对于某云课堂密码的分析

flt

学校机房运用了某公司的云课堂，属于同一服务器分机只做显示输入且终端无硬盘的类型。终端在启动时可以打开设置，但是需要密码。观察到windows内的学生管理软件与该系统属于同公司，并且也存在设置密码。猜测二者密码可能互通，决定分析该程序来寻找可能的密码。

由于机房电脑配置实在太低，决定先从行为上分析密码相关的文件或注册表。
捕捉到大量相关行为，先筛选出该公司旗下的软件，发现了大量的操作。进一步筛选UI所在的进程（当时不确定是不是读密码的，相关进程太多了，只能挨个尝试）

软件在运行时的行为（约5s后）


清空后打开设置


观察到大量读取了mmr.ini，打开文件后，文件未加密但没有密码相关内容，部分内容如下：

[MMR]
CanSet=1
UseMMR=0
Term=x
AppSupport=QQPlayer.exe,mpc-hc.exe,StormPlayer.exe
IsWinServer=0

[QQPlayer.exe]
FileWhitelist_x=.mpg,.3gp,.avi,.flv,.m2ts,.mkv,.mp4,.mov,.rmvb,
FileWhitelist_l=.mpg,.3gp,.avi,.m2ts,.mp4,.mov,
FileWhitelist_a=.mpg,.3gp,.avi,.flv,.m2ts,.mkv,.mp4,.mov,.rmvb,
VideoWhitelist_x=AVC,VC-1,WMV2,RealVideo 4,MPEG-4 Visual,
AudioWhitelist_x=AAC,WMA,DTS,AC-3,MPEG Audio,
VideoWhitelist_l=AVC,VC-1,WMV2,MPEG-4 Visual,
AudioWhitelist_l=AAC,WMA,DTS,MPEG Audio,PCM,
VideoWhitelist_a=AVC,VC-1,WMV2,RealVideo 4,MPEG-4 Visual,
AudioWhitelist_a=AAC,WMA,DTS,AC-3,MPEG Audio,PCM,

..................

这个说不定就是设置的内容吧 :rggrg

随机输入密码尝试，发现除了上述操作和输入法操作外出现了新的文件：


打开文件，内容如下（密码部分隐藏）：

[Plain Text] 纯文本查看 复制代码

4f6f58e044********e6e04e2c9fc04

盲猜md5，将123456的md5导入覆盖（疑似的密码文件都没有保护，普通权限直接保存了:rggrg ），打开设置测试：

很好，密码直接md5处理都没加盐就保存了，文件还一点都没有保护。

接下来就是md5反查，somd5免费查询找到了原密码，就是软件公司的网址.........
经检验确定密码互通，学校不让带手机，那个状态截不了图。

顺便问一句，表情为啥都变成代码了发不出来？

Simpleton

沙发，支持

tiantangyiyun

支持呀  手里头的那个分析软件可以分享嘛

flt

tiantangyiyun 发表于 2023-3-12 09:37
支持呀  手里头的那个分析软件可以分享嘛

机房电脑配置太差，网络又差，软件打包不了。

hanhanbin

学会了，去试试我学校的云课堂~

blindcat

学习了，感谢分享

tiantangyiyun

flt 发表于 2023-3-12 09:39
机房电脑配置太差，网络又差，软件打包不了。

没关系 名字叫做火绒剑吧  我找找看看

meinianda

太会了楼主

zjh889

楼主分析的不错，俺们学习了！

赵磊磊

感谢楼主分享，学习了。