阿拉qq大盗里的发信服务器是什么，发信服务器怎么设置

阿拉qq大盗里的发信服务器，简单说就是木马盗取QQ密码后，用来把密码“邮寄”给盗号者的电子邮箱SMTP服务器或后台上传地址，它是整个盗号链条里负责传递赃物的那一环。

很多人研究这个工具，其实是中了招想知道自己密码被发去了哪，或者出于安全防护的角度想搞懂原理，无论哪种情况，这篇文章直接把发信服务器的门道拆开讲清楚，从它的工作方式到具体设置路径，再到现实中怎么应对,一次说明白。

阿拉qq大盗的发信服务器到底是个什么东西

阿拉qq大盗是个老牌盗号木马生成器，操作者用它能生成一个伪装好的小马，把马发给受害者运行后，QQ号码和密码就会被悄悄抓走，抓走之后，数据不能烂在本地，必须有个“收货地址”,这个收货地址就是发信服务器。

发信服务器的核心逻辑

通俗点讲,木马的流程就像偷快递的小偷：

• 第一步，木马在受害者电脑上运行,把键盘记录或内存抓取的QQ账号密码整理成一段文本。
• 第二步，木马调用系统自带的邮件发送组件（通常是CDO组件，微软Outlook的底层API）,把这段文本作为邮件正文发出去。
• 第三步，收信人就是盗号者提前设置好的邮箱地址，而这封邮件在发送时，必须经过一个SMTP服务器,也就是发信服务器。

业内专家指出，绝大多数木马发信走的都是公共邮件服务商的SMTP接口，比如126邮箱、163邮箱、QQ邮箱的SMTP地址，原因是这些服务免费、稳定、容易注册,而且不引人注意。

发信服务器和远程抓信箱的区别

阿拉qq大盗的版本迭代里，老版本用邮箱发信这种方式多一些，新版本或变种通常加上了“远程抓信”功能，也就是把密码直接POST到一个网页地址上，这两种方式本质都是发信服务器,但机制有区别：

很多人问“阿拉qq大盗发信服务器在哪看”，问的就是前者,也就是配置SMTP参数的那个输入框。

阿拉qq大盗发信服务器在哪看和怎么配置

如果你手头有这么一个工具包，或者你是个安全分析人员拿到了样本，想找到发信服务器的配置位置,路径基本是固定的。

生成端的配置入口

阿拉qq大盗的生成器界面通常长这样：左边一堆功能选项，右边是参数填写区，发信服务器的配置不在主界面，需要点开一个叫“收信设置”或“发信配置”的选项卡,里面会有以下输入项：

• SMTP服务器地址：一般是smtp.126.com、smtp.163.com这种，也有用smtp.qq.com的，但QQ邮箱的SMTP需要开启授权码服务才能发信，盗号者嫌麻烦,用126或163的多。
• 发信邮箱账号：一个特意注册的电子邮箱,用来作为发件人。
• 邮箱密码或授权码：验证身份用的，如果用的是网易系邮箱，填的是客户端授权码,不是登录密码。
• 收信邮箱地址：这个才是真正接收盗号密码的“藏匿点”，往往和发信邮箱是同一个,或者是一个海外邮箱。
• 备用发信通道：部分版本还有一个“备用发信地址”或“备用服务器”的空白框，一旦主发信服务器被拉黑,自动切换备用。

木马样本里的提取方法

如果你是安全小白，想从已经运行过的木马文件里抠出服务器地址，操作也不难，用文本编辑器（比如Notepad++）直接打开样本文件，搜索关键词smtp、mail、pwd、passwd，往往能直接看到明文的SMTP配置，多数情况下，盗号工具的作者不会对这些配置加密，直接用ASCII字符串存储，只要搜索完毕就能找到类似smtp.126.com的明文地址。

如果搜索不到，说明作者做了简单的加密处理，通常是把字符串倒序，或者用一次简单的XOR异或，这种情况下，用网上现成的字符串提取工具（比如

Strings工具）跑一遍,也能把关键的URL和邮箱地址捞出来。

现实中怎么应对这种盗号木马的威胁

了解了发信服务器的原理，不是为了教谁去盗号，而是为了让你更清楚地知道这类工具的运作方式,从而做好防范和追踪。

中招后如何追溯密码去向

如果你的QQ号确实被盗了，并且怀疑是阿拉qq大盗这类工具干的，想查密码被发了哪里,可以考虑以下操作：

• 查杀木马：先把自己电脑里的马杀掉，用火绒或360的扫描全盘模式，把生成的盗号木马清理干净,防止继续往外发信。
• 检查QQ安全中心：看看QQ的登录设备和登录记录,排查异地登录的IP段。
• 官方申诉通道：直接去腾讯QQ安全中心提交申诉，冻结账号，修改密码和密保手机,这是最高效的止损方式。
• 反查邮件来源：如果你能确定对方用的哪个收件邮箱，可以尝试向该邮箱服务商举报，但这属于事后追诉,成功率不高。

行业共识认为，大部分这类木马盗号最终是为了倒卖QQ号或用于诈骗，密码发到发信服务器后，盗号者不可能整天蹲在邮箱前手动收信，他们通常会设置一个自动转发规则，把邮件实时转发到即时通讯工具上（比如Telegram Bot或微信的WxPusher），这就需要额外的服务器配置，但阿拉qq大盗本体不具备这种功能,只能靠盗号者自己加工具。

如何防止自己的邮箱或服务器被当作发信跳板

有时候盗号者会入侵别人的网站服务器，把木马的发信服务器指向这台被攻陷的服务器，防止自己沦为帮凶,核心是两件事：

• 关闭服务器不必要的邮件服务：检查服务器的25端口是否开放，如果不需要用邮件功能,直接防火墙封掉25端口。
• 严格管理邮箱授权码：如果你确实在用公共邮箱的SMTP服务，只开必要的情境使用,不用的客户端授权码立即撤销。

阿拉qq大盗发信服务器相关常见问题

阿拉qq大盗的收信服务器能用QQ邮箱吗

能用，但没人愿意用，QQ邮箱的SMTP服务器（smtp.qq.com）强制要求开启“SMTP发信功能”并生成独立的授权码，这个授权码需要在QQ邮箱网页端的设置里二次认证，盗号者为了隐形，往往选择注册门槛更低、验证更宽松的国际邮箱或国内老牌邮箱，多数情况下，他们用一次性邮箱地址，用完即弃，或者用保加利亚、俄罗斯等地的小众邮件服务商。

阿拉qq大盗发信服务器设置错了会怎样

设置错了，木马依然能正常运行，受害者感觉不到任何异样，但盗号者收不到邮件，这种情况下，被盗的QQ密码会以明文形式暂存在受害者的临时目录或系统缓存中，等待时机发送，如果一直发送失败，有的版本会自动把密码追加写入一个本地txt文件，这份文件就在受害者的电脑磁盘上，后续可能被其他杀毒软件当作可疑文件标记或直接清空，所以在实际案件中，追踪这类木马很多时候不是靠邮件记录,而是靠受害电脑里的残留日志文件。

阿拉qq大盗的发信服务器和远程抓信地址哪个更安全

从盗号者的视角看，远程抓信地址（也就是后台上传URL）更安全，原因有三点：第一，SMTP邮件发信会在邮件头里留下原始IP和时间戳，通过邮件服务商的查询接口可以追溯到登录IP，容易暴露盗号者的真实网络环境，第二，邮箱服务商有反垃圾策略，大量高频发送密码邮件容易触发风控导致封号，第三，远程POST请求直接走加密的HTTPS协议，数据到达服务器后被盗号者随时读取日志或数据库，查起来比邮件麻烦得多，这也是阿拉qq大盗后续版本中,远程抓信功能越来越受盗号者偏爱的原因。

归根结底，发信服务器在这个工具里扮演的角色就是个“快递发货点”，它可以是邮箱的SMTP，也可以是一个网页上传地址，不管形态怎么变，本质都是盗号者接收赃物的中转站，理解了这一层，你在配置界面看到的那些框框就不再神秘了，对于普通用户，最该记住的一点就是：只要不运行来路不明的exe文件，这个发信配置做得再隐蔽,都和你没关系。