Windows逆向分析入门——实战篇（收发文本消息）

Posted 2020-12-13 wwgk

前言

　　这一篇，用到找偏移的第三个方法：日志；第四个方法：字符串；第五个方法：系统函数；第六个方法：第三方库。目标是收发文本消息。

 

一、发送消息

　　分析

　　1、发送信息的一般流程

　　　　1、界面上编辑消息

　　　　2、点击发送按钮

　　　　3、消息存入数据库

　　　　4、通过网络发送出去

 

　　2、可以切入的点

　　　　1、界面

　　　　2、数据库

　　　　3、网络发送函数

 

　　3、入手方式

　　　　界面入手，得跟踪Duilib的响应过程

　　　　数据库入手，得监听数据库Sqlite的函数

　　　　网络函数入手，数据依据加密了，难识别出来

 

　　　　数据从产生到发送，中间会有比较长的过程。

　　　　看下日志有没有可以参考的信息。

 

　　Xlog

　　　　WX的日志模块是第三方库：Xlog。

　　　　关于Xlog的介绍和分析，后续会分享了《微信日志Xlog分析——带源码》。

 

　　　　注入打开日志的dll

 

　　　　随便操作界面，就有日志输出

 

发送一个文本信息

　　日志看到了关键词On MsgAdd PrefixId，和 sendTextMsg。

 

　　用OD搜索字符串，发现没有sendTextMsg，但是有On MsgAdd PrefixId，进行断点。

 

触发断点

　　函数调用的关系有两种

　　　　1、函数A调用函数B，函数B调用函数C（一条线）

　　　　2、函数A调用函数B，函数A调用函数C（分叉开）

　　点击发送按钮，WX会收到操作信息，部分信息给Duilib处理，部分信息给系统自带的函数处理：ntdll.NtdllDefWindowProc_W。

　　堆栈里面往下翻，发现有这个函数。意味着这个断点的位置，和发送消息函数的调用的关系是一条线的。也就是说，在堆栈就能找到发送消息的函数。

　　

 

找函数

　　问题来了，堆栈这么多函数，到底哪一个呢？

　　一般发送消息函数的格式是：发送消息函数（参数：接收人，参数：发送的消息）

　　函数的调用约定有多种情况 __fastcall __stdcall __cdecl __thiscall。

　　这就意味这发送消息函数至少需要两个参数.

　　但不一定都在堆栈，可能在ecx或者edx。

　　从断点往回找，看有没有满足条件的。

 

1、第一个函数，堆栈没有关键的参数，函数也没用到ecx和edx，排除。

 

2、第二个函数，堆栈有发送的消息；两个参数，其中一个是0，函数也没用到ecx和edx，排除

 

3、第三个函数，堆栈有接收人；三个参数，没有发送的消息，函数也没用到ecx和edx，排除

 

4、第四个函数，堆栈有发送的消息；用到ecx和edx，加上3个push，总共五个参数，断点看下

 

　　可以看到这里的参数是齐全的。

 

　　但是参数1未知，[ebp-0x738]是函数内一个变量，清空后发现能发送信息，可以直接伪造

 

修改发送的内容，验证下

　　1、发送老的信息 oldmsg

　　2、od里看下拦截的数据也是oldmsg

　　3、修改成newmsg

　　4、最终发送的是newmsg，这里就是我们要找的发送信息函数

 

算偏移

　　基址 ：5A090000

　　　　Executable modules, 条目 8

　　　　基址=5A090000

　　　　大小=01946000 (26501120.)

　　　　入口=5ADE4A63 WeChatWi.<ModuleEntryPoint>

　　　　名称=WeChatWi

　　　　文件版本=2.9.0.123

　　　　路径=C:Program Files (x86)TencentWeChatWeChatWin.dll

 

源码

　　5A17CA91    6A 01        push 0x1                                 ; 参数5:1

　　5A17CA93    8D43 34    lea eax,dword ptr ds:[ebx+0x34]

　　5A17CA96    50              push eax                                 ; 参数4:空结构

　　5A17CA97    53              push ebx                                 ; 参数3:发送的消息

　　5A17CA98    8D55 9C         lea edx,dword ptr ss:[ebp-0x64]          ; 参数2:接收人

　　5A17CA9B    8D8D C8F8FFFF   lea ecx,dword ptr ss:[ebp-0x738]    ; 参数1:未知 可置空

　　5A17CAA1    E8 AAFF2500     call WeChatWi.5A3DCA50                 ; 发送文本消息函数

　　5A17CAA6    83C4 0C         add esp,0xC ;平衡堆栈用

 

参数

　　eax

　　　　13EF5AA8  00000000

　　　　13EF5AAC  00000000

　　　　13EF5AB0  00000000

　　　　13EF5AB4  00000000

 

　　ebx

　　　　13EF5A74  13FB51E0  UNICODE "发送文本消息"

　　　　13EF5A78  00000006

　　　　13EF5A7C  00000008

　　　　13EF5A80  00000000

　　　　13EF5A84  00000000

 

　　ecx

　　　　空buffer：char buffer[0x738] = {0};

 

　　edx

　　　　0096EF00  13CA0610  UNICODE "filehelper"

　　　　0096EF04  0000000A

　　　　0096EF08  00000010

　　　　0096EF0C  00000000

　　　　0096EF10  00000000

 

偏移 = 内存地址 - 基址

　　发送文本消息函数 5A3DCA50 - 5A090000 = 34CA50

 

写代码

　　参数结构

　　

　　构造参数

　　

　　调用函数

　　

 

二、接收消息

当WX收到消息时，也会在On MsgAdd PrefixId处触发断点。

 

跳转到ebp（ebp相对比较稳定）

双击ebp所在的行，地址这一列显示的是相对地址。

　　发送者 ： ebp-0x220

　　　　$-220    > 13BD3EC0  UNICODE "filehelper"

　　发送的消息：ebp -0x1F8

　　　　$-1F8    > 13C0C380  UNICODE "手机发送的消息"

 

拦截需要至少五个字节，这里刚好五个（68 C0 03 49 5B）

　　5A3B9743    68 C003495B     push WeChatWi.5B4903C0                   ; UNICODE "On MsgAdd PrefixId : %I64d RealId : %I64d, SvrId :"

 

算偏移

　　基址：5A090000

　　　　Executable modules, 条目 8

　　　　基址=5A090000

　　　　大小=01946000 (26501120.)

　　　　入口=5ADE4A63 WeChatWi.<ModuleEntryPoint>

　　　　名称=WeChatWi

　　　　文件版本=2.9.0.123

　　　　路径=C:Program Files (x86)TencentWeChatWeChatWin.dll

 

偏移 = 内存地址 - 基址

　　接收消息hook位置 5A3B9743  - 5A090000 = 329743

　　被覆盖的数据偏移 5B4903C0 - 5A090000 = 14003C0

 

写代码