很多朋友都有過(guò)QQ號(hào)被盜的經(jīng)歷，即使用“密碼保護(hù)”功能找回來(lái)后，里面的Q幣也已經(jīng)被盜號(hào)者洗劫一空，碰到更惡毒的盜號(hào)者，還會(huì)將你的好友統(tǒng)統(tǒng)刪除，朋友們將會(huì)永遠(yuǎn)得離開(kāi)你。想過(guò)反擊嗎？什么，反擊？別開(kāi)玩笑了，我們只是菜鳥(niǎo)，不是黑客，我們只會(huì)看看網(wǎng)頁(yè)，聊聊天，連QQ號(hào)是怎么被盜的都不知道，還能把盜號(hào)者怎么樣呢？其實(shí)喜歡盜號(hào)的所謂“黑客”們，也只是利用了一些現(xiàn)成的盜號(hào)工具，只要我們了解了QQ號(hào)被盜的過(guò)程，就能作出相應(yīng)防范，甚至由守轉(zhuǎn)攻，給盜號(hào)者以致命一擊。

    一、知己知彼，盜號(hào)技術(shù)不再神秘

    如今，還在持續(xù)更新的QQ盜號(hào)軟件已經(jīng)所剩無(wú)幾，其中最為著名，流傳最廣的則非“啊拉QQ大盜”莫屬，目前絕大多數(shù)的QQ號(hào)被盜事件都是由這個(gè)軟件引起的。軟件的使用條件很簡(jiǎn)單，只要你有一個(gè)支持smtp發(fā)信的郵箱或者一個(gè)支持asp腳本的網(wǎng)頁(yè)空間即可。而且該木馬可以將盜取的QQ號(hào)自動(dòng)分為靚號(hào)和非靚號(hào)兩種，并將它們分別發(fā)送到不同的信箱中，這也是“啊拉QQ大盜”如此流行的原因之一。接下來(lái)，便讓我們先來(lái)了解一下其工作原理，以便從中找到反擊的良方。

    1、選擇盜號(hào)模式

    下載“啊拉QQ大盜”，解壓后有兩個(gè)文件：alaqq.exe、愛(ài)永恒，愛(ài)保姆qq.asp.其中alaqq.exe是“啊拉QQ大盜”的配置程序，愛(ài)永恒，愛(ài)保姆qq.asp是使用“網(wǎng)站收信”模式時(shí)需使用的文件。正式使用之前，還需要設(shè)置其參數(shù)。

    “郵箱收信”配置：運(yùn)行alaqq.exe，出現(xiàn)程序的配置界面。在“發(fā)信模式選擇”選項(xiàng)中選中“郵箱收信”，在“郵箱收信”填寫(xiě)電子郵箱地址（建議使用程序默認(rèn)的163.com網(wǎng)易的郵箱）。這里以郵箱n12345@163.com（密碼n_12345）為例來(lái)介紹“郵箱收信”模式時(shí)的配置，并進(jìn)行下文中的測(cè)試。此外，在“收信箱（靚）”和“收信箱（普）”中可以填入不同的郵箱地址用來(lái)接受QQ靚號(hào)和普通QQ號(hào)。然后在“發(fā)信服務(wù)器”下拉框中選擇自己郵箱相應(yīng)的smtp服務(wù)器，這里是smtp.163.com.最后填入發(fā)信箱的賬號(hào)、密碼、全稱(chēng)即可。

    設(shè)置完畢后，我們可以來(lái)測(cè)試一下填寫(xiě)的內(nèi)容是否正確，點(diǎn)擊下方“測(cè)試郵箱”按鈕，程序?qū)?huì)出現(xiàn)郵箱測(cè)試狀態(tài)。如果測(cè)試的項(xiàng)目都顯示成功，即可完成郵箱信息配置。

    “網(wǎng)站收信”配置：除了選擇“郵箱收信”模式之外，我們還可以選擇“網(wǎng)站收信”模式，讓盜取的QQ號(hào)碼自動(dòng)上傳到指定的網(wǎng)站空間。當(dāng)然，在使用之前，也需要做一些準(zhǔn)備工作。

    用FTP軟件將愛(ài)永恒，愛(ài)保姆qq.asp上傳支持ASP腳本的空間，運(yùn)行alaqq.exe，在“Asp接口地址”中輸入愛(ài)永恒，愛(ài)保姆qq.asp所在的URL地址，那么，當(dāng)木馬截獲QQ號(hào)碼信息后，就會(huì)將其保存于愛(ài)永恒，愛(ài)保姆qq.asp同目錄下的qq.txt文件中。

    2、設(shè)置木馬附加參數(shù)

    接下來(lái)我們進(jìn)行高級(jí)設(shè)置。如果勾選“運(yùn)行后關(guān)閉QQ”，對(duì)方一旦運(yùn)行“啊拉QQ大盜”生成的木馬，QQ將會(huì)在60秒后自動(dòng)關(guān)閉，當(dāng)對(duì)方再次登錄QQ后，其QQ號(hào)碼和密碼會(huì)被木馬所截獲，并發(fā)送到盜號(hào)者的郵箱或網(wǎng)站空間中。此外，如果希望該木馬被用于網(wǎng)吧環(huán)境，那就需要勾選“還原精靈自動(dòng)轉(zhuǎn)存”，以便系統(tǒng)重起后仍能運(yùn)行木馬。除這兩項(xiàng)外，其他保持默認(rèn)即可。

    3、盜取QQ號(hào)碼信息

    配置完“啊拉QQ大盜”，點(diǎn)擊程序界面中的“生成木馬”，即可生成一個(gè)能盜取QQ號(hào)碼的木馬程序。我們可以將該程序偽裝成圖片、小游戲，或者和其他軟件捆綁后進(jìn)行傳播。當(dāng)有人運(yùn)行相應(yīng)的文件后，木馬會(huì)隱藏到系統(tǒng)中，當(dāng)系統(tǒng)中有QQ登錄時(shí)，木馬便會(huì)開(kāi)始工作，將相關(guān)的號(hào)碼及密碼截取，并按照此前的設(shè)置，將這些信息發(fā)送到郵箱或者網(wǎng)站空間。

    二、練就慧眼，讓木馬在系統(tǒng)中無(wú)處可逃

    現(xiàn)在，我們已經(jīng)了解了“啊拉QQ大盜”的一般流程，那么如何才能從系統(tǒng)中發(fā)現(xiàn)“啊拉QQ大盜”呢？一般來(lái)說(shuō)，如果碰到了以下幾種情況，那就應(yīng)該小心了。

    ·QQ自動(dòng)關(guān)閉。
    ·運(yùn)行某一程序后其自身消失不見(jiàn)。
    ·運(yùn)行某一程序后殺毒軟件自動(dòng)關(guān)閉。
    ·訪問(wèn)殺毒軟件網(wǎng)站時(shí)瀏覽器被自動(dòng)關(guān)閉。
    ·如果殺毒軟件有郵件監(jiān)控功能的，出現(xiàn)程序發(fā)送郵件的警告框。
    ·安裝有網(wǎng)絡(luò)防火墻（例如天網(wǎng)防火墻），出現(xiàn)NTdhcp.exe訪問(wèn)網(wǎng)絡(luò)的警告。

    出現(xiàn)上述情況的一種或多種，系統(tǒng)就有可能已經(jīng)感染了“啊拉QQ大盜”。當(dāng)然，感染了木馬并不可怕，我們同樣可以將其從系統(tǒng)中清除出去。

    1、手工查殺木馬。發(fā)現(xiàn)系統(tǒng)感染了“啊拉QQ大盜”后我們可以手工將其清除。“啊拉QQ大盜”運(yùn)行后會(huì)在系統(tǒng)目錄中的system32文件夾下生成一個(gè)名為NTdhcp.exe的文件，并在注冊(cè)表的啟動(dòng)項(xiàng)中加入木馬的鍵值，以便每次系統(tǒng)啟動(dòng)都能運(yùn)行木馬。我們首先要做的就是運(yùn)行“任務(wù)管理器”，結(jié)束其中的木馬進(jìn)程“NTdhcp.exe”。然后打開(kāi)資源管理器中的“文件夾選項(xiàng)”，選擇其中的“查看”標(biāo)簽，將其中“隱藏受保護(hù)的操作系統(tǒng)文件”選項(xiàng)前面的勾去掉。接著進(jìn)入系統(tǒng)目錄中的system32文件夾，將NTdhcp.exe文件刪除。最后進(jìn)入注冊(cè)表刪除NTdhcp.exe鍵值，該鍵值位于HKEY_LOCAL_MACHINE\Software \Microsoft \Windows \Currentversion \Run.

    2、卸載木馬。卸載“啊拉QQ大盜”很簡(jiǎn)單，只要下載“啊拉QQ大盜”的配置程序，運(yùn)行后點(diǎn)擊其中的“卸載程序”按鈕即可將木馬完全清除出系統(tǒng)。

    三、以退為進(jìn)，給盜號(hào)者以致命一擊

    忙乎了半天，終于把系統(tǒng)中的“啊拉QQ大盜”徹底清除，那么，面對(duì)可惡的盜號(hào)者，我們是不是應(yīng)該給他一個(gè)教訓(xùn)呢？

    1、利用漏洞，由守轉(zhuǎn)攻

    這里所謂的“攻”，并不是直接入侵盜號(hào)者的電腦，相信這種“技術(shù)活”并不適合大家。這里只是從盜號(hào)軟件幾乎都存在的漏洞入手，從而給盜號(hào)者一個(gè)教訓(xùn)。

    那么這個(gè)漏洞是什么呢？

    從此前對(duì)“啊拉QQ大盜”的分析中可以看到，配置部分填寫(xiě)了收取QQ號(hào)碼信息郵件的郵箱賬號(hào)和密碼，而郵箱的賬號(hào)和密碼都是明文保存在木馬程序中的。因此，我們可以從生成的木馬程序中找到盜號(hào)者的郵箱賬號(hào)和密碼。進(jìn)而輕松控制盜號(hào)者的郵箱，讓盜號(hào)者偷雞不成反蝕把米。

    提示：以上漏洞僅存在于將QQ號(hào)碼信息以郵件發(fā)送方式的木馬，如果在配置“啊拉QQ大盜”的過(guò)程中選擇使用網(wǎng)站接收的方式則不存在該漏洞。

    2、網(wǎng)絡(luò)嗅探，反奪盜號(hào)者郵箱

    當(dāng)木馬截取到QQ號(hào)碼和密碼后，會(huì)將這些信息以電子郵件的形式發(fā)送到盜號(hào)者的郵箱，我們可以從這里入手，在木馬發(fā)送郵件的過(guò)程中將網(wǎng)絡(luò)數(shù)據(jù)包截取下來(lái)，這個(gè)被截獲的數(shù)據(jù)包中就含有盜號(hào)者郵箱的賬號(hào)和密碼。截取數(shù)據(jù)包時(shí)我們可以使用一些網(wǎng)絡(luò)嗅探軟件，這些嗅探軟件可以很輕松得截取數(shù)據(jù)包并自動(dòng)過(guò)濾出密碼信息。

    ·x-sniff

    x-sniff是一款命令行下的嗅探工具，嗅探能力十分強(qiáng)大，尤其適合嗅探數(shù)據(jù)包中的密碼信息。

    將下載下來(lái)的x-sniff解壓到某個(gè)目錄中，例如“c：\”，然后運(yùn)行“命令提示符”，在“命令提示符”中進(jìn)入x-sniff所在的目錄，然后輸入命令“xsiff.exe -pass -hide -logpass.log”即可（命令含義：在后臺(tái)運(yùn)行x-sniff，從數(shù)據(jù)包中過(guò)濾出密碼信息，并將嗅探到的密碼信息保存到同目錄下的pass.log文件中）。

    嗅探軟件設(shè)置完畢，我們就可以正常登錄QQ.此時(shí)，木馬也開(kāi)始運(yùn)行起來(lái)，但由于我們已經(jīng)運(yùn)行x-sniff，木馬發(fā)出的信息都將被截取。稍等片刻后，進(jìn)入x-sniff所在的文件夾，打開(kāi)pass.log，便可以發(fā)現(xiàn)x-sniff已經(jīng)成功嗅探到郵箱的帳戶和密碼。

    ·sinffer

    可能很多朋友對(duì)命令行下的東西都有一種恐懼感，所以我們可以使用圖形化的嗅探工具來(lái)進(jìn)行嗅探。例如適合新手使用的sinffer.

    運(yùn)行sinffer之前，我們需要安裝WinPcap驅(qū)動(dòng)，否則sinffer將不能正常運(yùn)行。

    運(yùn)行sinffer.首先我們需要為sinffer.exe指定一塊網(wǎng)卡，點(diǎn)擊工具欄上的網(wǎng)卡圖標(biāo)，在彈出的窗口中選擇自己使用的網(wǎng)卡，點(diǎn)“OK”后即可完成配置。確定以上配置后，點(diǎn)擊sinffer工具欄中的“開(kāi)始”按鈕，軟件即開(kāi)始了嗅探工作。

    接下來(lái)，我們正常登陸QQ，如果嗅探成功，就會(huì)在sinffer的界面中出現(xiàn)捕獲的數(shù)據(jù)包，其中郵箱賬號(hào)密碼信息被很清晰得羅列了出來(lái)。

    得到盜號(hào)者的郵箱賬號(hào)和密碼以后，我們可以將其中的QQ號(hào)碼信息郵件全部刪除，或者修改他的郵箱密碼，給盜號(hào)者一個(gè)教訓(xùn)，讓我們菜鳥(niǎo)也正義一把！