对腾讯TT代理webacc.exe的简单分析

联盟上domi发帖问“有没有对TT的教育网加速有兴趣的”
不想装软件，所以只是留了个邮箱，但是一直都没有人回复。

下了个tt，直接7zip解压，对出来的资源里的 [0] 再次用7zip解压，于是二进制文件资源拿到了

PEiD看了看\bin\webacc.exe，没有查出任何信息，从图标看，先是一个vs03以后的二进制文件默认图标，而且目录下还有vs8的runtime

OllyDBG载入。刚才PEiD没有任何信息，同样，这里看也没有加壳，直接查找资源，找到了127.0.0.1的字样，两处。
domi帖子里提到开的端口也是8081，直接转成16进制，1F91，搜常量
就在两个127.0.0.1的下边，就有 1F91 和 1F92 ，8081和8082 。。。

帖子里还提到，“进程里面只要有个叫TTraveler.exe的就可以用webacc.exe”
hmm, 再次搜索字符串资源，找到一个ttraveler.exe的，然后还有个 edu_acc_userinfo.qq.com 的字样。
还有个 %d.%d.%d.%d 显然是拼接ip，下边有个sprintf，上边有个 gethostbyname， 猜测可能是本地解析域名，然后以传参或者直接host的方式走代理吧。

暂时不管运作原理，先搞定进程检测的问题。
进入ttraveler.exe的地方。
直接下了个断点，但是貌似有反调试的部分，刚才od挂起时间有点长。重启，杀掉了sogou的进程

从 00401aa0开始的地方，是取出了进程列表，然后逐个比较进程名，看看有没有tt主进程的名称。

00401B0C   .  8D8424 201000>LEA EAX,DWORD PTR SS:[ESP+1020]
00401B13   >  68 A8834000   PUSH webacc.004083A8                     ;  ttraveler.exe
00401B18   .  50            PUSH EAX
00401B19   .  FFD3          CALL EBX

这里进行了比较
在call之前断下来，一个一个看进程，看看哪个好改，突然发现了tsvncache.exe，长度一致，方便
直接 d eax，然后改内存。

在 代码结束之后，返回到上一级

0040160B   > \E8 10030000   CALL webacc.00401920
00401610   .  85C0          TEST EAX,EAX
00401612   .  74 07         JE SHORT webacc.0040161B
00401614   .  E8 17000000   CALL webacc.00401630
00401619   .^ EB D6         JMP SHORT webacc.004015F1
0040161B   >  6A 00         PUSH 0                                   ; /ExitCode = 0
0040161D   .  FF15 04804000 CALL DWORD PTR DS:[<&KERNEL32.ExitProces>; \ExitProcess

test eax, eax，然后je到了退出的地方。
于是测试一下00401612 : je -> jne
下个断点，重来。
上边的一个jmp回跳，应该是定时检查，没细看。
直接改动看看。

C:\Documents and Settings\Administrator>netstat -ano |find "8081"
  TCP    127.0.0.1:8081         0.0.0.0:0              LISTENING       1028

C:\Documents and Settings\Administrator>netstat -ano |find "1028"
  TCP    127.0.0.1:8081         0.0.0.0:0              LISTENING       1028
  TCP    127.0.0.1:8082         0.0.0.0:0              LISTENING       1028

端口开了。基本可以认为进程检测过掉了，
测试浏览效果。
唔，不行，是一个squid的403页面。估计还是缺少什么头。
等啥时候弄一台机器有tt的，抓包试试吧。
基本改动的思路差不多了

不过，可以试试对刚才的进程检测的地方，直接把call改成mov eax, 1
再测试一下

C:\Documents and Settings\Administrator>netstat -ano |find "4136"
  TCP    127.0.0.1:8081         0.0.0.0:0              LISTENING       4136
  TCP    127.0.0.1:8082         0.0.0.0:0              LISTENING       4136

好吧，我试试改改端口。

我把 8081, 8082 改成 18081,18082，也就是46A1和46A2

0040559A  |.  66:C74424 48 >MOV WORD PTR SS:[ESP+48],1F91

004055B3  |.  66:C74424 48 >MOV WORD PTR SS:[ESP+48],1F92

C:\Documents and Settings\Administrator>netstat -ano |find "5192"
  TCP    127.0.0.1:18081        0.0.0.0:0              LISTENING       5192
  TCP    127.0.0.1:18082        0.0.0.0:0              LISTENING       5192

好吧，就这样吧
具体代理协议的验证细节，以后再说吧。

对端口的修改，请使用16进制编辑器，搜索 91 1f 和 92 1f，按你的需求改吧。(offset 0x559F, 0x55B8)

如果你愿意研究验证的部分，搜索 E8 10 03 00 00 改成 B8 01 00 00 00，就实现了刚才提到的call -> mov (offset 0x160a)
或者 je -> jnz 把紧下边的 74 07 改成 75 07 (offset 0x1612)

另外，我的webacc.exe 99656字节。