首页
社区
课程
招聘
[旧帖] [原创]在逆向一个核武级的木马时得到的秘密 0.00雪花
发表于: 2008-2-28 11:18 10612

[旧帖] [原创]在逆向一个核武级的木马时得到的秘密 0.00雪花

2008-2-28 11:18
10612
它是一个在网上未公开的重量级的专门针对QQ2008的盗号木马,基本原理是这样的

1、通过枚举窗口,得到含有QQ相关标记的窗口,如果QQ对窗口caption加密则再枚举每个窗口的控件,如果发现控件中有三处以上的QQ窗口标记,则取父类句柄,一定是QQ窗口句柄.
2、在计时器里循环查得到句柄的窗口左上角坐标,画一个什么都不显的透明窗体,在一定常量偏移处的重画透明控件(主要是用户名和密码框)
3、这样当你QQ登录框出现后,你所有的用户名和密码输入是在木马的窗口进行的,而不是原来的QQ登录框(太历害了),输完之后摸拟QQ提示密码错,自己则保存密码后把控制权交QQ程序本身.

通过以上原理发现,这重盗号思路适合所有要求输入密码的PE程序,很可怕.

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (25)
雪    币: 224
活跃值: (10)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
2
附加窗口 主动防御好像能检测到
能共享程序看看吗

或者你给出一个防止这样手法的方法建议!
2008-2-28 11:31
0
雪    币: 321
活跃值: (271)
能力值: ( LV13,RANK:1050 )
在线值:
发帖
回帖
粉丝
3
一个惊天秘密
2008-2-28 12:02
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
有没有防范的方法没?
2008-2-28 12:09
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
没有 多少实际的内容!
2008-2-28 13:24
0
雪    币: 6075
活跃值: (2236)
能力值: (RANK:1060 )
在线值:
发帖
回帖
粉丝
6
仿佛回到了2000年
2008-2-28 14:32
0
雪    币: 238
活跃值: (10)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
7
呵呵,作者太有才了
2008-2-28 16:11
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
不相信!
它要取得用户的输入就一定要有输入焦点,即它的窗口要激活。
WINDOWS只能有一个窗口在激活状态,没激活的窗口是灰的。
所以用户很容易发现当前输入窗口并不是QQ的。
2008-2-28 16:37
0
雪    币: 2256
活跃值: (941)
能力值: (RANK:2210 )
在线值:
发帖
回帖
粉丝
9
很久很久前就见过类似的东东
原理很像
2008-2-28 19:17
0
雪    币: 325
活跃值: (97)
能力值: ( LV13,RANK:530 )
在线值:
发帖
回帖
粉丝
10
糟糕,被揭穿了。
2008-2-28 20:12
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
通过扑捉句丙 高
2008-2-29 06:43
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
通过窗口子类化,老早就有人提出来了。ring3 下通用的万能方法,防不住呀。。。
2008-2-29 09:43
0
雪    币: 5
活跃值: (47)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
路过````
2008-2-29 18:34
0
雪    币: 205
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
那还不如循环检测QQ的窗口句柄,如果发现则隐藏,然后调用自己程序实现的窗口,判断输入,然后提示密码错误,在运行真正的QQ程序。。
2008-2-29 23:03
0
雪    币: 205
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
这些都没什么意思~~那是N年前的东西了~~现在只是加多防杀软的功能而已~
2008-3-2 11:25
0
雪    币: 1708
活跃值: (586)
能力值: ( LV15,RANK:670 )
在线值:
发帖
回帖
粉丝
16
那既然这么危险,就用我写的这个工具吧,自动登陆QQ的,连输入密码都省了...
上传的附件:
2008-3-2 11:38
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
17
晕 ,标题写的 这么 新意 ,进来 看看 空洞乏味,明显调人胃口 ,我还以为什么 惊人发现呢 。
2008-3-2 18:32
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
18
缺乏新鲜感 土
2008-3-2 20:23
0
雪    币: 400
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
19
思路不错。。。
2008-3-2 21:17
0
雪    币: 134
活跃值: (84)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
20
很有意思。呵呵。
2008-3-2 22:14
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
21
出现N久了吧~~
2008-3-3 13:25
0
雪    币: 1889
活跃值: (193)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
22
熊猫烧香病毒里面的各种思路也出现很久了,但经过作者改后,当时几乎杀死了所有杀软,不是老的知识就是没用的知识,我没贴一句代码的原因,只是说思路,一个软件的好坏,不是说代码如何,关键是看它的算法和思路,在可以预见的未来,算法仍然是程序的灵魂.
熊猫烧香如果这样改,就会更历害.
     检查所有盘符的ghost文件,如果找到则把算法关键比较部分覆盖掉,让gho文件失效,测文件大小, 坏破或删除所以超过500M的文件,关联doc,xls,txt,com.scr和exe到毒病文件,捕获所有双面盘符事件,关且指向毒病执行件,让exe和dll里面都有病毒体,加壳免杀后且相互检测,同时同时在同命运运行.如果升级版的熊猫烧香能做到,很多人都会哭,不要以为所有用户都是逆向高手可以手工杀毒.
2008-3-5 07:30
0
雪    币: 197
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
23
人不要那么坏吧,问题是,你破坏人家的数据,你也没捞到什么好处。

破坏不体现技术,窃取才是真正可怕的事
2008-4-29 10:51
0
雪    币: 261
活跃值: (22)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
24
熊猫烧香即便这么改也不见得厉害多少,它的隐蔽性并没有增强,只是要删除它变得繁琐而已。如果系统被折腾成这样的话,重装就好了....
关于盗号的,我有一点想法,例如检测qq的运行,然后截获它发送的消息,这里面肯定有用户名与密码的信息不论是否自动登录,不过信息的处理与解密并不是一件容易的事。
2008-4-29 14:01
0
雪    币: 207
活跃值: (10)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
25
ring0级钩挂拦截键盘输入
好像也没有什么新意,但效果好像可以的。呵呵
闪人
2008-4-29 17:12
0
游客
登录 | 注册 方可回帖
返回
//