探秘短信马产业链-从逆向到爆菊

0x00 楔子


近日,小明有了一桩烦心事,扰的他寝食难安。原来是女神的某安卓手机出了怪病,短信收不到,发出去别人也收不到,更可气的是女神用来准备网购的钱都被神秘刷走。当女神满心焦躁翻遍通讯录时,蓦然发现了小明的备注:千斤顶17号-电脑、刷机。于是在女神可怜巴巴大眼睛的注视下,小明把胸脯拍的山响,承诺一天搞定。

于是,小明拿到了梦寐以求的女神手机。可没想到,后面发生的事让他始料未及。

0x01 锁定元凶


拿到手机的第一件事,就是找到收不到短信的原因。翻了翻系统短信设置和APP,装的东西都很正常,没有发现可疑的空白图标,用软件管理工具查看,也没有发现可疑的迹象。于是小明从系统程序开始排查,果不然,在打开“谷歌商店”时,发现了狐狸尾巴。

如下图所示,第一,在未联网时点击这种APP会提示“手机无法联网”。

enter image description hereenter image description here

第二,在联网时点击这种APP会提示一大堆权限要求和出现“网络正常”提示

enter image description here

看到这,小明笑了,这不就是最正火的短信拦截马嘛。于是果断把手机通过豌豆荚导出目标APK文件包。如图所示

enter image description here

enter image description here

看着桌面上不到100KB的短信马,小明默默的系上了围裙(安卓虚拟环境),找出了手术刀(反编译工具dex2jar+Xjad),把马儿按到在解剖台(Eclipse)上。

enter image description here

0x02 庖丁解牛


首先,小明把APK文件解压,然后找到关键的classes.dex文件。他是APK文件的java源码编译文件。

enter image description here

然后把classes.dex 拷贝到dex2jar目录下,然后cmd进入dex2jar目录后再输入:dex2jar.bat classes.dex 回车,同目录下就得到我们想要的源码包:classes_dex2jar.jar

enter image description here

enter image description here

再请出我们的jar反编译Xjad,点击文件-反编译jar-选择上把生成的jar文件,就会反编译成源码文件夹。

enter image description here

enter image description here

到这一步,我们的牛算是初步分解成功了,下面就是如何找出我们要的菲力牛排~

0x03 轻抚菊花


反编译后分析出木马和后台交互是通过调用c#的WebService协议,而且菊花的IP是加密的,调用代码图如下: 

enter image description here

直接把加密代码,按图索骥找到加密函数后,反编译过来发现如下:

enter image description here

运行后,直接爆到服务器端的地址http://103.X.X.X/priv1/baseservice.asmx

至此,找准了菊花的所在。下面开始研究爆菊啦

0x04 长驱注入( 爆菊部分由sql test大牛完成)


既然找到后台地址了,下面怎么来拿下这后台,这是头疼的问题,用工具扫描了下没发现什么漏洞,本人能力有限。看样子只能从站点下手了,重新整理下思路,把http://103.X.X.X/priv1/baseservice.asmx输入到浏览器发现

enter image description here

有这么几个方法,既然有方法可以我直接用下,打开程序引用了WebService 代码如下:

enter image description here

本来想试试XSS ,用AddCall方法插入到数据库,代码如下

enter image description here

调用了下发现报错

enter image description here

无语了,既然有SQL 注入,下面我们来说下这WebService SQL 注入。

挑选了一个获取方法getOrders ,调用的时候把参数加了一个单引号提示MYSQL错误,这注入点也太多了吧

以下就改造了查询语句

enter image description here

返回了XML:

<?xml version="1.0" encoding="UTF-8"?><RootJob><Job><Type>9</Type><Content>3</Content><Phone>2</Phone><JobID>1</JobID></Job></RootJob>

这个一看就知道了,下面的步骤就不详细写,是root注入。

写入一句话,目标是IIS,我也没找到目录程序目录,直接试了C:Inetpubwwwroot 写了一个Aspx马上去了,在浏览器上访问成功了。

enter image description here

基本上完成了,剩下的就是提权了,在一个朋友的帮助下提权成功。

0x05 扩大战果


这时已经通过mysql拿到了服务器的权限,查看注册表发现端口是55555,服务器版本为2003R2,加了个用户就进去看看。

enter image description here

东西不复杂,IIS+mysql+C#的WebService

enter image description here

把mysql做了个远程,本地连上看看。一看之下,这个团伙通过短信马监控到被害者的内容令小明大吃一惊。

enter image description here

在SO这个库里,小明发现N多受害人的信息,包括大额的银行转账提示。如果这种短信被拦截的话,那后果可想而知。

enter image description here

0x06 挖掘产业链


但凡一个行业必须是有利可图的,小明既然发掘到了源头,就逆流而上,去深挖一下,安卓短信拦截马的整个产业链条。

说干就干,小明在电脑上输入短信拦截马、短信马 出售等相关关键词,发现有很多人在发布相关的需求。

enter image description here

而是各种地下论坛里,很多相关求马的帖子。

他们买来主要就是为了诈骗。

或冒充熟人诈骗,或为了诱骗网银,或为了某些不可告人的秘密勾当。

随机找了个例子。

enter image description here

小明通过对代码的分析,发现短信马的运行方式是这样的。

一旦安装了木马的手机,并授权给木马后,木马会立刻上传受害手机的通讯录。该手机的所有短信来往都会发给指定的手机号,而且该手机号可以使用代码,来指挥木马进行伪造短信。从而实施诈骗的目的

enter image description here

enter image description here

©乌云知识库版权所有 未经许可 禁止转载


30
thp 2016-05-13 21:24:41

厉害!技术哪里学的?我也想学!

30
masker 2016-02-23 11:14:23

赞啊

30
ddd 2015-12-16 10:42:21

Lihai

30
黑吃黑 2014-08-04 16:24:04

牛逼

30
ppang 2014-06-28 16:19:39

经典 长姿势了

30
国士无双 2014-04-13 15:53:00

还是通过java里面的方法进行get数据

30
1428666 2014-01-16 23:13:38

好文笔!

30
老灰 2014-01-12 13:34:44

经典,学习了。

30
px1624 2013-12-28 00:57:17

怎么目测是魅族mx3手机啊

30
农夫娃哈哈 2013-12-26 11:07:13

相当不错

30
不期而遇 2013-12-23 11:58:00

相当给力!

30
龙辰 2013-12-22 09:38:10

good!

30
[email protected] 2013-12-21 23:34:02

楼主你碉堡了有木有 看完了 感觉很精彩! 最近也是猜了一下默认路径把目标站搞下了,真希望这狗屎运气多多益善

30
wuxianjun 2013-12-19 14:19:41

不明觉厉

30
╰╃清風 2013-12-19 14:19:33

恭喜楼主完爆黑产

30
毛猴 2013-12-19 11:11:57

niu````bi````

30
Coody 2013-12-18 21:43:14

niu````bi````

30
沈奇 2013-12-18 15:40:46

学习了,感谢分享。

30
阿布 2013-12-18 14:52:26

坏人!!

30
ice 2013-12-18 13:35:46

小明这节奏是要断黑产的活路啊...

30
园长 2013-12-18 13:20:39

写的灰常不错!很有想法。

30
jk_影 2013-12-18 12:53:53

牛逼啊,想知道注入那个地方是如何完成的 通过浏览器可直接提交数据注入吗?

30
核攻击 2013-12-18 11:31:33

Nice! 阅 √

30
子墨 2013-12-18 09:23:13

学习

30
国士无双 2013-12-17 17:45:37

给舔

30
国士无双 2013-12-17 17:45:12

非常给力!多谢支持!

30
小胖子 2013-12-17 14:18:38

给跪

30
肉肉 2013-12-17 11:58:01

膜拜

30
無情 2013-12-17 10:15:21

很厉害哇

膜拜了,

30
Mr.Anderson 2013-12-17 09:47:33

一气呵成。

30
大胖子 2013-12-17 08:50:11

很厉害哇

30
墨水心_Len 2013-12-17 00:09:35

赞~
本来想贴几个链接做下关联呢,貌似行不通啊 @xsser

30
墨水心_Len 2013-12-17 00:05:13

赞~
简单做下关联
关于手机应用安全的一些个人感悟
http://zone.wooyun.org/content/1871

WebView中接口隐患与手机挂马利用
/papers/?id=548

30
xiaogui 2013-12-16 20:13:55

很精彩!

30
Finger 2013-12-16 19:12:47

@公安部 抓 @坏人

30
瞌睡龙 2013-12-16 17:21:14

@国士无双 @sql test
干的很漂亮~

30
国士无双 2013-12-16 17:13:14

@坏人 快跑!

30
国士无双 2013-12-16 17:12:47

[email protected] test 的倾情加盟,特此鸣谢!

30
xsser 2013-12-16 17:09:37

@公安部 抓坏人

感谢知乎授权页面模版