当前位置: 首页 > 百家 > 正文

比特币安全之一 木马钱包盗币原理分析

          最近比特币的安全问题频发,我本想找个盗取比特币的钱包进行分析,恰巧此时网友smtp在彩云比特论坛发帖揭示LTC木马钱包,并提供了LTC木马钱包样本,我就逆向了木马钱包的程序,分析了钱包盗取LTC的原理,盗取方式同样可以用于比特币及其他山寨币。

        他在彩云比特论坛发帖地址:http://www.cybtc.com/thread-9367-1-1.html,且提醒大家从官网下载钱包,切莫下载非官网(各种网盘)、没签名的钱包。 

一、原理分析

         LTC木马钱包盗取LTC的方式很简单,查看钱包的接收地址时,隐藏钱包的真实接收地址,显示黑客的LTC地址,当向此接收地址发送LTC时,发送的LTC自然就到了黑客的钱包中,永远到不了这个钱包中。

         验证过程很简单,先安装LTC木马钱包,创建新的接收地址,然后卸载木马钱包,安装LTC官网钱包,查看接收地址,两者显示的地址是不同的,官网钱包显示的是真实地址,木马钱包显示的是黑客的LTC地址。

         钱包中不存在黑客的LTC地址,所以导出私钥失败。官网钱包显示的LTC地址是存在的,可以导出私钥。通过命令dumpprivkey可以验证。

         LTC官网钱包下载地址:https://download.litecoin.org/litecoin-0.8.7.2/win32/litecoin-0.8.7.2-win32-setup.exe,需要科学上网。

         木马钱包显示的黑客的LTC接收地址: 比特币安全之一 木马钱包盗币原理分析

         官网钱包显示的真实的LTC接收地址:比特币安全之一 木马钱包盗币原理分析

         两相比较,可以看出显示的LTC接收地址是不同的。  

二、钱包显示接收地址

        LTC的代码是开源的,黑客下载了LTC代码,做了些修改,重新编译代码,把程序打包,放到网盘中提供下载,盗取网友的LTC

        显示钱包的接收地址,LTCBTC的代码相同,主要是在列表中显示LTC地址,木马钱包通过修改列表中要显示的LTC地址的字符串,来达到隐藏真实地址的目的。

        显示LTC接收地址,主要涉及到2个模块:程序加载时显示接收地址、创建新接收地址。在这里先简单讲解如何在地址列表中显示地址。

        钱包的接收地址保存在是类CWalletmapAddressBook中,接收地址列表是类AddressTablePrivQList<AddressTableEntry> cachedAddressTable控件。 

        1、程序加载时显示接收地址:

        litcoin-qt加载时,在main函数中,创建类WalletModel的对象,在类WalletModel的构造函数中创建类AddressTableModel的对象,然后调用类AddressTablePrivrefreshAddressTable函数。函数refreshAddressTable遍历钱包的地址簿,显示在接收地址列表中。 

         2、创建新接收地址:

        在创建新地址对话框确认后,交给类EditAddressDialogaccept函数处理,调用saveCurrentRow函数,调用类AddressTableModeladdRow函数添加新的地址行。

        在addRow函数中,调用类CWalletSetAddressBook函数设置地址簿。

        在SetAddressBook函数中,发送NotifyAddressBookChanged信号,在信号处理函数NotifyAddressBookChanged中,调用类WalletModel 的方法updateAddressBook更新地址簿。

        在updateAddressBook函数中,调用类AddressTableModelupdateEntry函数,再调用类AddressTablePrivupdateEntry函数,从而把新地址插入到地址列表中。 

三、黑客修改的代码

         木马钱包就是修改了类AddressTablePriv的函数refreshAddressTable、函数updateEntry,在显示、插入地址之前修改显示的接收地址。

        1、函数refreshAddressTable

         在调用函数cachedAddressTable.append之前,加入修改显示地址的代码。 

        2、函数updateEntry

         CT_NEW时,在调用函数parent->beginInsertRows之后,在调用函数cachedAddressTable.insert之前,加入修改显示地址的代码。 

         黑客的LTC地址一共10个,按照显示、插入地址的顺序,依次显示这10个地址,超过10个地址时,循环显示。

         在木马钱包中定义了一个数组,指向这10LTC地址。

         在木马钱包中定义了一个整形变量,标识地址索引,显示此索引指向的LTC地址,然后递增,当等于10时,重置为0

         这是用IDA定位到的地址数组及索引。比特币安全之一 木马钱包盗币原理分析         实现这块功能对于码农来讲很简单。 

         黑客的LTC地址在钱包程序中不是明文保存的,而是经过加密的,显示LTC地址之前需要经过解密。通过逆向分析,其解密方法比较简单,反向操作即是加密。

        加密时,遍历LTC地址的34个字符,以0×32(‘2’)0x3C(‘<’)0×57(‘W’)3个字符为分界点,根据字符所在的不同范围,进行加减3操作。

        解密时进行反向操作。

        加解密规则:

  1. 当字符大于等于0×0,且小于等于0×32(‘2’),加密时字符加3,解密时字符减3。
  2. 当字符大于0×32(‘2’),且小于等于0x3C(‘<’),加密时字符加3,解密时字符减3。
  3. 当字符大于0x3C(‘<’),且小于等于0×57(‘W’),加密时字符减3,解密时字符加3。
  4. 当字符大于0×57(‘W’),加密时字符加3,解密时字符减3。

        规则⑴、⑵相同,可以合并,不明白为啥分开。 

         黑客的10LTC地址的明文、密文如下表:

LTC地址

加密后的LTC地址

LLaVR8Ab5gb6ybgjGxu9D2qisEgUCtJGvN ‘IIdSO;>e8je9|ejmD{x<A5tlvBjR@wGDyK’
LNMuPLzrL2SpZrcwC8US5vQZ6cwC2CRaoL ‘IKJxMI}uI5PsWufz@;RP8yNW9fz@5@OdrI’
LRD63cfZu7Wqt5JSvEC4PDrKByA7YkiZ4z ‘IOA96fiWx:Ttw8GPyB@7MAuH?|>:VnlW7}’
LMVwz1nQAX56iF8TDMqiK2mJW6PKxrV7wZ ‘IJSz}4qN>U89lC;QAJtlH5pGT9MH{uS:zW’
Ld1WBZyPAhdxsmQ8xeFgMrLuTNGwoXAmo8 ‘Ig4T?W|M>kg{vpN;{hCjJuIxQKDzrU>pr;’
LLHa7b4gz2U6BFKR9suztQQT35zbmoJbuF ‘IIEd:e7j}5R9?CHO<vx}wNNQ68}eprGexC’
LfpkSrZWYAvyTWB1ko2k3njcZQjsQoeYaQ ‘IisnPuWTV>y|QT?4nr5n6qmfWNmvNrhVdN’
LdgYTrsTcKmyF9nVB4uWSXUhbbXVJhPC9P ‘IgjVQuvQfHp|C<qS?7xTPURkeeUSGkM@<M’
LU6QjPAEKnczUfhkxebpKYY6GQxTeXmoUY ‘IR9NmM>BHqf}Rikn{hesHVV9DN{QhUprRV’
LMkNreKBaztuAetjx9o17WmhwwAB7T2gSf ‘IJnKuhH?d}wx>hwm{<r4:Tpkzz>?:Q5jPi’

         IDA反汇编可以清晰的看到加密后的黑客的LTC接收地址。比特币安全之一 木马钱包盗币原理分析

        这是用IDA逆向的解密地址的函数。比特币安全之一 木马钱包盗币原理分析 

四、结束语

          由此分析得出,这个盗币的钱包还是比较简单的。因为比特币、莱特币的代码是开源的,逆向时比较容易定位关键点。但最主要的还是熟悉比特币的代码、命令,这样可以帮助分析问题、实现原理。

         如果您丢币了,或者被盗币了,可以发送相关的软件给我,简单描述被盗的过程,我可以帮忙分析,揭示出来以防止别人被盗,我的邮箱地址:007longshao@gmail.com

         稍后我会逐步分析黑客对各种钱包、矿场、交易平台等发起的攻击、钓鱼、木马等,写成连载的文章。 

作者:     龙少

BTC捐赠地址:1CeeGr858xjLJQB3a9uLawHAdZ2qWjzTGT 

 

转自:巴比特

固定链接: 比特币安全之一 木马钱包盗币原理分析 | 三个硬币

【上一篇】
【下一篇】

该日志由 bitman 于2014年08月15日发表在 百家 分类下, 你可以发表评论,并在保留原文地址及作者的情况下引用到你的网站或博客。
原创文章转载请注明: 比特币安全之一 木马钱包盗币原理分析 | 三个硬币
关键字:

比特币安全之一 木马钱包盗币原理分析:等您坐沙发呢!

发表评论

快捷键:Ctrl+Enter