QQ心跳包格式分析 监听局域网QQ号代码

以下我是抓取的QQ客户端向服务器发送的UDP包

00000000 02 11 5B 00 C6 38 A9 23 D8 07 B9 04 9A BA 69 A6   ..[..8.# ......i.
00000010 F4 AF 1E 60 BD B0 AE 56 DC FE F9 03               ...`...V ....

00000000 02 11 5B 00 C6 38 A9 D0 82 3C AD 82 7F FA 54 A9   ..[..8.. .<.. .T.
00000010 58 12 86 0B D4 89 50 51 12 69 C9 48 34 94 24 BB   X.....PQ .i.H4.$.
00000020 24 15 A6 B1 79 2C FC 03

在中国协议分析网上看到了相关的解释

02 开始是payload
11 5B 是qq版本号
00 C6就是心跳信息命令代码,(这个数据是会变化的)
38 A9 是令牌号(也会变化,好像是每次加1,有待考证)
23 D8 07 B9是QQ号

由上面的包格式我们不难得到局域网中其它用户的QQ号,将网卡设为混合模式,监听所有的数据,对UDP包进行分析,若端口在4000-4007之间,我们认定为QQ数据包.可按上面格式分析出QQ号码.C++代码如下:

#include <winsock2.h>
#include "stdio.h"
#pragma comment(lib,"WS2_32")

#define SIO_RCVALL 0x98000001

//IP 头 20字节
typedef struct _IPHeader
{
UCHAR iphVerLen;     //版本号和头长度
UCHAR ipTOS;         //服务类型
USHORT ipLength;      //封包总长度,即整个IP报的长度
USHORT ipID;          //封包标识,惟一标识发送的第一个数据报
USHORT ipFlags;       //标志
UCHAR ipTTL;         //生存时间
UCHAR ipProtocol;    //协议,TCP UDP ICMP等
USHORT ipChecksum;    //校验和
ULONG ipSource;      //源IP地址
ULONG ipDestination; //目的IP地址
}IPHeader,*PIPHeader;

//TCP 头结构 20字节
typedef struct _TCPHeader
{
USHORT sourcePort;        //16bits 源端口号
USHORT destinationPort;   //16bits 目的端口号
ULONG sequenceNumber;    //32bits 序列号
ULONG acknowledgeNumber; //32bits 确认号
UCHAR dataoffset;        //4bits 首部长度
UCHAR flags;             //6bits 标志位
USHORT windows;           //16bits 窗口大小
USHORT checksum;          //16bits 校验和
USHORT urgentPointer;     //16bits 紧急数据偏移量
}TCPHeader,*PTCPHeader;

//UDP 包头
typedef struct _UDPHeader
{
USHORT sourcePort;
USHORT destinationPort;
USHORT len;
USHORT checksum;
}UDPHeader,*PUDPHeader;

//加载网络库
void InitWinSock()
{
WSADATA wsaData;

if (WSAStartup(MAKEWORD(2, 2), &wsaData) != 0)
{
   printf("Windows sockets 2.2 startup failed!");
}

}

//将网络顺序转换成本机顺序
int ToLocal(int net)
{
byte bb[4];
int local;
bb[0]=(byte)(net&0xff);
bb[1]=(byte)((net>>8)&0xff);
bb[2]=(byte)((net>>16)&0xff);
bb[3]=(byte)((net>>24)&0xff);
local=(int)((bb[0]<<24)|(bb[1]<<16)|(bb[2]<<8)|(bb[3]));
return local;
}
void DecodeUDPPacket(char* pData,in_addr source,in_addr dest)
{
//得到源地址和目的地址
UDPHeader *pUDPHdr=(UDPHeader *)pData;
char szSourceIp[32],szDestIp[32];
strcpy(szSourceIp,::inet_ntoa(source));
strcpy(szDestIp,::inet_ntoa(dest));

//从4000开始为QQ使用端口,具体到多少,不知道,先定到7吧
switch(::ntohs(pUDPHdr->sourcePort))
{
case 4000:
case 4001:
case 4002:
case 4003:
case 4004:
case 4005:
case 4006:
case 4007:
   int qq[1];
   memcpy(qq,pData+4*sizeof(USHORT)+7,4);//具体数据见我另一篇文章,偏移量7处为QQ密码
   printf("源地址:%s 端口:%d QQ:%d 服务器:%s/n",szSourceIp,ntohs(pUDPHdr->sourcePort),ToLocal(qq[0]),szDestIp);
   break;
default:break;
}
}
void DecodeIPPacket(char *pData)
{
IPHeader *pIPHdr=(IPHeader *)pData;
in_addr source,dest;
source.S_un.S_addr=pIPHdr->ipSource;
dest.S_un.S_addr=pIPHdr->ipDestination;

int nHeaderLen=(pIPHdr->iphVerLen&0xf)*sizeof(ULONG);
switch(pIPHdr->ipProtocol)
{
case IPPROTO_TCP:
   break;
case IPPROTO_UDP:  
   DecodeUDPPacket(pData+nHeaderLen,source,dest);
   break;
default:break;
}
}
void main()
{
InitWinSock();
SOCKET sRaw=socket(AF_INET,SOCK_RAW,IPPROTO_IP);
//获取本机IP
char szHostName[56];
SOCKADDR_IN addr_in;
struct hostent *pHost;
gethostname(szHostName,56);
if((pHost=gethostbyname((char *)szHostName))==NULL)
   return;

//在调用ioctl之前,绑定
addr_in.sin_family=AF_INET;
addr_in.sin_port=htons(0);
memcpy(&addr_in.sin_addr.S_un.S_addr,pHost->h_addr_list[0],pHost->h_length);
printf("开始监听局域网中的QQ...../n");
if(bind(sRaw,(PSOCKADDR)&addr_in,sizeof(addr_in))==SOCKET_ERROR)
{
   printf("Bind error!/n");
   return;
}
//设置SIO_RCVAL控制代码,以便接收所有IP包
DWORD dwValue=1;
if(ioctlsocket(sRaw,SIO_RCVALL,&dwValue)!=0)
   return;
//开始收封包
char buf[1024];
int nRet;
while(true)
{
   nRet=recv(sRaw,buf,1024,0);
   if(nRet>0)
   {
    DecodeIPPacket(buf);
   }
}
closesocket(sRaw);

}

为原创,若转载请注明出处.