PC微信逆向分析の绕过加密访问SQLite数据库

赵庆明老师

发布日期: 2020-01-03 10:02:51 浏览量: 79
评分:
star star star star star star star star star star
*转载请注明来自write-bug.com

作者:zmrbak(赵庆明老师)

前言

微信,无疑是国内目前最为流行的应用软件,其在社交领域的霸主地位依然无人可以撼动!它不但撑起了庞大的腾讯软件帝国的一角,而且足以让腾讯傲立于BAT中国互联网三巨头之首。微信,改变了这个世界,而腾讯也成了无数优秀程序员梦想的归宿。围绕着微信这个软件的延伸,腾讯也无私地为代码世界贡献了近百个优秀的开源项目。

从古到今,任何一个巨人,都是站在前一辈巨人的肩膀上而成长为新的巨人。百度如此,阿里如此,腾讯亦是如此。SQLite数据库,一个不为人熟知,但已超过10000亿个设备在使用的开源数据库,已经渗入人们生活的各个环节。目前超过11亿个活跃的微信号,每时每刻都在与这个深藏功与名的SQLite数据库共舞着。

由于微信的巨大成功,从而成为众多痴迷技术的探秘者的实验品。同样,嵌入微信内部那个深藏功名的SQLite数据库,也成为这些人的又一个解剖对象。接下来,准备好我们的工具,让我们一起来窥探其中的奥妙!

微信中的数据库

无论是在微信安装还是运行的时候,普通用户是不会觉察到微信中居然还有一个默默无闻的SQLite数据库。就算在微信的安装目录中,你也不会发现有任何对于SQLite数据库的描述、说明和感谢(基于SQLite的许可协议,不允许以SQLite的名义来推销产品),但是却在用户的文件夹下(C:\Users\xxxxxx\Documents\WeChat Files\xxxx\Msg\)留下一堆以db为扩展名的文件。对于细心的探索者来说,微信留下来的任何蛛丝马迹,都会变成重要的探秘线索。

这些db文件,都是经过加密处理的。即使你怀疑它是一个SQLite数据库文件,但是你根本无法用任何一个SQLite管理器打开。虽然网上有不少的文章告诉你,去到微信中寻找那个密码,然后使用某某工具进行解密还原。先不说这些工具各种各样的莫名其妙的问题,就算你确实可以顺利搞到密码,再到完成了解密,再进行访问,其实已经晚了半拍。当然,你要相信,腾讯的那些顶级程序员,会在保证软件功能和性能的情况下,会为这些探秘者设置各种各样的障碍。至少我们知道,那些db文件的确是一个个SQLite数据库,只是经过了加密处理而已。

窥探SQLite数据库

SQLite数据库是一个开源的软件,也就是说,任何人都可以免费地获取它的源代码,对它进行研究、分析,当然还有修改。如果你要把你修改的内容“贡献”给SQLite官方,那么你必须申明你放弃你修改的这些代码的“版权”,不过你提供的代码基本不会原样照搬,而是被SQLite官方按照自己的标准重写一次(开源,但不开放)。当然,如果你要修改后自己用的话,那就随便你啦,SQLite官方并不会找你要钱。即便如此,谷歌依然每年给予SQLite巨额的赞助,当然国内腾讯、阿里等这些巨头也毫不吝啬。虽然这个软件包括源代码在内都是免费开放的,但由于有不少的巨头为其撑腰,就算SQLite不收你的钱,它也会活得很好。如果你非要交钱买个许可的话,那就花6000美元买一个吧,官方称这些钱会用于资助SQLite的持续改进和支持。

既然SQLite数据库是开放源代码的,而且还有来自微信开发团队的严苛加密,那么将其与微信一起研究,则更为令人振奋。登上SQLite的官方主页,http://www.sqlite.org ,你可以随时把SQLite诞生以来近20年的各个版本抓来研究一番。网站上还有各种示例,教你如何使用SQLite数据库,详尽的各种解说,如果你愿意,你可以通过这个网站了解到它的各种之末细节和详尽的实现方式。虽然,网站没提供中文版,不过,语言并不是障碍,谷歌浏览器的翻译功能,可以让你了解个八九不离十。

一个简单的SQLite示例

如果你还不知道这个SQLite数据库怎么用,网站上提供了TCL的示例代码和C语言的示例代码。现摘抄C示例代码如下(代码来源:https://www.sqlite.com/quickstart.html)。

  1. #include <stdio.h>
  2. #include <sqlite3.h>
  3. static int callback(void *NotUsed, int argc, char **argv, char **azColName){
  4. int i;
  5. for(i=0; i<argc; i++){
  6. printf("%s = %s\n", azColName[i], argv[i] ? argv[i] : "NULL");
  7. }
  8. printf("\n");
  9. return 0;
  10. }
  11. int main(int argc, char **argv){
  12. sqlite3 *db;
  13. char *zErrMsg = 0;
  14. int rc;
  15. if( argc!=3 ){
  16. fprintf(stderr, "Usage: %s DATABASE SQL-STATEMENT\n", argv[0]);
  17. return(1);
  18. }
  19. rc = sqlite3_open(argv[1], &db);
  20. if( rc ){
  21. fprintf(stderr, "Can't open database: %s\n", sqlite3_errmsg(db));
  22. sqlite3_close(db);
  23. return(1);
  24. }
  25. rc = sqlite3_exec(db, argv[2], callback, 0, &zErrMsg);
  26. if( rc!=SQLITE_OK ){
  27. fprintf(stderr, "SQL error: %s\n", zErrMsg);
  28. sqlite3_free(zErrMsg);
  29. }
  30. sqlite3_close(db);
  31. return 0;
  32. }

示例很简单,也很完善。由于我们的目的是为了探索和研究,因此,我们在确保程序示例可用的情况下,再继续精简。我们删除了很多代码,只剩下核心的几条:

  1. #include <stdio.h>
  2. #include <sqlite3.h>
  3. static int callback(void *NotUsed, int argc, char **argv, char **azColName){
  4. for(int i=0; i<argc; i++){
  5. printf("%s = %s\n", azColName[i], argv[i] ? argv[i] : "NULL");
  6. }
  7. return 0;
  8. }
  9. int main(int argc, char **argv){
  10. sqlite3 *db;
  11. sqlite3_open(argv[1], &db);
  12. sqlite3_exec(db, argv[2], callback, 0, &zErrMsg);
  13. sqlite3_close(db);
  14. return 0;
  15. }

先从main函数开始,首先定义一个sqlite3的db作为数据库的句柄,然后让执行sqlite3_open打开数据库,接下来执行sqlite3_exec查询数据库,最后执行sqlite3_close关闭数据库。在sqlite3_exec执行期间,使用回调函数callback来处理查询的结果。这,就是一个完整的流程。

执行sqlite3_open打开数据库这个操作,要执行不少的操作,相对比价耗费系统资源。如果一个软件在运行过程中要不断地查询数据库,修改数据库,那么最优的方式就是打开后不要关闭,等到软件关闭的时候再关闭数据库。这样可以节约系统资源,也可以提高数据库的响应速度。

绕过加密访问SQLite数据库

无论是给数据库加上密码,还是使用其它更强有力的方式为数据库加密,无非是为了防止数据库被非法操作。但是,由于基于性能的考虑,应用软件打开SQLite数据库后,只有等到应用程序被关闭的时候,才去关闭数据库。那么在整个应用软件运行期间,SQLite数据库一旦被打开,则将一直保持打开状态。也就是说,上面示例的db,在程序还未调用sqlite3_close函数前,一直是有效的,随时可以接受sqlite3_exec函数的查询操作。这个查询并不是指select,而是指所有可能的sql语句。我们暂且不讨论具有破坏性的操作,如增加(INSERT)、修改(UPDATE)、删除(DELETE)等,在这里我们只来讨论“无破坏性”的“查”(SELECT)的操作。

数据库的加密验证,往往只在于打开数据库的时候,一旦数据库被打开,剩下的操作,则不再对加密进行验证。因此,我们等数据库打开之后,获取db这个数值,然后就可以“非法”地调用sqlite3_exec函数,来执行我们期望的操作。如果这样操作,那么无论软件设计人员设计的任何加密方式,都形同虚设。也就是说,我们可以轻松地实现“绕过加密来访问SQLite数据库”。

为了实现“绕过加密来访问SQLite数据库”,接下来需要解决三个问题。

  • 如何取得已打开的数据库的句柄db的具体数值?

  • 可被非法地调用的sqlite3_exec函数在哪里?

  • 如何非法地调用sqlite3_exec函数?

接下来,让我们依次来解决这三个问题。

如何取得打开数据库的句柄?

如果从正向编程的思维来思考的话,似乎没有答案。但是如果用逆向的思维,你会发现,其实很简单,在调用sqlite3_open函数的时候,其中一个参数就是db,这个db的数值,就是我们正在寻找的打开数据库的句柄。因此,这个问题又转换成,在什么地方调用了sqlite3_open函数。那么,只要我们在调用完sqlite3_open函数之后,马上获取db的值,这个问题就解决了。

如果你使用过OD或者IDA,你就知道,这些软件可以帮你分析出,在程序的什么地方调用了这个函数,而且每一个调用的地方都可以帮你分析出来。如果再配合inline hook,取数据就如同探囊取物一般容易。

我们知道,在调用sqlite3_open函数的时候,必然会打开一个文件。在Windows系统中,必然会调用Windows中的CreateFileW函数,而这个函数可以被OD、IDA等逆向工具所识别。因此,通过倒推的方式,就能顺藤摸瓜找到sqlite3_open函数。如果使用OD来动态调试的话,sqlite3_open就非常容易找到,而且还可以找到调用这个函数的代码段,同时还可以直观地观察到某内存地址中的具体数值。因此,db的值就可以很容易地获取。如果你再编写了inline hook后,只要程序调用了sqlite3_open函数,就可以马上获取db的值。

sqlite3_exec函数在哪里?

在软件中往往会执行一些sql语句,而sqlite3_exec函数对多条函数进行了包装,让程序员执行sql语句更为简单。因此,在应用软件中会有大量的sqlite3_exec函数调用。这恰好是一个切入点。

sqlite3_exec函数的第一个参数是数据库句柄,其实也就是一个DWORD,第二个参数是一条被执行的sql语句,其实就是一个字符串的地址。这些字符串,往往在程序员编程的时候手工写入的,并且嵌入到软件之中,而这些字符串在OD、IDA等这些软件中,可以很容易地识别出来。从而成为找到这个函数的切入点。

比如在软件中寻找“select * from”之类的sql语句,就可以简单地定位到sqlite3_exec函数,从而确定它在应用软件中的具体地址。

如何调用sqlite3_exec

既然我们已经获得到数据库的句柄db的值,而且已经找到和sqlite3_exec的地址,接下来我们就可以来“非法”地调用这个sqlite3_exec函数了。首先,我们来了解一下这个函数的所需的参数:

  1. sqlite3_exec(db, argv[2], callback, 0, &zErrMsg);

第二个参数,是一个查询的sql语句。我们可以定义一个sql的字符串即可,比如“select * from sqlite_master”。由于这条语句是用来查询这个数据库的结构的,因此,在任何一个sqlite数据库中都可以执行成功。当然,你也可以写一个你自己喜欢的sql语句。为了确保一定能查询到信息,我们就用这个字符串。

第三个参数,是一个回调函数,参照SQLite官方的示例代码编写。

第四个参数,是为这个回调函数提供的参数,如果没有,或者不需要提供,那么可以直接填写0或NULL。

第五个参数,返回执行的错误信息,如果不需要的话,可以填写为0或者NULL。

我们只是找到了sqlite3_exec在软件中的地址而已,但地址并不是一个函数,我们也无法直接用字符sqlite3_exec来调用这个函数。但是,我们可以通过C语言内嵌汇编来调用这个函数,也可以用“函数”指针的方式来调用。使用汇编语言,不是很直观,因此使用函数指针,是一个比较好的方法。

我们从SQLite源代码中找到sqlite3_exec函数,把它复制过来,然后做一些修改。把sqlite3_exec第一个字符变成大写Sqlite3_exec,加上typedef、__cdecl*,删除形参,再将db所在的形参改为DWORD:

  1. typedef int(__cdecl* Sqlite3_exec)(
  2. DWORD, /* The database on which the SQL executes */
  3. const char *, /* The SQL to be executed */
  4. sqlite3_callback, /* Invoke this callback routine */
  5. void *, /* First argument to xCallback() */
  6. char ** /* Write error messages here */
  7. );

假如sqlite3_exec的地址是:0x12345678,那么我们可以这样定义和调用:

  1. Sqlite3_ exec p_Sqlite3_ exec = (Sqlite3_ exec) 0x12345678;
  2. p_Sqlite3_ exec(db, zSql, callback, 0, 0);`

运行结果示例

总结

很多初次接触到逆向的人,会被黑压压的汇编代码、一串串的C代码、还有风格诡异的e语言所吓倒。常常有人问我“逆向分析很难吗?”。我也套用一句经典来回答:“天下事有难易乎?为之,则难者亦易矣;不为,则易者亦难矣!”

逆向分析,如同玩猜谜游戏,当你看到一个个谜底慢慢浮现的时候,只有身在其中的人,才能享受其中的刺激和乐趣。作为看客,永远无缘体验这份乐趣。你并不是孤身一人,你还有我们。加入我们,一起在玩这个其乐无穷的猜谜游戏。

源码分享

https://github.com/zmrbak/SQLiteReverse

交流QQ群:

456197310 点击链接加入群聊【软件逆向分析入门】

上传的附件 cloud_download C源代码.7z ( 33.90kb, 0次下载 ) cloud_download e语言源码.7z ( 2.49mb, 0次下载 )

发送私信

成都理工大学优秀讲师,教授,毕业于电子科技大学,拥有二十年开发经验,和十六年一线教学工作经验,发表学术论文十余篇。参与包括863项目等多个国家级科研项目,参与包括微信机器人(WeChaty)等多个开源项目的研发。擅长讲解Java、C#、C++等系列课程,其讲课方式独特,内容生动形象,风格通俗易懂,能够让学生触类旁通,极易掌握所讲知识点。

12
文章数
1
评论数
最近文章
eject