确的去定位这个QQ号码。到后面的时候发现这个保持这QQ号码、密码Hash的类变量某部分数据是固定的，诚然可以使用特征码定位的方法定位这个MD5，下面发布hash获取源码(目测,x64情况下还是有问题的,可能是查找的内存太小了吧~~~)。
此程序可以扫描2011、2012、2013、QQ多国语言版、QQ国际版。其他密码HASH也可以通过此方法获得。得到内存中的HASH值不一定能还原出明文值
，而在调试的时候QQ老是在一条代码上断下来，某天突发奇想可以利用这个断点去修改QQ计算出来的HASH值为自己的HASH值，这样不是可以登录了么，用OD、Winhex验证下想法，果然可以自己做完整的话,可以下个调试断点在RPCRT4.dll上面(其中在xp上面的断点地址是0x769CE504, 基址0x76990000, 显示界面的时候会断一次,然后点击登录后会再断一次,在第二次断的时候搜索内存, 替换MD5即可~).
由于QQ new的内存地址可以大概确定在0x01000000 ~~ 0x06000000之间，所以直接扫描这块内存就够了。
但是像QQ2012防护版、2013这样用双进程的登录方式的没有解决，我想用DLL注入的，但是还没找到通用的hook地址，还在进一步研究中
用MD5登录QQ附代码。
扫描QQ内存密码HASH工具如下：
打开程序将会读取出QQ号码及密码HASH值，并用BASE64加密过，解析出来的形式如下：
number的是十六进制的QQ号码
word MD5就是密码hash。
得到hash值可以直接用MD5登陆工具登陆QQ：
注意登陆器目前只能完整支持2011。
Password MD5填入刚才取出来的hash
点 启动QQ 以后会调试启动QQ，在QQ上输入刚才得到的QQ号码，并用密码123456登陆即可。
保存密码、自动登录功能都是可以使用的哟
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
验证了下LZ的说法，确实如此。
测试版本：QQ2012正式版4930 图中红色为MD5 蓝色标记为QQ号码 
|
