继上一篇文章 [原创]浅析:隐藏在游戏外挂中的盗号木马-光明中的黑暗-CatGames

上一篇说到，现在都流行一种叫撸号器的 撸号器那么厉害 这次就搞一搞！

这是我在市面上下载的一款名为心瘾的撸号器 为了保证此款撸号器的功能解析,我破解了他的登陆，那么具体的看下面（并不提供如何破解，自行研究，为了防止某些不法分子拿了方法去破解然后盗号）

这里有的小白可能就会比较误解，直接打开程序 401000 最后发现自己要找的特征码和地址都找不到,这是为什么呢？

易语言支持三种编译方式1.编译,2.静态编译,3.独立编译 那么这个作者就使用了第一种

点击编译后

点击保存，但是你会发现系统又提示一个说需要把依赖项写到同一目录，

我们这边什么都没写 所以他只帮我们写出去了一个依赖文件

必须放在一起才能运行 不然的话是无法运行的

就比如这个撸号器一样

单独放在桌面

会有一个Error 错误提示

(ps:易语言普通编译也就是直接编译，指的是不把支持库等依赖一起编译，就等于如果你要把软件发给别人使用的话，那别人也必须又支持库才行！

独立编译：运行时会把需要的支持库释放到一个系统临时文件夹的子目录内,然后运行.

静态编译：运行是不需要任何的支持库支持就可以运行,支持库已经和exe结合到一起了. )

好家伙 SE 但是我只能说绝对没有反调试 别问我为啥 因为他直接编译要调用支持库 如果他加了反调试等VM 花指令 程序会跑不起来:) 因为我试过：）具体的自行尝试即可

因为他是调用支持库 验证 这里会有很多小白不懂 因为 他们搜需要的特征码却发现找不到！

这里我用一个简单的方法找到 他是调用哪个支持库验证的！

先运行 ，运行之后点击登陆！

点击暂停,然后alt+F9 执行到用户代码

接着点击那个错误的弹窗即可

可以看到是调用krnln模块验证的

那么接下来就是爆破

爆破完成（只说明如何找到调用模块 其他的自行研究）

这个是生成shell 远控的

这个是steam密正 

这个是QQ马

我生成了三个马 分别是steam密正 QQ马 shell后门远控

提权到deBug权限

使用CreateToolhelp32Snapshot获取系统正在运行的进程，在堆栈下面找可以找到它获取的进程信息

获取操作系统信息

创建一个线程

这个localhost.ptlogin2.qq.com 已经见怪不怪了 大家都懂的了

再一次调用CreateToolhelp32Snapshot

这一次获取的是Steam进程

后续的话 基本跟之前一样 调用CreateToolhelp32Snapshot获取进程信息 然后CreateThread

创建一个线程来获取QQ快速登陆的cookie/key

最后发现他有访问steam的记住密码

这UI抄的还蛮像的 那还得了：）但是确实是网上开源的防QQ UI的源码 但是这玩意要是在真实情况下 我觉得是个正常人都会去点的吧！

输入超多个111111之后 就会传回去

NB就完事了：） 服务器是美国的！

突破就完事了呗 具体有没有用 还得看测试结果

社工操作基本上获取财付通啊 等各种绑定的信息

这是我生成的一个QQ马 点击登陆后

这边马上提示有新的QQ 这些正好是我输入的东西

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)