ДЕШИФРУЕМ ТРАФИК

[VORON]

Сообщение от DIMKa

столько накатал, а смысла нет. Тебе не математик нужен а реверсер.

зачем ты ето написал в етот топ??

[QaK]

Сообщение от VORON

скажите какие логи нужны! я дам!

давай попробуем отследить, для начала, когда второй байт ксора с 6D меняется на 6C.Сделай лог сидя юзая рапид шот, чтобы 2 раза был переход с 6D на 6C(хотя там неверно еще ValidatePosition вылезет, но все равно попробуй).

Йоптвоюмать!!! Гмм что-то все-таки вырисовывается =) взял свою разборку(которая подлиннее), решил проверить, как меняются первые 2 байта ксора, интересная весч получилась:

 18-F2 0000 3EE3 5487
>69-6D 0000 1E-DC 0000      28009
 71-9F 0000 203F 5487       +12
>75-6D 0000 7D-B1 0000      28021
 04-F2 0000 5D8E 5487       +26
>99-6D 0000 1E-DC 0000      28057
 9D-9F 0000 4352 5487       -44
>6D-6D 0000 7D-B1 0000      28013
 F0-F2 0000 3EE3 5487       +12
>79-6D 0000 1E-DC 0000      28025
 89-9F 0000 203F 5487       -36
>55-6D 0000 7D-B1 0000      27989
 DC-F2 0000 5D8E 5487       +20
>69-6D 0000 1E-DC 0000      28009
 B5-9F 0000 4352 5487       +20
>7D-6D 0000 7D-B1 0000      28029
 C8-F2 0000 3EE3 5487       -20
>69-6D 0000 1E-DC 0000      28009
 A1-9F 0000 203F 5487       -84
>15-6D 0000 7D-B1 0000      27925
 B4-F2 0000 5D8E 5487       +100
>79-6D 0000 1E-DC 0000      28025
 CD-9F 0000 4352 5487       -12
>6D-6D 0000 7D-B1 0000      28013
 A0-F2 0000 3EE3 5487       -20
>59-6D 0000 1E-DC 0000      27993
 F9-9F 0000 203F 5487       +28
>75-6D 0000 7D-B1 0000      28021
 8C-F2 0000 5D8E 5487       -12
>69-6D 0000 1E-DC 0000      28009
 E5-9F 0000 4352 5487       -204
>9D-6C 0000 7D-B1 0000      27805
 78-F3 0000 3EE3 5487       +204
>69-6D 0000 1E-DC 0000      28009
 11-9E 0000 203F 5487       +12
>75-6D 0000 7D-B1 0000      28021
 64-F3 0000 5D8E 5487       -28
>59-6D 0000 1E-DC 0000      27993
 3D-9E 0000 4352 5487       +20
>6D-6D 0000 7D-B1 0000      28013
 50-F3 0000 3EE3 5487       +12
>79-6D 0000 1E-DC 0000      28025
 29-9E 0000 203F 5487       -100
>15-6D 0000 7D-B1 0000      27925
 3C-F3 0000 5D8E 5487       +84
>69-6D 0000 1E-DC 0000      28009
 55-9E 0000 4352 5487       +20
>7D-6D 0000 7D-B1 0000      28029
 28-F3 0000 3EE3 5487       -20
>69-6D 0000 1E-DC 0000      28009
 41-9E 0000 203F 5487       -20
>55-6D 0000 7D-B1 0000      27989
 14-F3 0000 5D8E 5487

так вот, > обозначен ксор ключа,правый столбик - ХексТуИнт первых 2х байтов ксора,числа со знаком - разница между 2мя десятичными значениями. А теперь фишка: там где 2й байт меняется с 6D на 6C там происходит смена знака и дальше цифры(+\-) идут как зеркальное отображение предыдущего ряда:
до 6C:
(начало лога)+12+26-44+12-36(вот отсюда внимание) ---->
-------------> +20+20-20-84+100-12-20+28-12+204 -------->
(здесь 6С)
(конец лога)-20-20+20+84-100+12+20-28+12-204 <-------
воть такие пирожки с котятами, то есть 6C - это типа смена знака функции на противоположный ... что еще больше говорит в пользу того, что нужен лог с 2мя переходами на 6C. Видимо, когда значение функции переваливает за определенное число (ПРИМЕРНО 200) то приходится менять знак на противоположный и юзать обратную функцию, типа того. Пока все.

Идем дальше, решил взять первый лог(покороче который):

 A1-4F 0000 1C-5A 5487
>75-6D 0000 0D-1D 0000  28021
 D4-22 0000 11-47 5487  -28
>59-6D 0000 6E-70 0000  27993
 8D-4F 0000 7F-37 5487  +20
>6D-6D 0000 0D-1D 0000  28013
 E0-22 0000 72-2A 5487  +12
>79-6D 0000 6E-70 0000  28025
 99-4F 0000 1C-5A 5487  +28
>95-6C 0000 0D-1D 0000  28053
 0C-23 0000 11-47 5487  -44
>69-6D 0000 6E-70 0000  28009
 65-4E 0000 7F-37 5487  +20
>7D-6D 0000 0D-1D 0000  28029
 18-23 0000 72-2A 5487  -20
>69-6D 0000 6E-70 0000  28009
 71-4E 0000 1C-5A 5487  -20
>55-6D 0000 0D-1D 0000  27989
 24-23 0000 11-47 5487  +36
>79-6D 0000 6E-70 0000  28025
 5D-4E 0000 7F-37 5487

================================================== =======| (тут 6С)
Последовательность:===================(конец)+36-20-20+20-44+28+12+20-28(начало)
походит на часть предыдущей цепочкми:(конец лога)-20-20+20+84-100+12+20-28+12-204 <-------
куски похожи, но где 6С проскакивает 2 числа поменялись +84 на -44 и -100 на +28, значит 6С не обязательно изменяет знак последовательности, а фиг знает что и для чего, хотя раз последовательность походит, можно говорить о том, что используется, одна, конкретная функция всегда.

Хмм еще мысля, посмотрел на логи, примерно понял,что когда в цепочке (+\-) в результате сложения\вычитания второй байт меняется на 6С, то след раз мы берем число не из цепочки, а уравниваем так, чтобы след 2й байт был 6D.Но цепочка все равно постоянная, полюбому, VORON давай баааальшой кусочище лога с 2мя "переходами 6С" ща мы его :x

Хотя не, фигня в последнем абзаце, сначала мы берем число не из цепочки, прибавляем, получаем 6С, потом уравниваем опять до 6D, а вот когда мы это делаем, хз, надо понять...

В общем еще одна мысля есть, как определить зависимость от размера пакета, если таковая есть, пакет Say, сказать в общий чат n'ое количество одинаковых символов, и смотреть как изменяется шифрация, но , я думаю, это уже после того, как сам алгоритм поймем.

З.Ы. Пост дописываю в течении дня, поэтому возможно некоторое смысловое рассогласование :pardon: .

[VORON]

я думаю так.. что раз KEY2:=KEY1 xor F(d) , то F(d)- должна быть константа для одного итогоже D .. когда мы мониторим 10-ти байтовый пакет то для одного ит тогоже D=10 мы получем разный F(D)=6D,6C .. что противоречит определению функции.. ибо функция должна иметь одно единственное значение для одного значения аргумента.. в связи с чем хочется увидить общий вид того что мы ищем то?? KEY2:=KEY1 xor F(d) - некатит.. а что ж тогда?

[QaK]

Цепочку с 2мя 6С в студию, надо сначала определиться, циклично ли там все идет, потом напрягу друзей-математиков, они мб выведут функцию.

[VORON]

QAK , в том то и дело что нужно определиться что нам выводить то?? KEy2:=KEY1 xor F(d) - некатит... потомучто F(d) - должна быть константа для одного и тогоже аргумента... что нам искать то ваще??? общий вид формулы каков??? я думал раньше мы ищем f(d) но ето сам видиш- не так... ибо при одном и томже D F(d) разный выходит...

Добавлено спустя 7 часов 21 минуту 57 секунд:
выкладываю ЛОГ переговора в АСИ с ХКОРОМ! возможно ето поможет нам !
0:08:00: Ktif ye rfr ltkf&
0:08:08: Леша ну как дела?
0:08:19: впринципе готово)
0:08:22: всмысле прога)
0:08:39: но она пока не в очень удобной форме пакеты отображает...
0:09:44: а для моего случая ее применить можно? я не верю.. прога заранее алгоритм имеет у в кажой ситуации алгоритм свой.. я на 90% уверен что ета прога ничего не сделает для моего случая
0:10:15: тут алгоритм пишеш сам)
0:10:19: давай ее протестим для моего случая
0:10:26: давай...
0:10:29: хм
0:10:30: счас кину
0:10:35: давай
0:11:21: блин мне пишут твой клиент неподдерживает передачу...
0:11:43: makssys@inbox.ru
0:12:15: ftp://xkor.homeip.net/files/l2pdx.rar
0:12:48: пошло
0:14:08: пока качается расскажи как ей пользоваться?
0:14:38: слева пишеш пакеты для дешифровки по порядку, по одному пакету на строчку
0:14:56: внизу алгоритм дешифровки на паскале, и нажимаеш дешифровать
0:15:23: по умолчанию там стандартный алгоритм..
0:15:40: ету прогу в какой момент запускать?
0:15:53: сначала пакетхак или ее?
0:15:59: в момент когда захочеш её пользоваться)
0:16:18: она ничего не перехватывает)
0:16:28: когда уже трафик идет по полной ее можно включить и увидеть трафик?
0:16:28: ты сам в неё всё что надо записываеш)
0:16:45: ты сам в неё трафик пишеш)
0:16:55: а...
0:17:23: т.е. в нее я дам готовый лог!...
0:17:36: угу
0:17:42: но ток одного направления
0:18:03: и ключик начальный сам задаёш
0:18:22: так что пакеты в неё пишеш начиная с первого зашифрованного
0:20:39: леша а нафига прога ваще??? я магу разбирать ключ и експерементировать с ним с помощю самого паетхака отправив пакет на ЮЗ СКИЛ!.. и скриптом с к лючом всё что хачу то и делаю... нафига ваще ета отдельная прога?
0:21:10: тут сам пакеты задаёш...
0:21:21: для нормального исследования она лучше...
0:23:21: хм.. ну я попробую ее на логах выложенных в топе протестить!.. но хз чем она может помоч??? ведь нам надо узнать алгоритм.. монитоить изменение ключа я и без етой проги магу
0:23:52: ну а в ней надо строить алгоритм)
0:24:03: с моментально опробывать)
0:25:41: леша.. я вот к чему склоняюсь подскажи плиз..
0:28:21: при долгом мониторинге одного и тогоже пакета длинной 10 байтов ксор второго байта ключа прыгает с 6D на 6C .. ето означает что функция в формуле KEY2:=KEY1 xor F(d) , где D - длинна пакета - имеет разные значения для одного и тогоже D ( аргумента)... в етом то и проблема
0:28:53: насамом деле вс проще)
0:30:19: просто ключ инкрементиться на длинну пакета, поэтому при длинне пакета 10, каждые 25-26 пакетов будет на единицу меняться и второй байт а из за этого будет меняться его ксор)
0:32:39: леша .. что такое инкремент?? ето знак + сложить???
0:38:46: ты меня не понял... второй байт в ключе получается из 2-го байта в предыдущем ключе путем ксора на 6D .!! почти всегда.. но очень редко становится на 1 раз 6C и потом снова 6D... каков общий вид формулы без противоречий определению.. ?? F(d) - должно иметь всегда тока 1 значение для 1-го аргумента... а мы имеем 2 значения для одного аргумента..
0:39:58: очень редко это раз из 25ти или 26 случаев!
0:40:11: и я тя прекрасно понял!
0:40:27: в отличии от твоего понимания меня и шифрации...
0:42:22: леша я тя понял что 1 раз из 25-26 пакетов длинной 10 байтов.. но что мы ищем то??? я придумал формулу key2:=ke1 xor 6d для второго байта.. но она не всегда верна... а каков общий вид того что мы ищем???
0:43:21: чем то похож на то что по умолчанию в проге...
0:43:23: на что ксорить надо первый ключ чтобы получить второй? в общем виде.. с исползованием f(x)
0:44:02: а(в)
0:44:07: f(d)*
0:46:02: чтобы находить функцию... а не бред какойто... потомучто мы видим четко что для второго байта ксор на 6D идет... но не всегда.. 1 раз 6С поетому формула KEY2:=KEY1 xor F(d)- некатит!
0:47:13: зато катит KEY2:=(KEY1+x) xor F(d)
0:48:09: где x это длинна пакета или величина производная от этой длинны
0:49:00: key2:= (KEY1+f1(d)) xor f2(d)
0:49:13: )
0:50:16: нужно найти функции f1 и f2
0:50:24: таак я понимаю?
0:50:29: угу
0:51:20: во падлы бля.. руки им оторвать за такой алгоритм...
0:51:48: они 100 % ночами не спали думали как юзерам жизнь усложнить
0:51:57: )
0:53:37: леша можно я кусок нашей переговора в топ выложу ? КЮАК интерисуется работать не может толком.. ищет тожэ закономерности...
0:54:00: ок...
0:54:10: общий вид формулы выложу в топ? можно? с твоими фразами..
0:54:15: ок

Добавлено спустя 8 минут 32 секунды:
теперь мы поверим ХКОРУ.. и будем думать как найти Ф1 и Ф2 от значения Д.. чтобы заработало KEY2:=(KEY1+F1(d)) xor F2(d)...

[dmitry501]

Лучше бы прогу выложили. С исходниками....

=@

[VORON]

Сообщение от dmitry501

Лучше бы прогу выложили. С исходниками....

=@

зачем ты ето тут написал?

[QaK]

Сообщение от dmitry501

Лучше бы прогу выложили. С исходниками....

Димко ты б лучше посоветовал что-нить.

Добавлено спустя 27 минут 24 секунды:

Сообщение от VORON

что такое инкремент

Инкремент - увеличение, плусадын например =)
Декремент - уменьшение,минусадын =)

Добавлено спустя 6 минут 39 секунд:
VORON, слушай выложи все-таки лог подлинее с юзскилл(желательно тот же рапидшот) сидя в безлюдном месте.

Добавлено спустя 1 час 24 минуты 30 секунд:

Сообщение от VORON

QAK , в том то и дело что нужно определиться что нам выводить то??

Нам нужно вывести функцияю, зависящую от предыдущего значения ключа ксора и размера пакета
Обобщенно:
Key2=F(Key1,d);
F может быть и (KEY1+f1(d)) xor f2(d), а может быть еще какая-то. Не помню по какому предмету проходили вывод функции по заданным точкам, так вот там чем больше значений - тем точнее получается вывести формулу, поэтому заклинаю тебя, выложи плз еще длиннющий лог подобный предыдущим.

[VORON]

будет сделано

[QaK]

Решил еще раз разобрать цепочки, взял первые 2 байта и ХексТуИнт их

18-F2 0000 3EE3 5487======================61976==================-20
71-9F 0000 203F 5487======================40817==+44=================
04-F2 0000 5D8E 5487======================61956==================+236
9D-9F 0000 4352 5487======================40861==-20=================
F0-F2 0000 3EE3 5487======================62192===================-20
89-9F 0000 203F 5487======================40841==+44=================
DC-F2 0000 5D8E 5487======================62172===================-20
B5-9F 0000 4352 5487======================40885==-20=================
C8-F2 0000 3EE3 5487======================62152===================-20
A1-9F 0000 203F 5487======================40865==+44=================
B4-F2 0000 5D8E 5487======================62132===================-20
CD-9F 0000 4352 5487======================40909==+44=================
A0-F2 0000 3EE3 5487======================62112===================-20
F9-9F 0000 203F 5487======================40953==-20=================
8C-F2 0000 5D8E 5487======================62092==================+236
E5-9F 0000 4352 5487======================40933==-468================
78-F3 0000 3EE3 5487======================62328===================-20
11-9E 0000 203F 5487======================40465==+44=================
64-F3 0000 5D8E 5487======================62308===================-20
3D-9E 0000 4352 5487======================40509==-20=================
50-F3 0000 3EE3 5487======================62288===================-20
29-9E 0000 203F 5487======================40489==+44=================
3C-F3 0000 5D8E 5487======================62268===================-20
55-9E 0000 4352 5487======================40533==-20=================
28-F3 0000 3EE3 5487======================62248===================-20
41-9E 0000 203F 5487======================40513
14-F3 0000 5D8E 5487======================62228

получается так, что сначала идет одно число, потом другое, потом первое, чуть измененное, потом второе чуть измененное, числа со знаками показывают насколько изменится число(через одну строку), как видим тож меняются в определенной последовательности, но при 6C берется какое-то левое(не из последовательности) число, и дальше в том же духе.

Добавлено спустя 4 минуты 26 секунд:
Первая цепочка:

A1-4F 0000 1C-5A 5487=====================20385=-20================
D4-22 0000 11-47 5487=====================8916==================+12
8D-4F 0000 7F-37 5487=====================20365=+12================
E0-22 0000 72-2A 5487=====================8928==================+44
99-4F 0000 1C-5A 5487=====================20377=-8=================
0C-23 0000 11-47 5487=====================8972==================+12
65-4E 0000 7F-37 5487=====================20069=+12================
18-23 0000 72-2A 5487=====================8984==================+12
71-4E 0000 1C-5A 5487=====================20081=-20================
24-23 0000 11-47 5487=====================8996
5D-4E 0000 7F-37 5487=====================20061