2018-QQ协议-分析文档

进程：10996,QQ:212520348,版本:QQ8.8

ecdhkey:02 52 17 72 FE 7C 6F B8 72 36 F6 48 01 2C 3C 52 2E 76 D8 DF B2 7C 92 BC FD

decodekey:3D 72 DB 1B 90 75 69 6A 5A 31 C6 61 7E 2F C2 32

server ip:183.62.127.13

[NO.0 0 163.177.87.199:8000 SEND 155 字节]

02

37 09 //代表 QQ 客户端采用的协议版本

08 25

1B AF 07 C5 B8 B4 23 59 08 FB E7 6A EB 43 70 98

CE 36 8E 51 8F 7D 83 4D 6C 70 4E D8 56 FC E9 66

13 39 EE 2F 12 70 6F D1 48 81 F9 1E F3 20 ED 08

F2 54 58 82 B9 04 8B 06 93 93 D2 06 42 C1 DE 0F

F4 25 B0 E1 B7 88 6E 1E 3A 94 40 74 C8 66 6C 60

[key:54 CC 9A 82 03 47 D5 0A FF D0 FB 90 C0 D8 4D A8]

#region 密文

00 18 00 16 00 01 // 固定,我们取名为 0825_fix1

00 00 04 53 00 00 00 01 00 00 15 85 //固定，同上，取名为 0825_fix2

0C AA CD 9C[QQ 号码:212520348]

00 00 00 00 00 00 00 01 14 00 1D 01 03 //固定，具体含义不清楚

00 19 //这个代表接下来会有 0x19（换成 10 进制是 25）个字节要出现

02 52 17 72 FE 7C 6F B8 72 36 F6 48 01 2C 3C 52

2E 76 D8 DF B2 7C 92 BC FD //25 个字节，这里是椭圆曲线加密算法的一部分。HDKey

#endregion

03

|Time:2017/4/12 星期三 下午 9:31:21|

[NO.1 0 163.177.87.199:8000 RECV 119 字节]

02

37 09 //代表 QQ 客户端采用的协议版本

9F CB 35 2B 44 07 65 1F F9 1C 9E 28 14 49 7C ED

51 74 EE 0A 27 E4 1A AE 69 D9 77 74 CF 1C 04 9C

E2 E3 24 EC 6C E2 92 06 26 94 F2 BD 02 9B E8 E8

15 3B 60 34 C2 01 33 78 CF 16 84 7C E2 6F AF B8

AE EA 90 A6 18 02 F9 23

[key:54 CC 9A 82 03 47 D5 0A FF D0 FB 90 C0 D8 4D A8]

#region 密文

00 //这里意思是无需更换登录的服务器。也就是无需重定向。要重定向的话，这里就是 01 了。

01 12 //固定

00 38 //令牌长度。标识着接下来的字节数为 56(0x38）个字节

68 B4 6A 08 78 AF A8 EA 88 07 AC E1 35 7A FD B5

0B 91 A4 D3 26 2C 4D 7C 2B 5B 07 38 FE D2 FD 2A

14 C4 94 7B E7 00 99 C3 9E F3 40 5F CA B4 25 B6

00 00 //固定？

03 10 00 04 //未知

A3 B1 57 C7 [ip 地址:163.177.87.199]当前服务器 IP

#endregion

03

|Time:2017/4/12 星期三 下午 9:31:21|

[NO.2 0 163.177.87.199:8000 SEND 622 字节]

02

37 09 //代表 QQ 客户端采用的协议版本

08 36

00 02

01 03 // tlv0103,ecdh 的 publikey

00 19 //总共是 25 个字节，选取了 711 曲线

02 52 17 72 FE 7C 6F B8 72 36 F6 48 01 2C 3C 52

2E 76 D8 DF B2 7C 92 BC FD //publikey

00 00

00 10 //16 字节

99 2D E9 3D D5 C2 89 7B 06 B3 6D EB 9A 84 96 E0 //疑似密钥

04 52 26 C1 29 DA 4F 4C 87 23 C3 3F 19 73 A4 64

79 21 59 DA 8C 3D 15 61 34 BC 6E BC 71 00 26 56

8C 41 B9 61 6B 16 D2 4B D5 89 EF C2 C4 4B 2A AF

AA B6 AA B8 89 DD AD A3 BD B6 0F 4F 6A 57 4D C0

5D C9 F4 38 44 11 50 25 23 92 41 60 88 9A 4D 6A

14 DB 70 95 30 DA 97 AD 06 35 4A CF 19 41 1C 03

90 38 93 F9 74 B7 68 BA 4F A1 4E 3F 74 4C E4 7A

EA 13 AD 4F C7 7C EF A2 83 65 2D CE 98 C4 0F F5

78 DD C0 8F AB 2F 1F A4 02 B0 F6 9B 15 77 25 FB

8B C6 7B 89 BF 1D 44 79 BC AB F8 11 E5 0C 01 5E

39 80 06 19 39 10 F0 DB D6 1A 3D FD 96 DF 4D C4

47 FF CA D6 90 68 70 D8 DA 14 B3 25 57 D5 9B 09

D6 CC 3B 5E 18 4A 77 5B AE D4 B4 44 D9 50 2F 24

4B 05 E3 E9 96 B1 CE E2 0F 85 DE B1 B4 9A AA 27

B4 11 B7 D2 E2 2A 8E 34 F0 E6 32 22 5D F6 3B 26

63 60 9B 85 EF 64 B4 3B 42 F1 4A 0A 78 29 26 51

F8 8A 52 E1 CC 1C B5 CB 2B EB 51 00 F0 7F CE AA

21 A5 85 1A 4D 93 3D 4A F7 09 5B F1 6A 79 4B F5

CE E8 A3 2F 32 75 66 CC 75 E8 5B BC A7 32 E5 D2

E0 CE 9B A2 0A CE 58 88 55 23 48 F4 2E 2B 98 9B

87 BC C4 6E E6 09 E8 1F 8A E5 CC 09 8E 7F 0E 56

7A 2F 29 5A 2E 30 5C 30 84 7E AE 1E 38 6F 36 F2

DF 66 6E 79 4B 6F 3B EE E3 DA 1C 4E 2F 6A 9F 76

[key:3D 72 DB 1B 90 75 69 6A 5A 31 C6 61 7E 2F C2 32]

#region 密文

01 12 //tlv_0112

00 38 //长度 56 字节

00 0F //固定

4D 53 2D 32 30 31 37 30 33 30 37 4C 55 4F 46 //计算机名 MS-20170307LUOF

00 05 //tlv_0006

00 06 //长度 6

00 02 //固定

0C AA CD 9C[QQ 号码:212520348]

00 06 //tlv_0006

00 78 //120 字节长度 下面这段用 passwordKey 解密:

（C1 E0 D6 AB B6 0A 24 9D 85 FE 44 CC 6C CC EF D4）

//120 字节 密文

4D 90 32 F6 C0 62 CE 0E 84 75 42 65 37 EC 88 24

07 25 A2 48 DB F7 4A B0

[key:C1 E0 D6 AB B6 0A 24 9D 85 FE 44 CC 6C CC EF D4]

#region 密文

01 FA 46 E1

00 02 //版本

0C AA CD 9C [QQ 号码:212520348]

00 00 04 53 //sso 的版本号

00 00 00 01 //固定

00 00 00 07 //可能为 0,也有可能是 03 或 04 等任何数字

00 00 00 07 //可能为 0,也有可能是 03 或 04 等任何数字

3B 21 38 EE [ip 地址:59.33.56.238] //登录服务器对应的 IP

00 00 00 00 00 00 00 00 //固定

00 10 //16 字节

CE 44 C5 5F F0 D8 72 25 73 5C 8E 73 CA 73 5A B2 //CRC 原信息 通过 CComputerIDGenerator::GenerateEx 生成

4E 77 39 49 32 2C 3E 6E 24 56 63 5D 24 24 72 7B //0836_key1 这里的生成算法中涉及到了 QQ 的 pid 线程 ID，线

程句柄。等等。。最后进行 md5。所以相对看来其实就是随机。

#endregion

30 92 0C C0 00 00 00 00 00 00 00 00 00 00 00 00 //CRC

02 //固定

2B 7B 1C 65 //CRC 校检码

00 10 //16 字节

CE 44 C5 5F F0 D8 72 25 73 5C 8E 73 CA 73 5A B2 //CRC 原信息

00 1A //Tag_001A

00 40 //长度:64

BD 30 E8 F6 E7 4E 58 EB C6 03 E1 9D 85 99 08 CF

47 15 38 A6 BF C9 0A A6 DB 97 37 25 6B C0 98 30

61 F7 E7 79 30 54 9E 31 4F B4 25 04 B0 CD 66 6F

10 2C FF CE 1D D3 54 95 81 13 C4 46 75 AB 0A 14

[key:4E 77 39 49 32 2C 3E 6E 24 56 63 5D 24 24 72 7B]

00 10 //16 字节

30 92 0C C0 00 00 00 00 00 00 00 00 00 00 00 00 //CRC

02 //固定

2B 7B 1C 65 //CRC 校检码

00 10 //16 字节

CE 44 C5 5F F0 D8 72 25 73 5C 8E 73 CA 73 5A B2 //CRC

#endregion

0C AA CD 9C [QQ 号码:212520348]

00 01 00 00 //固定

01 03 // tlv0103

00 14 //长度:20

00 01 //固定

00 10 //16 字节

C4 07 DB E5 20 31 17 E6 D5 A5 B3 80 D5 D5 4A C6

03 12 // tlv0312

00 05 //5 字节

05 08 // tlv0508

00 05 //5 字节

01 00 00 00 00 //固定

00 00 00 //固定

10 //？

00 62 //下面 98 字节

00 01 //固定 //officialKey 密钥。参与计算

AF AA 35 13 29 4C 63 8A 01 4A 12 BE DF 7F 44 FC

66 EB F8 D3 BD 60 19 CB 8C EF 38 3F C4 1C 0A 46 //CRC 原始信息码

BA BA 92 F2 //CRC32