tonysa

　　昨天在SIS看到了一位朋友发表的强行视频软件贴，我要说的是所谓的强行视频软件只不是个骗局,说只要你知道对方的IP地址以及对方安装了摄像头，就能在对方不知情的情况下，打开对方视频了，这是用的什么漏洞，根据什么协议，又是什么原理能在端口被封的情况下仍然可以强行视频，如果这一切都是真的，那么安防软件还有什么用??

　　下面转一篇对类似软件的分析过程给大家看看（截自新浪一位IT人士的博客）：??

　　可笑的“远程视频嗅探器”??

　　前两天剑哥问起我是否能够破解一个名叫“远程视频嗅探器”的软件，传说可以在不经过对方的同意的情况下就直接看对方视频，并且这个软件是共享软件，需要注册后才能“查看”远程视频，注册的方法也很简单，用不同的IP访问这个软件的“官方网站”100次，可怜而且厚道的剑哥竟然真的通过断开连接ADSL100次进行了访问，结果仍然是注册失败(在这里对剑哥表示严重的友情同情)，通过在Google搜索“远程视频嗅探器”发现有很多论坛都有人在发同样的帖子和网址，勾引人们访问，网址是大家熟悉的.不蒙你蒙谁.cn/id=某某某这种形式(太木有创意，让人一看就不想访问)。

　　本人首先对这种“技术”的出现表现了惊诧，继而感到有些佩服，真的能实现单方面远程强行开启对方视频，那所谓的网络安全还有什么用？

　　（以下为分析）于是非常有兴致的表示想研究一下，剑哥将压缩包发给我。解压后发现有如下5个文件：远程视频嗅探器.exeCamera.dllnetdrv.dllvk.dll说明.txt其中“说明.txt”内容如下：本软件可以在不使用任何第三方通讯软件的前提下，直接看到对方视频。只要您知道对方的IP，对方安装了网络摄像头。很简单的操作，直接在软件的正下放输入对方IP地址，就能在对方不知情的情况下打开对方将的网络摄像头，远程视频直接发送到您的电脑里。时实观看远程视频。本软件涉及到个人隐私问题，仅供学习和研究使用。请广大网友不要用与非法途径，如因为使用本软件触犯法律，本站概不负责。

　　hxxp://www.***jw.cn/远程视频嗅探想看更多美女可以访问www.***sw.cn看这说明，尽管有一些错别字，但其中表达的意思还是很牛B的。于是开始简单分析。

　　首先习惯性的用卡巴杀了毒，木有报警。从文件名上来判断，远程视频嗅探器.exe是主执行文件，Camera.dll可以看作是和摄像头有关的一些函数封装，netdrv.dll可以看作是网络驱动有关的函数封装。

　　首先分析这三个Dll文件，通过ExeScope查看导出函数列表，发现Camera.dll文件有如下导出函数：Md5Class::`vftable'Md5Class::~Md5ClassMd5Class::DecodeMd5Class::EncodeMd5Class::GetFileMD5Md5Class::GetMD5Md5Class::HexChangeMd5Class::MD5_memcpyMd5Class::MD5_memsetMd5Class::Md5ClassMd5Class::Md5ClassMd5Class::MD5FinalMd5Class::MD5InitMd5Class::MD5TransformMd5Class::MD5UpdateMd5Class::operator=应该是一个MD5的导出类，但是文件名起个Camera.dll，多少有点文不对题，不过这也可以理解，很多程序员不希望别人猜出他程序的模块组成，名字可以乱起的。再看资源中，有自定义类型"DRV"的资源两个，一个的ID是6000，先将其导出为drv6000.dat(这个文件是重点)，另一个ID是6001,文件头是"MicrosoftC/C++programdatabase2.0"什么什么的，暂时没有猜出是干什么用的。另外还有一个自定义类型为"GA"的ID是6002的资源，文件头和6001的一样，暂时略过。再看netdrv.dll文件，没有导出函数，只有三个自定义的资源，一个是类型为"CA"的ID为7003的，文件头是"MZ"，这应该是一个EXE和Dll这种可执行文件，于是将其导出为ca7003.exe，还有一个类型为"IM"的ID为7004的资源，文件内容比较乱，文件内容如："皑蔼碍爱袄奥坝罢摆败颁。。。"十分象是一个汉字码表，用ASCII码为0x02的字符隔开了，这有虾米用处呢，实在奇怪。第三个资源是类型为"NET"的ID为7002的资源，文件头也是"MZ"，没啥说的，直接另存为net7002.exe(这时发现net7002.exe的图标和远程视频嗅探器.exe的图标一样，大小也相符，不过文件内容稍有差异)最后看看vk.dll文件，6.86KB，ExeScope认为不是一个合法的Dll或EXE文件，于是用UltraEdit将其打开，文件内容部分"DQogICAgyP3Krr7FvdrKp7b4uLS1ww0KDQogICAg"，貌似64进制编码，通过解码后那些内容把偶笑坏了，部分正如下三十九节失而复得"姐姐，姐姐。"姚君武大呼小叫的冲进了病房。。。汗。。这是什么玩意？通过Google搜索才知道，这是小说《纨绔才子》的一部分，呵呵，真是搞笑。

　　回头看"远程视频嗅探器.exe"，资源中也有几个自定义的，一个是类型为"DRIVE"的ID为134，另存为drive134.dat(这个文件很有意思，和上面的drv6000.dat有异曲同工之处)，经过比对发现和drv6000.dat文件一模一样，用UltraEdit打开后发现文件头是"FWS"，熟悉Flash的朋友可能知道这是什么文件了。呵呵，将后缀更名为swf，用播放器或IE打开，哈哈哈哈，原来是录制的一段视频，有号称是两个“美女”在镜头前活动的一段录像。

　　结合剑哥访问100次网站不能注册这个问题，再通过对这个“软件”的分析，可以大概看出，这应该是个比较搞笑的骗局，即使有人真的通过100次点击得到了注册码经过"注册"以后，主程序将资源中的SWF视频释放出来，再通过界面上的"远程视频窗口"播放出来，让使用者以为真的是看到了对方的视频，等视频播放完以后(很短的一截)，再来个"网络故障，连接断开"之类的错误或者重复播放这个假视频文件让使用者蒙在鼓里。

　　呵呵。创意不错，可惜细节上不太完美。不过尽管如此，这个"软件"应该是获得了成功，为其"官方网站"获得了不少的流量，听说第一个通过赠送,的骗局增加流量的网站居然进了Alxea前100就可以知道，网络的力量是很恐怖的。

　　再从我今天在论坛看到的帖子来看，有两位朋友所发的某某通还没有上面的软件做的完备，我登陆上那个网站看到所谓的视频教程，从聊天记录来看，对面的那位女孩是位上班族，而且正在上班过程中，结果所谓的强行视频成功后，出来的画面让人大跌眼镜，居然是56之类网站到处可见的网络唱歌的录制视频，是一位女子在唱歌，话说在上班的时候旁若无人的对着麦克风唱歌

　　其实从这个软件本身就可以看出，大多数的强行视频软件的体积都很小，大多只有一个主程序，外加几个dll（dll看起来还专业点，不怎么专业的就加了个ini），如此简陋的程序怎么可能实现如此复杂的功能，那么软件的目的在哪里，看到所谓的推广大家应该能了解一些吧，纯粹的骗取点击流量而已。

　　所以在这里提醒广大会员朋友，不要轻信此类的软件，免的一番辛苦后帮骗子赚了钱

对呀现在这样忽悠人的东西太多了啊。全是看我们菜鸟好欺负不是。以后一定努力。希望有一铁能够和LZ一样有能力揭穿这些把戏。还有就是现在不少骗你拉人来给你点击以便激活自己的帐号。靠我试了好久也没有成功。我看也是骗人的吧

jianghu1234

分析的很有道理，天上不会掉馅饼，没有那么好的事。自己千万不要上当。

laxihuo

很好！
我也把在《电脑报》看到的揭露“强行视频软件”的文章扫描后用OCR转换为文本，为了不占用太多版面就接在你的后面发表。
另外，请各位网友在转贴的时候，先自己试验确实有用再发表，免得误导和浪费其他网友的时间。

    从2007年末开始，互联网上出现了多个所谓视频嗅探、视频窥探、强行视频等软件．号称只须输入对方00号码或IP地址便能强行看到对方视频，并具有穿透防火墙、对方不易察觉等“强大”功能，引起了网民的广泛关注。《黑榜》也曾对此类软件予以曝光，证实为虚假软件。然而骗子们并不死心，本周居然有一家网站打着《电脑报》的名号公然行骗，下面我们一起来揭露骗子丑恶的嘴脸。
    根据读者举报的线索，我们来到这个所谓《视频嗅探专业版2．0》的网站，该网站主页大肆吹捧其视频嗅探软件的强大功能，号称能在不使用任何第三方通信软件的前提下，直接输入对方IP地
址即可看到对方实时视频。
    令人哭笑不得的是，此网站的“媒体报道”页面中公然窜改《电脑报》，将本报头版部分版面通过PS手段改为对其视频嗅探软件的推荐文章，谎用《电脑报》的名义来证实其软件的真实性。这种
行为极其恶劣，不仅严重损害污蔑了本报的声誉，更是由此导致不少网民中招被骗。
    此外，该站还若有其事的在网页中放有软件功能演示的画面，整个过程极为逼真．仅从演示来看难以分辨真假。既有《电脑报》的推荐。又有软件演示画面，一切看起来都天衣无缝．骗子为了编造
出一个“真实”的场景，可谓绞尽脑汁。
    此软件可免费下载，而想要获得注册码则必须为其在00、论坛上宣传100个IP地址。尽管没有注册码，但丝毫不会影响我们对这个“功能强大”的嗅探软件进行深入分析，是真是假一用便知。软件下载解压后分别有“Camera．dll”、“connect．1nl”、“netdrv．dll”、“vk．dll”、“说明．txt”、“远程视频嗅探器．exe”5个文件，其中“远程视频嗅探器．exe”就是此软件的主程序。
    我们用编程丁具eXeScope打开主程序，在“DRIVE"类下方有个134项，这时在右侧16进制文
件头部居然出现了Flash的FWS，迅速导出为1．dat后再重命名为1．swf，然后用播放器打开，原来是一段“美女视频”的录像，使用者在得到注册码后，程序随即将这段录制的Flash播放出来，让人误以为真是看到了对方的视频。
    由此看来,这个《远程视频嗅探器》与之前曾曝光过的其他视频窥探软件并无多少区别，都是为了骗取网站流量从而赚取广告费用，只不过骗子更加狡猾、骗术更加高超而已。冒用知名媒体推介自己、伪造演示画面迷惑用户、捏造用户现身说法……一系列以往仅在电视购物中出现的诈骗手段正逐渐向网络转移，因此打击网络诈骗刻不容缓。
    小新点评：
这些视频嗅探、窥探软件之所以能苟存于网络．与部分网民心术不正、好奇心太强．安全意识淡薄不无关系。对方使用什么系统，视频嗅探采用什么端口?如何突破防火墙?如何躲避防毒软件的监控?这些都是极其复杂的问题．绝非三招两式就能解决。况且目前也不可能出现功能如此强大的软件．此类软件不论如何鼓吹都无法逾越理论与实际的技术鸿沟。

jiao74

感谢楼主的精彩分析呀！强烈鄙视那些以此赚点击率和回帖的人！建议版主以后见到就删ID！

lengkuwolf

现在网上这种骗人的东西太多了，所以不要贪小便宜哈！

goo

原来如此呀，幸亏有人站出来说出真相，要不然又被忽悠了。

feng2008

确实是个骗人的东西，打开个网址，看下面状态栏显示了N个网站，明摆着是占点击率，有够无耻的

戒色老和尚

记得刚在网上看到这个软件的时候，还是有些好奇的，还差点模仿楼主所说的剑哥所使用的方法，但最终还是因为嫌太麻烦而放弃注册了，现在看到楼主的帖子，才知道这个软件其实是个骗局，感谢楼主

hai43meng

凡是上过几次网的人都知道,网址后面有ID=*的地址统统都是广告,是绝对不能点的