एक ऑटोप्सी कहानी: जावा एमई ट्रोजन को रिवर्स इंजीनियरिंग

दिन हमेशा की तरह शुरू हुआ। कुछ समय के लिए मैंने नोट्स के माध्यम से पत्ता रखने की कोशिश की, लेकिन सबसे क्रूर तरीके से बोरियत ने उन्हें उड़ा दिया। और अचानक एक चमत्कार हुआ। एक वास्तविक चमत्कार। मेरा मोबाइल फोन बीप कर रहा था, रिपोर्टिंग कर रहा था कि मुझे एक एसएमएस मिला है।



मैंने एक सेल फोन पकड़ा और इस एसएमएस को पढ़ना शुरू किया। और यहाँ ऐसा पाठ है:

पोस्टुपिल एमएमएस पोडरोक ओटी "कात्या" डालिया एबॉर्मा +7903 *******। पॉस्मोट्रेट : loadms.ru/606.jar

मैंने अपना नंबर तारांकन के साथ कवर किया।

बेशक, एक तलाक। लेकिन यह लानत है, खुजली वाले हाथ, छोटा जानवर स्पष्ट रूप से मेरे प्यारे जावा पर लिखा गया है, और मैं वास्तव में इसे चुनना चाहता हूं।



मैं ब्राउज़र खोलता हूं, निर्दिष्ट लिंक पर जाएं। एंटी-वायरस एक स्क्वील उठाता है और फ़ाइल को डाउनलोड करने से रोकता है।



फिर मुझे निक्स पर अद्भुत फ़ाइल डाउनलोड याद आया, जो मुझे उस समय मिले थे जब मैंने उबंटा का उपयोग किया था। इसे wget



कहा जाता है और सभी लोकप्रिय OS के लिए संस्करण हैं। Google, डाउनलोड: http://users.ugent.be/~bpuype/wget/



मैं इसे 606.jar डाउनलोड करता हूं (एंटीवायरस एक चीर में चुप है), इसे एक ज़िप और खरोंच शलजम के साथ अनपैक करें: सबसे दिलचस्प mms



उपनिर्देशिका में है और इसे Poster.class



कहा जाता है। .class



फाइलें जावा प्रोग्राम संकलित की जाती हैं। बस एक पाठ संपादक उन्हें नहीं खोलता है। ठीक है, अर्थात्, आप इसे खोल सकते हैं, लेकिन आप मानव-पढ़ने योग्य पाठ नहीं देख पाएंगे। लेकिन मैं चाहता हूँ ...



लेकिन, सौभाग्य से, जावा में एक अद्भुत तंत्र है: Reflection



, जो आपको संकलित कक्षाओं के लिए उनकी संरचना, विधि के नाम और हस्ताक्षर और अन्य उपयोगी जानकारी का एक गुच्छा परिभाषित करने की अनुमति देता है। इस तकनीक के आधार पर, डिकंपाइलर http://java.decompiler.free.fr/ काम करता है, जो आपको आसानी से और स्वाभाविक रूप से संकलित प्रोग्राम को रिवर्स करने की अनुमति देता है। मैंने क्या किया, मुश्किल से इसे डाउनलोड और इंस्टॉल करने का समय मिला।

UPD: टिप्पणियों में, उन्होंने सुझाव दिया कि प्रतिबिंब एपीआई यहां नहीं था, लेकिन यह रसोई बाइट कोड के विघटन के माध्यम से काम करती है।







मैं डिकंपाइलर के साथ mms/Poster.class



फ़ाइल खोलता हूं और वह सब कुछ देखता हूं जो आवश्यक है: कक्षा का पुनर्स्थापित स्रोत कोड।

सबसे पहली बात जो मैंने देखी है: कार्यक्रम एक जावा MIDLet है, अर्थात्, एक जावा अनुप्रयोग है जो विभिन्न उपकरणों पर काम करने के लिए डिज़ाइन किया गया है, जो अपेक्षाकृत कमजोर तकनीकी विशेषताओं जैसे मोबाइल फोन। टेलीफोन घोटालों के लिए क्या अपेक्षित है! इस तरह के एप्लिकेशन का काम रन () विधि के लिए कॉल से शुरू होता है। यहाँ यह है:







विधि बॉडी की पहली लाइन आपकी आंख को पकड़ती है:



if (sendSms())







कहा विधि के नाम से देखते हुए, कार्यक्रम कहीं एसएमएस भेजने की कोशिश कर रहा है। मैं sendSms()



विधि को sendSms()



:







पहला चरण यह जांचने के लिए है कि क्या कोई एसएमएस पहले ही ( isRecordstoreExists()



विधि में भेजा गया है, जहां मैंने एक आंख से रास्ते में नज़र रखी)। यदि यह पहले से ही था, तो अब (और उसके लिए धन्यवाद) नहीं भेजें।



अगला, 1.gif



फ़ाइल खुलती है, और एक पाठ के रूप में। ठीक है, ठीक है, शुरू से ही मुझे विश्वास नहीं था कि यह एक तस्वीर थी। वैसे, जब से इस तरह की बू शुरू हुई, मैंने इसे अपने पसंदीदा टेक्स्ट एडिटर नोटपैड ++ ( http://notepad-plus-plus.org/ ) से खोलने का फैसला किया। और यहाँ है कि मैंने इसमें क्या देखा:



[3116:9652516212 200][8464:1]







मैं किसी को भी नहीं जानता, लेकिन यह मेरे लिए बहुत स्पष्ट नहीं है कि इसका क्या अर्थ है। इसलिए, मैंने आगे SendSms () विधि का कोड पढ़ा।



डाउनस्ट्रीम, विधि पाठ में " [



", " :



" और " ]



" अक्षरों की स्थिति को निर्धारित करती है और substring



विधि का उपयोग करके उनके बीच की पंक्तियों के कुछ हिस्सों का चयन करती है।



अगली कुछ पंक्तियाँ एक विशेष एपीआई के माध्यम से एसएमएस बनाकर भेजती हैं। अब फ़ाइल में संख्याओं का अर्थ स्पष्ट हो गया है:

" 3116



" वह नंबर है जिस पर एसएमएस 9652516212 200



जा रहा है, " 9652516212 200



" संदेश का पाठ है। दूसरे कोष्ठक में, सब कुछ समान है: " 8464



" संख्या है, " 1



" पाठ है।



चौकस पाठक तुरंत पूछेगा: "क्या वास्तव में दो एसएमएस हैं?"। हाँ, दो। सामान्य तौर पर, उनमें से कोई भी संख्या हो सकती है - फ़ाइल में प्रपत्र [number:text]



जितने भी रिकॉर्ड होंगे। पढ़ने और भेजने की प्रक्रिया के लिए एक लूप में प्रदर्शन किया जाता है जब तक कि पूरी फ़ाइल अंत तक नहीं पढ़ी जाती है।



तब मुझे आश्चर्य हुआ कि "9652516212 200" संदेश का क्या अर्थ है, और मैं इस प्रश्न के साथ Google की ओर मुड़ गया। Google ने मुझे उत्तर दिया कि:

1. नंबर 3116 बीलाइन सेवा "MOBI.Money" से संबंधित है।
2. संदेश का प्रारूप " 9652516212 200
   
   
   
   " मेरे खाते से 965-251-6212 नंबर पर 200 रूबल के हस्तांतरण के अनुरोध से मेल खाता है ।

मैंने 8464 के साथ ऐसा ही किया।



तो यह रहस्य एक रहस्य बन कर रह गया। एक मोटा, क्रूर तलाक मेरे लिए लगभग एक घंटे की उत्सुक शोध बन गया।



PS मैं प्रस्तुति की भ्रमित शैली के लिए माफी माँगता हूँ: मुद्रित पाठ में अपने कोढ़ का वर्णन करने का यह मेरा पहला अनुभव है।