安基网 首页 安全 软件安全 查看内容

PC微信逆向:分析群拉人功能

2020-7-2 19:24| 投稿: xiaotiger |来自: 互联网


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: 分析群拉人功能的思路首先思考一下群拉人功能背后的编程逻辑,第一步需要将一组联系人放到一个数组里,然后拿到这一批人的微信ID,接着对这一批人发送一个群邀请。那么我们就可以从联系人的微信ID入手,只要找到了那组微信ID,那么就能下内存访问断点,进而找到群拉人的call定位群拉人call定位联系人的 ...

分析群拉人功能的思路

首先思考一下群拉人功能背后的编程逻辑,第一步需要将一组联系人放到一个数组里,然后拿到这一批人的微信ID,接着对这一批人发送一个群邀请。那么我们就可以从联系人的微信ID入手,只要找到了那组微信ID,那么就能下内存访问断点,进而找到群拉人的call

定位群拉人call
定位联系人的微信ID


首先在不选中联系人的情况下搜索微信ID


接着选中所有的地址,添加到下方地址栏


接着复制所有的内容,将其放到在线文本对比工具的A部分中


接着选中要添加的联系人,然后再次搜索微信ID,此时搜索的数量增加。因为当你选中联系人的时候,微信肯定要把这个选择的联系人的ID放到已选联系人的数组里。


接着同样将这批地址放到文本对比工具的B部分中。接着我们需要找到点击前没有的地址,点击后有的地址。也就是找到B有A没有的地址。


接着我们在B部分里找到了四个A部分没有的地址,那么问题在于怎么筛选出唯一的一个地址呢?根据我们以往的经验我们知道,存放微信ID的数据格式一般如下:

那么我们可以大胆猜测,存放这个选中联系人的微信ID的地址的数据格式也是和之前的一样。接着我们在OD中去查看这四个地址的数据格式,看是否和上述的数据格式一致


首先在CE中搜索选中的地址是否有上一级指针,如果没有 直接pass这个地址


接着在OD中查看上一级指针的内容,发现这个数据结构比较符合我们的要求


再次查看另外一个地址,发现这个正好是我们预期的数据结构,完全符合


经过筛选我们发现三个地址都符合我们要的特征

定位群拉人call

必须要执行的call


既然如此我们只能先挑一个最大的地址来碰运气了,在这个地址中下内存访问断点(这一步需要经过多次排查)

点击确定,让程序断下,


此时程序断下,删除访问断点,开始排查堆栈


在堆栈中我们发现了一个call,传入了被邀请人的微信ID,那么这个call就非常像我们找的邀请群成员的call,我们在这下个断点,邀请好友让程序再次断下

如果想要验证这个call是否是关键call,那么可以修改微信ID,看看是否会将修改后的好友加进群。经过测试如果直接跳过这个call,那么微信会直接崩溃,因为这个是组装数据的必要的一个call。

但是我们发现这个地方只有被邀请人的微信ID,并没有邀请的群ID,那么我们需要继续往后跟,很有可能这也是一个连续的call

可以不执行的call


从找到的call一直往后F8单步,接着我们在这个地方找到了一个call,传入了一个群ID,那么有没有可能只要调用这两个call就能完成邀请的动作了呢?我们来验证一下


让程序再次断下,然后将这个je修改为jmp,跳过这个call,跳过之后好友还是被拉进群了,那么说明这个call是一个没有用的call。我们还要继续往下找,找到传入了群ID的那个call

必须要执行的call


当我们F8步过这个all的时候,发现将群ID写入到了堆栈,说明这个call可能是我们需要的call,继续往下单步


发现这里有一个call将一个结构体压入堆栈,这个结构体我们已经很眼熟,见过很多次了


数据窗口跟随,发现里面保存的就是微信ID,那么这个call就很有可能是我们需要的邀请人进群的call了

当我们跳过这个call时,发现此时微信崩溃,也就是说这个call也是一定要执行的一个关键call

追踪数据结构的来源

现在我们已经知道了哪些是必须要调用的call,现在我们需要拿到esi数据结构的来源

一直往上追溯,我们发现esi在这个地方被赋值,所以我们在这个call下断点,让程序断下


程序断下,查看esi的值,我们发现此时esi已经是我们需要追溯的结构体,所以我们还需要继续往上找


继续往上翻我们并没呀找到任何给esi赋值的地方,所以我们猜测有可能是这个call传入了一个微信ID,然后组装数据结构,所以我们在这个call下断点


断点断下,此时esi的缓存区为空,F8步过这个call


此时缓冲区内正是我们需要的数据,也就是说这个call是用于组装数据的必须的call


另外 在这个地址还有一个往堆栈中写入群号的call,这个call也是要调用的

现在我们只需要调用我们找到的前面三个call,就能够完成拉人的功能,但是微信会崩溃


经过排查我们发现这个call,也是一个必须要调用的call,如果不调用的话 微信会直接崩溃

总结

想要写代码完成群拉人的功能,分为三个步骤。

第一步,调用下面的call,组装数据



第二步,调用下面的call,防止微信崩溃



第三步,调用下面的call往堆栈中写入群号



第四步,调用拉人的call


"

小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://www.toutiao.com/a6843962873908036108/

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

 最新
返回顶部