首页
论坛
课程
招聘
[原创]关于QQ读取Chrome历史记录的澄清
2021-1-16 16:16 345756

[原创]关于QQ读取Chrome历史记录的澄清

2021-1-16 16:16
345756

今天看到群里有同学发了一篇v2ex上的帖子(https://www.v2ex.com/t/745030),说QQ会读取Chrome的历史记录,被火绒自定义规则拦截了,本来我是不信的,但是他说他复现了,而且是QQ登录10分钟后才会去访问。

 

这我就想去验证下了,开虚拟机装QQ、Chrome,然后打开Process Monitor开始等。规则简单的过滤下。

 


果然看到了读取AppData\Local\Google\Chrome\User Data\Default\History等目录的操作。

 


而且时间也是恰到好处的十分钟。

 


这是实锤了QQ和Chrome过不去啊,这我可不信,把规则去掉,重新翻了一下才发现果然是冤枉QQ了啊。

 


受害人之多令人震惊,仔细一看,这玩意是遍历了Appdata\Local\下的所有文件夹,然后加上User Data\Default\History去读啊。User Data\Default\History是谷歌系浏览器(火狐等浏览器不熟,不清楚目录如何)默认的历史纪录存放位置,Chrome中枪也就很正常了。

 

然后就该研究研究QQ为啥要这么干了,读取到的浏览器历史记录又拿来干啥了呢?

 

挂上x32dbg,动态调试找到位置。

 


然后去IDA里直接反编译出来,如下(位置在AppUtil.dll中 .text:510EFB98 附近)

 


这一段的逻辑还是很好看懂的,先读取各种 User Data\Default\History 文件,读到了就复制到Temp目录下的temphis.db。回去看下Procmom,果然没错。

 


再之后的操作就简单了,SQLite读取数据库,然后“select url from urls”,这是在干什么大家都懂哈。后面就不接着讲了,有兴趣的可以自己接着看。

 

结论,QQ并不是特意读取Chrome的历史记录的,而是会试图读取电脑里所有谷歌系浏览器的历史记录并提取链接,确认会中招的浏览器包括但不限于Chrome、Chromium、360极速、360安全、猎豹、2345等浏览器。

 

晚上来编辑一下,刚才去试了下TIM,果然经典重现,而且比QQ还离谱,不多说直接上图。

 

图片描述


第五届安全开发者峰会(SDC 2021)议题征集正式开启!

最后于 2021-1-16 22:58 被qwqdanchun编辑 ,原因: 补充TIM
收藏
点赞30
打赏
分享
最新回复 (91)
雪    币: 838
活跃值: 活跃值 (467)
能力值: ( LV2,RANK:15 )
在线值:
发帖
回帖
粉丝
はつゆき 活跃值 2021-1-16 19:11
2
1
澄清这个词用的好啊,哈哈哈
雪    币: 9801
活跃值: 活跃值 (2782)
能力值: ( LV9,RANK:260 )
在线值:
发帖
回帖
粉丝
hzqst 活跃值 3 2021-1-16 19:38
3
1
你懂不懂什么叫《大 数 据》啊!
雪    币: 250
活跃值: 活跃值 (231)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
killleer 活跃值 2021-1-16 20:58
4
0
hzqst 你懂不懂什么叫《大 数 据》啊!

gg,看小黄片和看gayhub和谐内容被tx看的清清楚楚


这个教训也告诉我们:事实证明r3取证或者不用阴间api取证,加上没有一个好的anti-debug是多么愚蠢的操作

最后于 2021-1-16 21:20 被killleer编辑 ,原因:
雪    币: 250
活跃值: 活跃值 (231)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
killleer 活跃值 2021-1-16 20:59
5
0
hzqst 你懂不懂什么叫《大 数 据》啊!

还有,火绒hips永远滴神


期待下次出一个bypass huorong hips的取证

最后于 2021-1-16 21:21 被killleer编辑 ,原因:
雪    币: 216
活跃值: 活跃值 (100)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
dayang 活跃值 2021-1-16 21:01
6
0

TIM 也有这个行为么?

最后于 2021-1-16 21:01 被dayang编辑 ,原因:
雪    币: 2097
活跃值: 活跃值 (1313)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
qwqdanchun 活跃值 2021-1-16 21:26
7
0
dayang TIM 也有这个行为么?

TIM没有试,有兴趣的可以趁着电脑开机,挂上TIM和procmon等着看


晚上来编辑一下,TIM也有

最后于 2021-1-16 22:58 被qwqdanchun编辑 ,原因:
雪    币: 2097
活跃值: 活跃值 (1313)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
qwqdanchun 活跃值 2021-1-16 21:27
8
0
killleer hzqst 你懂不懂什么叫《大 数 据》啊! gg,看小黄片和看gayhub和谐内容被tx看的清清楚楚这个教训也告诉我们:事实证明r3取证或者不用阴间api取证 ...
事实证明,不止没有anti-debug,而且字符串都是明文可以搜到的
雪    币: 5868
活跃值: 活跃值 (522)
能力值: ( LV4,RANK:156 )
在线值:
发帖
回帖
粉丝
月落之汀 活跃值 1 2021-1-16 21:44
9
0
lz上个dll的样本或者给个hash值?PC QQ丢ida里没看到这块逻辑,不是不相信,是想看看他那这些数据干什么了
雪    币: 2097
活跃值: 活跃值 (1313)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
qwqdanchun 活跃值 2021-1-16 21:56
10
0
月落之汀 lz上个dll的样本或者给个hash值?PC QQ丢ida里没看到这块逻辑,不是不相信,是想看看他那这些数据干什么了
https://file.qwqdanchun.com/Temp/AppUtil.dll   就在qq安装目录就可以找到,IDA里直接看“.text:510EFB98”附近,或者搜索“User Data”就能找到文中图片位置
雪    币: 2244
活跃值: 活跃值 (574)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
毅种循环 活跃值 2 2021-1-16 23:00
11
0
建议QQ重来
雪    币: 5868
活跃值: 活跃值 (522)
能力值: ( LV4,RANK:156 )
在线值:
发帖
回帖
粉丝
月落之汀 活跃值 1 2021-1-16 23:54
12
0
qwqdanchun https://file.qwqdanchun.com/Temp/AppUtil.dll 就在qq安装目录就可以找到,IDA里直接看“.text:510EFB98”附近,或者搜索“User Dat ...
得,局域网开个主机只跑这垃圾软件吧,太强了,不愧是tx。
顺便我PCQQ 9.4.1的DLL跟你发的不一样,搜字符串也没这个逻辑,看起来锁定这个版本,废掉qqprotect是当务之急
雪    币: 3621
活跃值: 活跃值 (864)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
boursonjane 活跃值 2021-1-17 00:09
13
0

广告位招租

最后于 2021-1-18 14:11 被boursonjane编辑 ,原因:
雪    币: 2097
活跃值: 活跃值 (1313)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
qwqdanchun 活跃值 2021-1-17 00:18
14
0
月落之汀 得,局域网开个主机只跑这垃圾软件吧,太强了,不愧是tx。 顺便我PCQQ 9.4.1的DLL跟你发的不一样,搜字符串也没这个逻辑,看起来锁定这个版本,废掉qqprotect是当务之急
我用的是QQ9.4.2(27662),TIM是官网最新版.
刚找了9.4.1的发现是有的,如果你没有找到可以把这个dll打包发我看下
雪    币: 5868
活跃值: 活跃值 (522)
能力值: ( LV4,RANK:156 )
在线值:
发帖
回帖
粉丝
月落之汀 活跃值 1 2021-1-17 00:59
15
0

sha1:11452A002088C24616B4AF8E8D2E0C2688FECB5C

上传的附件:
雪    币: 5202
活跃值: 活跃值 (1703)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
hhkqqs 活跃值 1 2021-1-17 01:05
16
0
这个好办,把文件夹设成只读就不会更新浏览记录了,或者用无痕模式浏览网页
雪    币: 5868
活跃值: 活跃值 (522)
能力值: ( LV4,RANK:156 )
在线值:
发帖
回帖
粉丝
月落之汀 活跃值 1 2021-1-17 01:11
17
0
hhkqqs 这个好办,把文件夹设成只读就不会更新浏览记录了,或者用无痕模式浏览网页[em_86]
这就因噎废食了,是QQ/微信绑架了你,让你不得不用他们的产品,而作为用户,我没办法因为它收集个人隐私就不再使用它,也不可能因为它不在使用访问历史的功能,折中的办法是干掉这些行为
雪    币: 4373
活跃值: 活跃值 (1800)
能力值: ( LV7,RANK:150 )
在线值:
发帖
回帖
粉丝
淡然他徒弟 活跃值 1 2021-1-17 01:20
18
0
有没有办法屏蔽他这个行为
雪    币: 5868
活跃值: 活跃值 (522)
能力值: ( LV4,RANK:156 )
在线值:
发帖
回帖
粉丝
月落之汀 活跃值 1 2021-1-17 01:21
19
0
qwqdanchun 我用的是QQ9.4.2(27662),TIM是官网最新版. 刚找了9.4.1的发现是有的,如果你没有找到可以把这个dll打包发我看下
不好意思,刚用ALT + T全局搜索了一下,搜索到了,位于sub_510DFA17
雪    币: 2097
活跃值: 活跃值 (1313)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
qwqdanchun 活跃值 2021-1-17 01:42
20
0
淡然他徒弟 有没有办法屏蔽他这个行为
比如v2ex那个帖子里,发现这个行为就是因为火绒hips的自定义规则,类似的软件都可以阻止行为
雪    币: 64
活跃值: 活跃值 (351)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
zbzb 活跃值 2021-1-17 01:51
21
0
哈哈,赞一个!企鹅家的日常操作。况且有qqprotect,能做得事情更多了
雪    币: 2251
活跃值: 活跃值 (320)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
VNRKDOEA 活跃值 2021-1-17 11:03
22
0
我不是针对你,我是说在座的各位我都读取
雪    币: 71
活跃值: 活跃值 (31)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
guozizheng 活跃值 2021-1-17 11:25
23
0
9.2.3的AppUtil里面也查到了
雪    币: 3069
活跃值: 活跃值 (754)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
sunsjw 活跃值 1 2021-1-17 11:38
24
0
南山必胜客:收集你的上网记录这么点小事,你能耐我何?有本事告我啊。
雪    币: 94
活跃值: 活跃值 (28)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
小滅 活跃值 2021-1-17 11:45
25
1
请问Mac上有没有这个问题?
游客
登录 | 注册 方可回帖
返回