发信人: horsearmor(马甲)
整理人: williamlong(2004-09-06 16:48:27), 站内信件
|
为QQ添加显示端口和ip功能
来源：中国鹰盟（CEU）社区 作者:JackyYang
特别申明：本文所述的内容只用于研究交流之用，如用作非法用途或修改不当，一切后果自负！ 只适合0820版。
我们的目标是去掉广告显示，并且在广告的位置上显示目标对象的IP地址和端口号。我们应该怎么下手呢，好的，慢慢跟我来！
经过对Oicq目录结构的分析，发现目录AD和广告有关。其一是广告的英文简写就是AD，其二是其中的图片文件就是我们在广告中看到的。试着删除该目录之后，呵呵，广告消逝了。但是下次进入Oicq之后，程序会自动新建这个目录，并且重新下载广告文件。既然程序读取不到广告文件广告就会消失，那么就人工让它读不到咯。用Soft-ice把断点设置在CreateFileA上，这个API调用一般是用来打开一个文件或者设备的。在Sice截到断点后，查看是即将打开的那些文件，从而判断是否是我们要修改的地方。具体修改方法详见"打开广告文件的程序段"
广告是去掉了，但是在广告区域上点击鼠标，浏览器仍然会打开广告链接，看来我们还需要对程序作更完善的修改。好了，既然点击广告会出现浏览器，那一定是运行了一个程序。一般打开运行浏览器程序的有两种方法，一是调用COM接口，二是调用普通的运行程序的API函数。第一种方法技术难度较高，一般程序很少采用。所以直接用Sice把断点设置在几个和运行程序有关的API函数上，比如ShellExecuteA，WinExec等等。好了，程序在ShellExecuteA处中断，也就是只要避过这个API函数就行咯。呵呵，顺着程序往上找合适的修改位置，会发现USER32.PtInRect函数的调用，经过分析，发现它是用作判断鼠标点击是否在特定区域内的。搞定，只要使它判断总是在区域外，就不会执行到ShellExecuteA那儿去了。发送消息窗口和恢复窗口的广告点击的程序在不同的位置，也就说在两个地方，这两个地方都要修改，原理也都是一样。具体修改方法详见"发送消息窗口点击广告的程序段"和"回复消息窗口点击广告的程序段"。（我们为了实现在点击鼠标后出现IP地址和端口号，在发送消息窗口添加了一个有关显示的程序入口，我将在后面讲解）
这下广告真的是去除了，既不能看到，也不能点进去了。呵呵，开始我们的下一步目标，显示IP地址和端口号！！！
过去要想知道Oicq上朋友的IP地址只有借助民间的一些小工具程序或者采用包监听程序，后者专业要求比较高，而且辨别率低，也不方便。一些小程序的确很管用，但是毕竟没有把这个功能直接做到Oicq程序上方便和可靠，利用Oicq内部的很多数据和结构能获得很多我们平常不容易获得的信息。但是毕竟只有二进制汇编代码，没有源程序，程序的分析难度和工作量可想而知。经过令人难以想象多次数的死机和重起，以及极其艰辛的设置断点跟踪调试分析工作……（以下省略5201314字），终于粗略的获得了我们感兴趣的数据结构指针以及它相关调用的位置。这段时间是我最郁闷的时候，想起那段毫无人性的工作，就像已经过上幸福生活的老同志回忆起49年以前悲惨生活般的胆战心惊且心有余悸……（以下省略520字）。还好我挺过来了，终于在0042513D处找到了需要的指针地址。只要利用这个指针就能获得目标对象的IP地址以及端口号。我们需要做的就是把这些信息显示在以前的广告位置。
又是一项艰巨的任务放在我的面前，还好我有坚定的信念、丰富的临床经验以及对成功喜悦的企盼，还有对聊天MM住址的渴望，我一定会珍惜，不能像周星星一样期望再来一次……（再次省略若干，以免挨鸡蛋）。言归正传，既然获得了关键的数据指针，那可以说我们已经成功了90％了，接下来的就是显示出来而已。但这也需要反复的试验和修改。让我们好好来回味一下这一过程：
首先，要实现新的功能毫无疑问需要添加代码和数据，以及执行一定的API函数，所以需要找到适当的方法添加代码到原程序之中。完美的方法就是作一个外壳添加程序，在原程序中添加所需要的段（数据段，程序段），以及添加Import表表项，以用于新的API函数的地址定位，还要修改PE文件头中的各项相关信息，这就是病毒的做法。这无疑非常的复杂和繁琐，有兴趣的同学可以参见我以前的文章"关于95下可执行文件的加密研究"。其实我们的要添加的程序量并不大，充其量也就零零星星的几百个字节，而且用到的API函数也不多。所以我们采取了手动修改添加的方法，但也需要必要的条件和方法。看我以下的分析和方法：
PE可执行文件的逻辑结构是段，比如代码段".text"、数据段".data"、资源段".rscs"等等。这些段大小都是按文件对齐，也就是说段大小至少会按10h对齐，一般是1000h（4096字节），这由文件头中指定（链接的时候确定）。但是代码也好数据也好，不可能做到长度刚好是对齐的。也就是说，段的大小是大于段中代码或数据实际大小的。他们之间的差值就是该段冗余的空间，这个空间被称为"空隙"。有一些简单的PE文件减肥软件就是去掉"空隙"的方法来减肥的。这个"空隙"可以被我们用来放置代码、数据以及堆栈。我常用的分析PE文件文件头的工具软件是Borland以前在C++系列软件中带的"Tdump.exe"。让我们看看实际分析的结果：
Objecttable:
#NameVirtSizeRVAPhysSizePhysoffFlags
--------------------------------------------------
01.text000D063700001000000D10000000100060000020[CER]
02.rdata000320E8000D200000033000000D200040000040[IR]
03.data00039848001050000001200000105000C0000040[IRW]
04.rsrc0003E4C00013F0000003F0000011700040000040[IR]
以上是用看到的Oicq.exe的段信息（它的Oject就是我们所说的段）。我们肯定是首选.text段进行观察（.text是代码段，Flag为CER，意思就是包含代码、可执行、可读的意思（Containscode,Execute,Readable））。可以看到，.text段代码实际长度D0637h，物理长度D1000，文件偏移位置为1000h处。OK，这个段有D1000h－D0637h=C9Ch的"空隙"。这个长度完全可以满足我们的需要了，而且代码数据堆栈都可以放在这个区域内。众所周知，要作为数据段使用，段的属性（Flags）需要可写。好了，只需要改写".text"的属性即可，可写属性的值是80000000h，然后加上原来的60000020h后，就是C0000020h了，也就是变成了CERW属性（具体修改方法详见"代码段段属性修改"）。看看我们更改后的用Tdump分析的结果。
Objecttable:#NameVirtSizeRVAPhysSizePhysoffFlags
--------------------------------------------------
01.text000D063700001000000D100000001000C0000020[CRW]
02.rdata000320E8000D200000033000000D200040000040[IR]
03.data00039848001050000001200000105000C0000040[IRW]
04.rsrc0003E4C00013F0000003F0000011700040000040[IR]
好了，找到了放置代码数据和堆栈的地方，也就是其实偏移1000h+D0637h的地方。为了对齐边界，我们采用D1640h这个值（文件偏移）。用Tdump查看代码段基址（CodeBase）和PE文件映象基址(ImageBase)，分别是1000h和400000h，可以算出我们的程序在装入后的实际地址，400000h+1000h+D0640h=4D1640h。也就是说我们的代码在被系统装入后在内存4D1640处，这在以后程序跳转处用到。
添加代码的工作已经做好，现在关键的问题就是编制具体的代码，以用于IP地址和端口号的保存和显示。
首先是对对象数据中IP地址和端口信息的保存，我们在获得该数据指针后（程序00425157处），更改程序使程序直接跳转到我们的保存程序中（4D1640）。该数据的指针首址放在EAX，由于该段程序有些寄存器的值都有用，堆栈也不能乱压。所以我们首先修改了栈指针，使所有的堆栈活动都在我们的"空隙"中进行（堆栈顶端4D1900）。然后保存几个寄存器的值（压栈）。IP地址和端口号分别在该数据结构＋214h和+218h的地方（也就是EAX＋214h和EAX+218h）。IP地址是一个字符串指针，端口是个32位整数。我们要做的就是把他们都转换成字符串，保存在自己的地盘中。我们巧妙的用了一个wsprintfA函数把字符串和端口号输出到一个地址上（随便在我们的"空隙"中找个空闲的地址，我用的是4D1700，4D1720中放的是格式化字符串"％s：％d"）。实际这段程序翻译成C语言就是printf("%s:%d"，char*ip,intport)，这样我们就把字符串形式的数据保存在了数据区里。值得注意的是，由于我们修改了原程序中的有用代码用于跳转程序，所以在我们的程序中就需要加上（cmpdwordptr[eax+000001DC],ecx），退出我们的程序之前恢复栈指针和各寄存器，用一条无条件跳转指令转回到原程序继续执行。
细心的同学可能注意到我们没有显式的调用wsprintfA函数，但是我们实际上是调用了。在显示IP的那段附加程序中调用SetWindowTextA的调用也是这样。这是怎么回事呢？我们知道所有API函数的调用前都需要重定位，这个过程发生在系统装入这个PE程序的时候。系统按照PE文件中Import表的内容对API函数在程序中的地址进行填写。我们没有修改Import表，所以，如果直接写上汇编代码，系统是不会为它定位的。由于Import表比较复杂，更改它是个非常繁琐的事情。所以我们采用变通的方法，既然系统为用到的API函数地址都作了重定位，所以API函数的地址信息也就存在了。
具体的做法如下：
找到原程序中有调用wsprintfA的地方：
:0049CE30FF1560274D00CallUSER32.wsprintfA
:0049CE3683C410addesp,00000010
:0049CE39EB1Ajmp0049CE55
实际的汇编代码应该是Calldwordptr[004D2760]，我们就知道了wsprintfA的地址是放在004D2760中。所以，我们只要间接的获得这个调用的地址，这个地址就是指向wsprintfA实际地址的二重指针。这样我们就可以直接Call这个地址了。在"显示IP地址和串口的附加程序"中所用到的SetWindowTextA也是用这种方法调用的。（具体修改方法详见"弹出发送消息窗口之前的对象数据调用的程序段"和"保存IP地址和端口的附加程序"）
在把IP地址和端口保存为了字符串形式在4D1700h之后，今后只需要在需要的时候显示出来就行了。
前面我们提到了需要在点击广告后显示IP地址。所以，我们在点击广告的程序段中间添加了跳转到我们显示程序的入口（4D1680h）。显示程序的原理很简单，使用SetWindowTextA函数把保存在4D1700h的字符串显示在以前广告的窗口中。在显示之前，判断一下如果没有IP地址的情况，如果是只有一个冒号，说明没有IP地址，就简单的写上一个"0"。调用SetWindowTextA函数的方法在前面已经提到。需要注意还有两个重要的问题：
我们从什么地方获得SetWindowTextA函数需要的一个参数？？广告窗口句柄呢？我特意在"发送消息窗口点击广告的程序段"中写出了在点击广告时有一个CallUSER32.GetWindowRect调用的代码，这个函数同样需要窗口句柄。[ESI+160h]就是USER32.GetWindowRect需要的广告窗口句柄，我们就可以利用这个句柄调用SetWindowTextA，使字符串显示在广告窗口上。
还有就是由于原来的广告窗口是用于图片的显示，所以不能用来显示字符。它的窗口样式中有个SS_ETCHEDFRAME的值。我们需要去掉它并加上用于垂直居中和水平居中的两个样式SS_CENTER和SS_CENTERIMAGE。一般静态对话框中的窗口元素（控件）都是静态的保存在资源段中，而不是程序动态生成的。所以我们不需要改程序，只需要改掉资源段中的值就可以了。具体改法详见"消息发送对话框中广告窗口样式的更改"。
程序基本上改完了，终于可以享受我们辛苦改动的结果了，不料Oicq820版有检查文件是否被修改过这一手。同样，阻止我们通向成功道路上的任何障碍只能无情的被我们消灭，这个提示文件已被修改的对话框也只能被我们搞调。幸好搞它非常的简单，把断点设置在MessageBoxA上，等蹦出断点后，查找前面的代码，找到判断是否弹出对话框的代码并且无情的干掉，详见"弹出文件修改警告框的程序段"。大功告成！学到不少东西吧！这么多代码自己慢慢用UltraEdit查找修改吧，知道敲错一个的后果吗？呵呵，不是死机就是重起。考虑到一些初级DIY用户的需求，我把修改好的EXE文件用专业的Patch软件"CodeFusion"作成了一个18K的Patch执行文件。需要的朋友额可以到我主页上去下载。
好了，课程结束。如果有时间的话，还可以对Oicq作很多的改造。但无疑这个人物是非常艰巨而复杂的，但是只要你有必胜的信心以及充沛的精力，并且敢于接受这种毫无人性任务的挑战，还有视一起PPMM为粪土的高尚眼光和能忍受对自己无情虐待的勇气，你会成功的！（￥……＃％％……※＃！￥＃％啊啊啊啊～～～～～～～呃～～，被前排学生暴扁）。
为OICQ添加显示IP和端口功能
打开广告文件的程序段
更改以前：|
:0042AF5BFF152C244D00CallKERNEL32.CreateFileA?
文件
:0042AF618BF8movedi,eax?
:0042AF6383FFFFcmpedi,FFFFFFFF?
句柄（打开失败）
:0042AF66897D08movdwordptr[ebp+08],edi?
:0042AF690F84EB000000je0042B05A:0042AF6F8D45F4leaeax,dwordptr[ebp-0C]
:0042AF7250pusheax
:0042AF7357pushedi
更改以后：
:0042AF5BFF152C244D00CallKERNEL32.CreateFileA?
文件
:0042AF618BF8movedi,eax?
:0042AF6383FFFFcmpedi,FFFFFFFF更改以后：
:00443B5633FFxoredi,edi
:00443B58397DDCcmpdwordptr[ebp-24],edi
:00443B5BEB5Cjmp00443BB9?
手工更改方法：
查找16进制代码：397DDC755C
更改为：EB
文件偏移为43B5Bh
发送消息窗口点击广告的程序段
更改以前：
:00432B4E50pusheax
:00432B4FFFB660010000pushdwordptr[esi+00000160];
esi+160是窗口句柄
:00432B55FF1578274D00CallUSER32.GetWindowRect
:00432B5B8D45DCleaeax,dwordptr[ebp-24]
:00432B5E8BCEmovecx,esi
:00432B6050pusheax
:00432B61E8A6110700call004A3D0C
:00432B66FF7510push[ebp+10]
:00432B698D45DCleaeax,dwordptr[ebp-24]
:00432B6CFF750Cpush[ebp+0C]
:00432B6F50pusheax
:00432B70FF15B8274D00CallUSER32.PtInRect
:00432B7685C0testeax,eax?
区域内点击
:00432B780F84FF000000je00432C7D
:00432B7E6A10push00000010?
:00432B80FF157C274D00CallUSER32.GetKeyState
:00432B8633DBxorebx,ebx
:00432B88663BC3cmpax,bx
:00432B8B7D0Fjge00432B9C
:00432B8DC705D874510001000000movdwordptr[005174D8],00000001
:00432B97E9E8000000jmp00432C84
更改以后：
:00432B70FF15B8274D00CallUSER32.PtInRect
:00432B7685C0testeax,eax
:00432B780F84FF000000je00432C7D
:00432B7E6A10push00000010?
区域内点击
:00432B80FF157C274D00CallUSER32.GetKeyState
:00432B86E9F5EA0900jmp004D1680?
示程序当中
:00432B8B7D0Fjge00432B9C
:00432B8DC705D874510001000000movdwordptr[005174D8],00000001
:00432B97E9E8000000jmp00432C84
手工更改方法：
查找16进制代码：33DB663BC37D0FC7
更改为：E9F5EA0900
文件偏移为32B86h
回复消息窗口点击广告的程序段
更改以前：
:0046221CFF15B8274D00CallUSER32.PtInRect?
广告区域内点击
:0046222285C0testeax,eax
:004622240F84D8000000je00462302?
更改以后：
:0046221CFF15B8274D00CallUSER32.PtInRect?
广告区域内点击
:0046222285C0testeax,eax
:00462224E9D9000000jmp00462302?
手工更改方法：
查找16进制代码：0F84D80000008B4656
更改为：E9D900000090
文件偏移为62224h
弹出发送消息窗口之前的对象数据调用的程序段
更改以前：
:0042513D56pushesi
:0042513E8BF1movesi,ecx
:00425140FFB6F4000000pushdwordptr[esi+000000F4]
:00425146FFB6B0000000pushdwordptr[esi+000000B0]
:0042514CE879810300call0045D2CA?
结构首址
:0042515133C9xorecx,ecx
:004251533BC1cmpeax,ecx?
成功
:004251557431je00425188结构首址
:0042515133C9xorecx,ecx
:004251533BC1cmpeax,ecx?
成功
:004251557431je00425188?
:00425157E9E4C40A00jmp004D1640?
IP地址和端口的程序中
:0042515C90nop?
手工更改方法：
查找16进制代码：3988DC0100007508
更改为：E9E4C40A0090
文件偏移为25157h
显示IP地址和串口的附加程序
:004D1680803D00174D003Acmpbyteptr[004D1700],3A?
字符内存区第一个字符是不是冒号，是就说明没有IP地址
:004D16877509jne004D1692?
:004D168966C70500174D003000movwordptr[004D1700],0030?
字符内存区写上一个"0"
:004D16926800174D00push004D1700?
:004D1697FFB660010000pushdwordptr[esi+00000160]告窗口的窗口句柄
:004D169DA1E8714A00moveax,dwordptr[004A71E8]?
他地方调用SetWindowTextA的地址
:004D16A2FF10calldwordptr[eax]?
重定位好了的SetWindowTextA的地址
:004D16A4E9D415F6FFjmp00432C7D?
之后
:004D16A990nop?
对齐好看
:004D16AA90nop
:004D16AB90nop
:004D16AC90nop
:004D16AD90nop
:004D16AE90nop
:004D16AF90nop
wsprintf所用到的模式字符串：
:004D172025733A2564"%s:%d"
手工更改方法：
在文件偏移D1680处添加16进制代码：
803D00174D003A75-0966C70500174D00
30006800174D00FF-B660010000A1E871
4A00FF10E9D415F6-FF90909090909090
在文件偏移D1720处添加16进制代码：
25733A2564
保存IP地址和端口的附加程序
:004D16408BDCmovebx,esp?
针
:004D1642BC00194D00movesp,004D1900?
针到无用的内存区域
:004D164750pusheax?
寄存器
:004D164851pushecx
:004D164952pushedx
:004D164A56pushesi
:004D164BFFB018020000pushdwordptr[eax+00000218]?
象端口的地址
:004D1651FFB014020000pushdwordptr[eax+00000214]P
地址的字符串指针
:004D16576820174D00push004D1720?
是printf的模式字符
:004D165C6800174D00push004D1700?
:004D16618B3532CE4900movesi,dwordptr[0049CE32]他地方调用wsprintfA的地址
:004D1667FF16calldwordptr[esi]?
重定位好了的wsprintfA的地址
:004D166983C410addesp,00000010?
:004D166C5Epopesi?
:004D166D5Apopedx
:004D166E59popecx
:004D166F58popeax
:004D16703988DC010000cmpdwordptr[eax+000001DC],ecx?
原程序00425157处被改掉的有用代码
:004D16768BE3movesp,ebx?
针
:004D1678E9E03AF5FFjmp0042515D?
:004D167D90nop
:004D167E90nop
:004D167F90nop
手工更改方法：
在文件偏移D1640处添加16进制代码：
8BDCBC00194D0050-515256FFB0180200
00FFB01402000068-20174D006800174D
他地方调用wsprintfA的地址
:004D1667FF16calldwordptr[esi]?
重定位好了的wsprintfA的地址
:004D166983C410addesp,00000010?
:004D166C5Epopesi?
:004D166D5Apopedx
:004D166E59popecx
:004D166F58popeax
:004D16703988DC010000cmpdwordptr[eax+000001DC],ecx?
原程序00425157处被改掉的有用代码
:004D16768BE3movesp,ebx?
针
:004D1678E9E03AF5FFjmp0042515D?
:004D167D90nop
:004D167E90nop
:004D167F90nop
手工更改方法：
在文件偏移D1640处添加16进制代码：
8BDCBC00194D0050-515256FFB0180200
00FFB01402000068-20174D006800174D
消息发送对话框中广告窗口样式的更改
更改以前的窗口样式(style)是50000012h，
WS_CHILDWINDOW|WS_VISIBLE|SS_LEFT|SS_ETCHEDFRAME
更改以后的窗口样式(style)是50000201h，
WS_CHILDWINDOW|WS_VISIBLE|SS_LEFT|SS_CENTER|SS_CENTERIMAGE
手工更改方法：
在文件偏移141EFCh处把
12000050
改为02010050
代码段段属性修改
更改以前的代码段属性为60000020，CER（包含代码，可执行，可读）
更改以后的代码段属性为C0000020，CRW（包含代码，可读写和执行）
手工更改方法：
在文件偏移21Ch处把
20000060
改为200000C0 |
|