钉钉消息防撤回功能研究与实现-可查看历史消息[文件/图文/管理员/链接撤回拦截]

SwBack

已于 2023-09-14 00:07:19 修改

阅读量3.8k

点赞数 14

分类专栏：技术研究逆向工程文章标签：前端钉钉安全 javascript

于 2023-03-25 16:40:29 首次发布

本文链接：https://blog.csdn.net/qq_30817059/article/details/129768750

版权

技术研究同时被 2 个专栏收录

24 篇文章 1 订阅

订阅专栏

逆向工程

2 篇文章 0 订阅

订阅专栏

本文介绍了如何通过逆向工程破解钉钉消息撤回功能，涉及文件解压、密码获取、版本号处理、MD5加密以及JavaScript代码的修改，最终实现防止消息被撤回的效果。

摘要由CSDN通过智能技术生成

研究背景

由于在某个大学进行上课的时候,遇到的某个老师,总是习惯发过的消息,到第二天的时候撤回,我们用聊天工具的其中一个原因,不就是因为可以随时去查看发过的消息吗

想一想,当自己想要去看下聊天记录的时候,发现消息都被撤回,每天那么多的消息,难道我们还需要每一条都复制下来到本地吗？

以上是本次技术研究的初衷，并未涉及到任何敏感信息的获取,逆向,文中所有逆向操作，均未实际进行。

在这里插入图片描述

前置知识

废话不多说了，简单介绍下在本次实验中需要的基础知识，javascript , 逆向 逻辑思考能力

实际都是废话,因为有很多过程都已经被很多大佬总结出来了。这里就不去做太多的赘述。

实操过程

打开安装目录

首先我们打开钉钉的安装目录。右键钉钉图标,打开文件所在位置。依次进入main - current 文件夹下面

复制关键文件

另外如果有人的钉钉安装目录下存在current_new 文件,是因为钉钉更新的原因. 需要确定钉钉究竟使用的哪个对应的文件。

找到web_content.pak 或者web_content.dat 我这里是web_content.dat文件。

在这里插入图片描述

该文件是可以解压的,我们可以通过解压工具解压,然后通过搜索关键字 撤回了一条消息 来快速定位到关键的JS 代码。

这里我将这个文件复制出来到桌面， 千万不要直接修改该文件,即使非要如此,也一定要有备份。

你解压的时候发现存在密码，**密码长度是9位，由数字和小写字母组成。**不要尝试去暴力破解… 下图是暴力破解的时间。。

在这里插入图片描述

这里有两种获取密码的方式

第一种破解密码方式

由于这个文件钉钉需要不断的去读取这个文件,所以钉钉的程序中肯定有该密码或者说文件的加密方式。

那么我们可以通过逆向工具调试钉钉的主程序即DingtalkLauncher.exe

常用的工具Ollydbg IDA 这里就不做赘述了,这种方式，会的人不用我这里写,不会的人,写了照着做也整不出来。直接跳到第二种方式即可。

在这里插入图片描述

第二种方式

上面在说第一种方式的时候,说了可以通过逆向去破解钉钉的加密方式,同时也可以获取密码的格式.这里借助其他大佬的一段话。。

————————————————————————————————————————————————

ollydbg拉起DingTalk.exe后，
方法一、在CreateFileW下断点，F9运行多次后，当出现web_content.dat时，向上回溯搜索字符串 web_content.dat 的引用，可以找到相关代码
方法二、待模块MainFrame.dll加载后，在内存窗口模块MainFrame.dll中Ctrl+B查找 web_content.dat，找到后记录下字符串地址，然后到CPU窗口查找地址常量即可快速定位到相关代码。

6371973C    6A 09           push 0x9
6371973E    6A 03           push 0x3
63719740    8D4424 4C       lea eax,dword ptr ss:[esp+0x4C]
63719744    50              push eax
63719745    8D8C24 98000000 lea ecx,dword ptr ss:[esp+0x98]
6371974C    E8 EFE88AFE     call MainFram.61FC8040                   ; get_key

这里密码key长度是9，具体算法是 md5(version)[2:12],其中version可以从DingTask.exe的属性中拼接而来

以上内容来源于原文链接

————————————————————————————————————————————————

查看钉钉版本号

我这里的版本是7.0.11-Release.3139102

在这里插入图片描述

md5加密

可以到在线的md5加密网站 md5加密

我的版本号是 7.0.11-Release.3139102

在这里插入图片描述

将版本号进行md5加密,并截取[2,12] 共9位

tip: 索引从0开始

这里我截取的就是 77b8d48f8

在这里插入图片描述

解压文件,静态分析

在这里插入图片描述

我这里是借助VSCODE 进行搜索,结果如下,

可以看到变量的命名，这里我们继续搜索命名函数。

钉钉的群主或管理员撤回消息, XX 撤回消息. 撤回的图文消息, 单独文字消息都是调用不同的方法,所以如果想要防撤回所有消息格式,需要多次修改.

这里我就演示一种。

在这里插入图片描述

复制 pc_im_recalled_a_message ，继续搜索。

我们锁定文件名最像的那个,

在这里插入图片描述

打开之后,代码非常乱,是打包过的

我们美化一下, [格式化一下]

在这里插入图片描述

分析-修改-保存

可以通过JSON.stringify 进行打印,然后进行分析.

# 文本消息
{
    "atCustomRoleIds": { }, 
    "atOpenIds": { }, 
    "contentType": 1, 
    "textContent": {
        "templateData": [ ], 
        "templateId": "", 
        "text": "具体内容"
    }
}

在这里插入图片描述

所以撤回的文本消息就是 i.baseMessage.content.textContent.text

{
    "atCustomRoleIds": { }, 
    "atOpenIds": { }, 
    "attachments": [
        {
            "extension": {
                "imageUrl": "https://cdn2.jianshu.io/assets/web/recommend-author-03cc8798d5cc3f986e49cbcb2eb63079.png", 
                "picUrl": "@lQDPNDgdkcl3OmDMyMzIsME6THfi_fNeBBZJkRtAdQA", 
                "rule": "spiderbot", 
                "source_from": "1", 
                "source_url": "https://www.jianshu.com/recommendations/users", 
                "text": "在简书，仍有数百万创作者在坚持产出优质创作，有数千万读者在用心交流创作；众多精彩创作，只在简书看得到", 
                "title": "推荐作者 - 简书", 
                "url": "https://www.jianshu.com/recommendations/users"
            }, 
            "isPreload": false, 
            "size": "0", 
            "type": 16, 
            "url": "https://www.jianshu.com/recommendations/users"
        }
    ], 
    "contentType": 102
}

所以撤回链接的变量应该是: i.baseMessage.content.attachments[0].url
简单分析之后,我们在关键的位置，添加拦截代码。

如果想要实现每种消息的防撤回,那么应该添加判断该消息的种类. 如下:

## 文件必须下载过,本地才会存在
try {
	if(i.baseMessage.content.contentType == 1){
		s = " 撤回的消息为:" + i.baseMessage.content.textContent.text;
	}else if(i.baseMessage.content.contentType == 102){
		s = " 撤回的链接为:" + i.baseMessage.content.attachments[0].url;
	}else if(i.baseMessage.content.contentType == 2){
		s = " 撤回消息类型: 图片,暂时无法锁定所在路径";
		// s = " 撤回消息类型: 图片 :" + JSON.stringify(i.baseMessage);
	}else if(i.baseMessage.content.contentType == 3100){
		s = " 撤回图文消息为:" + i.baseMessage.content.attachments[0].extension.desc;
	}else if(i.baseMessage.content.contentType == 501){
		s = " 撤回文件名为:" + i.baseMessage.content.attachments[0].extension.f_name + "请在本地搜索[需要保存过]";
	}else{
		s = " 未识别出撤回的信息类型";
		//s =  JSON.stringify(i.baseMessage);
	}
} catch (e) {
	s = " 读取撤回消息失败。"
};

效果如下:
在这里插入图片描述

关于图片,经过我不断测试，发现只要消息阅读过,即使没有特意保存到本地,钉钉也会将其下载到你的电脑本地,
保存地址是 C:\Users\用户名\AppData\Roaming\DingTalk\584039362_v2\resource_cache\XX\*.png
可以根据修改时间手动查看图片。

C:\Users\用户名\AppData\Roaming\DingTalk\584039362_v2\resource_cache\\584039362_v2\ImageFiles\中是缩略图

最终修改文件为 chatbox-index.05b147d5.js

修改前关键代码

if(i.baseMessage.shieldStatus===X.s6.YES){let e;e=a?"dt_message_shield_tip_message_file":"dt_message_shield_tip_message",t=g.i18next.t(e)}else if(s){let e;e=a?"dt_message_recall_yourecallmessage_file":"pc_conv_list_you_recall_last_message",t=g.i18next.t(e)}else{let e;e=a?"dt_message_recall_message_file_format":"pc_im_recalled_a_message";let s=g.i18next.t(e);t=u.createElement("span",null,n," ",s)}return u.createElement("div",{className:"msg-recall-hint","data-msg-id":i.baseMessage.messageId},t,this.renderReEdit())}

修改后内容: 又增加了管理员防撤回

if(i.baseMessage.shieldStatus===X.s6.YES){let e;e=a?"dt_message_shield_tip_message_file":"dt_message_shield_tip_message",t=g.i18next.t(e);try{if(i.baseMessage.content.contentType==1){t=" 管理员撤回的消息为:"+i.baseMessage.content.textContent.text}else if(i.baseMessage.content.contentType==102){t=" 管理员撤回的链接为:"+i.baseMessage.content.attachments[0].url}else if(i.baseMessage.content.contentType==2){t=" 管理员撤回消息类型: 图片,暂时无法锁定所在路径"}else if(i.baseMessage.content.contentType==3100){t=" 管理员撤回图文消息为:"+i.baseMessage.content.attachments[0].extension.desc}else if(i.baseMessage.content.contentType==501){t=" 管理员撤回文件名为:"+i.baseMessage.content.attachments[0].extension.f_name+"请在本地搜索[需要保存过]"}else{t=" 未识别出管理员撤回的信息类型"}}catch(e){t=" 读取管理员撤回消息失败。"}}else if(s){let e;e=a?"dt_message_recall_yourecallmessage_file":"pc_conv_list_you_recall_last_message",t=g.i18next.t(e)}else{let e;e=a?"dt_message_recall_message_file_format":"pc_im_recalled_a_message";let s=g.i18next.t(e);try{if(i.baseMessage.content.contentType==1){s=" 撤回的消息为:"+i.baseMessage.content.textContent.text}else if(i.baseMessage.content.contentType==102){s=" 撤回的链接为:"+i.baseMessage.content.attachments[0].url}else if(i.baseMessage.content.contentType==2){s=" 撤回消息类型: 图片,暂时无法锁定所在路径"}else if(i.baseMessage.content.contentType==3100){s=" 撤回图文消息为:"+i.baseMessage.content.attachments[0].extension.desc}else if(i.baseMessage.content.contentType==501){s=" 撤回文件名为:"+i.baseMessage.content.attachments[0].extension.f_name+"请在本地搜索[需要保存过]"}else{s=" 未识别出撤回的信息类型"}}catch(e){s=" 读取撤回消息失败。"};t=u.createElement("span",null,n," [作者:SwBack] ",s)}