ДЕШИФРУЕМ ТРАФИК - Страница 21

Murdoc · 24.06.2008, 12:13

Цитата:

Сообщение от VORON

ДЛЛ прикреплена к посту етому..
при старте пакетхака (режим перехвата- скрытый)

Кроме режима перехвата какие опции должны быть включены/выключены? Обход смены ключа ксор? не дешифровывать трафик?

MHz · 24.06.2008, 22:17

У меня еще не сформировались четко вопросы, но все-таки попробую изложить их.
Да, все замечательно, у нас есть дамп и тулза для проверки алгоритма шифрации, т.е. остается дело за "малым" - угадать его.
Мне кажется что такой подход совсем не гарантирует конечный результат и может поглотить бесконечное кол-во времени. Отсюда вопросы.
1. xkor - как ты догадался, что надо перехватывать API вызов connect? Как можно догадаться какими функциями посылаются и принимаются пакеты? Это send и recv или другие?
2. Что посоветуете почитать про отладку процессов и дизассемблирование? С чего начать?

Т.е. мне не нравится "угадывать" я хочу "знать" алгоритм. Для этого придется разбираться с хакерством. На ассемблере я программировал но чуть-чуть. Посоветуйте куда копать?

Breadfan · 24.06.2008, 22:54

Цитата:

Сообщение от MHz

У меня еще не сформировались четко вопросы, но все-таки попробую изложить их.
Да, все замечательно, у нас есть дамп и тулза для проверки алгоритма шифрации, т.е. остается дело за "малым" - угадать его.
Мне кажется что такой подход совсем не гарантирует конечный результат и может поглотить бесконечное кол-во времени. Отсюда вопросы.
1. xkor - как ты догадался, что надо перехватывать API вызов connect? Как можно догадаться какими функциями посылаются и принимаются пакеты? Это send и recv или другие?
2. Что посоветуете почитать про отладку процессов и дизассемблирование? С чего начать?

Т.е. мне не нравится "угадывать" я хочу "знать" алгоритм. Для этого придется разбираться с хакерством. На ассемблере я программировал но чуть-чуть. Посоветуйте куда копать?

ммм екзешник и длл-ки в л2 упакованы Themida одной из последих версий, а это, как говорят, один из лучших крипторов на данный момент (конечно это не значит что абсолютно непреодолимый). И если все же у тебя получается снимать РАБОЧИЙ (aka Осмысленный, а не команды для VM) дамп с этих файлов , не мог бы ты выложить тутор по дампированию?

VORON · 28.06.2008, 15:00

Цитата:

Сообщение от Breadfan

Он самый....

Ну если тебе ето поможет.. то раньше там было так:

Код:

library newxor;

uses
  windows,
  Coding in 'Coding.pas';

type
  TXorCoding = class(TCodingClass)
  private
    keyLen: Byte;
  public
    constructor Create;
    procedure InitKey(const XorKey; Interlude: Boolean = False);override;
    procedure DecryptGP(var Data; const Size: Word);override;
    procedure EncryptGP(var Data; const Size: Word);override;
  end;

  TXorCodingOut = class(TCodingClass)
  private
    keyLen: Byte;
  public
    constructor Create;
    procedure InitKey(const XorKey; Interlude: Boolean = False);override;
    procedure DecryptGP(var Data; const Size: Word);override;
    procedure EncryptGP(var Data; const Size: Word);override;
  end;

function CreateCoding(Value:PCodingClass): HRESULT; stdcall;
begin
  Result:=0;
  try
    Value^:=TXorCoding.Create;
  except
    Result:=-1;
    Value^:=nil;
  end;
end;

function CreateCodingOut(Value:PCodingClass): HRESULT; stdcall;
begin
  Result:=0;
  try
    Value^:=TXorCodingOut.Create;
  except
    Result:=-1;
    Value^:=nil;
  end;
end;

exports CreateCoding, CreateCodingOut;

{ TXorCoding }

constructor TXorCoding.Create();
begin
  FillChar(GKeyS[0],SizeOf(GKeyS),0);
  FillChar(GKeyR[0],SizeOf(GKeyR),0);
  keyLen := 0;
End;

procedure TXorCoding.DecryptGP(var Data; const Size: Word);
var
  k:integer;
  pck:array[0..$4FFF] of Byte absolute Data;
begin
  for k:=size-1 downto 1 do
    pck[k]:=pck[k] xor GKeyR[k and keyLen] xor pck[k-1];
  if size<>0 then pck[0]:=pck[0] xor GKeyR[0];
  Inc(PLongWord(@GKeyR[0])^,size);
  PLongWord(@GKeyR[4])^:=PLongWord(@GKeyR[4])^ xor PLongWord(@GKeyR[0])^;
end;

procedure TXorCoding.EncryptGP(var Data; const Size: Word);
var
  i:integer;
  pck:array[0..$4FFF] of Byte absolute Data;
begin
  if size<>0 then pck[0]:=pck[0] xor GKeyS[0];
  for i:=1 to size-1 do
    pck[i]:=pck[i] xor GKeyS[i and keyLen] xor pck[i-1];
  Inc(PLongWord(@GKeyS[keyLen-7])^,size);
  PLongWord(@GKeyS[4])^:=PLongWord(@GKeyS[4])^ xor PLongWord(@GKeyS[0])^;
end;

procedure TXorCoding.InitKey(const XorKey; Interlude: Boolean = False);
var key2:array[0..15] of Byte;
begin
  keyLen:=7;
  Move(XorKey,key2,4);
  key2[0]:=key2[0]xor $82;
  key2[1]:=key2[1]xor $93;
  key2[4]:=key2[2]xor $1a;
  key2[5]:=key2[3]xor $41;
  key2[2]:=0;
  key2[3]:=0;
  key2[6]:=0;
  key2[7]:=0;
  Move(key2,GKeyS,16);
  Move(key2,GKeyR,16);
end;

{ TXorCodingOut }

constructor TXorCodingOut.Create;
begin
  FillChar(GKeyS[0],SizeOf(GKeyS),0);
  FillChar(GKeyR[0],SizeOf(GKeyR),0);
  keyLen := 0;
end;

procedure TXorCodingOut.DecryptGP(var Data; const Size: Word);
var
  k:integer;
  pck:array[0..$4FFF] of Byte absolute Data;
  b: Integer;
begin
  for k:=size-1 downto 1 do
    pck[k]:=pck[k] xor GKeyR[k and keyLen] xor pck[k-1];
  if size<>0 then pck[0]:=pck[0] xor GKeyR[0];

  b:=0;
  for k:=1 to size-1 do b:=b+pck[k];

  if size>1 then begin
    GKeyR[0]:=GKeyR[0] xor b;
    if (b<=$FF) then GKeyR[1]:=GKeyR[1] xor (b+size)
    else GKeyR[1]:=GKeyR[1] xor (b shr 8);

    PLongWord(@GKeyR[4])^:=PLongWord(@GKeyR[4])^ xor PLongWord(@GKeyR[0])^;
    if (b<=$ff) and ((b+size)>$FF) then GKeyR[2]:=GKeyR[2] xor 1;

    if(b<=$ff)then GKeyR[5]:=GKeyR[5] xor (size + b);
  end;
end;

procedure TXorCodingOut.EncryptGP(var Data; const Size: Word);
var
  i:integer;
  pck:array[0..$4FFF] of Byte absolute Data;
  b: Integer;
begin
  b:=0;
  for i:=1 to size-1 do b:=b+pck[i];

  if size<>0 then pck[0]:=pck[0] xor GKeyS[0];
  for i:=1 to size-1 do
    pck[i]:=pck[i] xor GKeyS[i and keyLen] xor pck[i-1];

  if size>1 then begin
    GKeyS[0]:=GKeyS[0] xor b;
    if(b<=$FF)then GKeyS[1]:=GKeyS[1] xor (b+size)
    else GKeyS[1]:=GKeyS[1] xor (b shr 8);

    PLongWord(@GKeyS[4])^:=PLongWord(@GKeyS[4])^ xor PLongWord(@GKeyS[0])^;
    if(b<=$ff)and(b+size>$FF)then GKeyS[2]:=GKeyS[2] xor 1;

    if(b<=$ff)then GKeyS[5]:=GKeyS[5] xor (size + b);
  end;
end;

procedure TXorCodingOut.InitKey(const XorKey; Interlude: Boolean);
var key2:array[0..15] of Byte;
begin
  keyLen:=7;
  Move(XorKey,key2,4);
  key2[0]:=key2[0]xor $82;
  key2[1]:=key2[1]xor $93;
  key2[4]:=key2[2]xor $1a;
  key2[5]:=key2[3]xor $41;
  key2[2]:=0;
  key2[3]:=0;
  key2[6]:=0;
  key2[7]:=0;
  Move(key2,GKeyS,16);
  Move(key2,GKeyR,16);
end;

begin

end.

они оставили входящий траф без изменения.. способ вычисления начального ключа- тоже не тронули.. изменился тока алгоритм шифрации исходящего трафика..
сломать его- для меня непосильная задача покачто... буду рад услышать что у тебя что то получилось..

Breadfan · 28.06.2008, 15:04

Цитата:

... буду рад услышать что у тебя что то получилось..

Я не один, с нами nezabudkin

Уберите название серва)

VORON · 28.06.2008, 15:13

Цитата:

Сообщение от Breadfan

Я не один, с нами nezabudkin

Уберите название серва)

из наблюдений за исходящим трафиком обнаружил лиш то что лог однобайтового пакета константа- значит ключ не меняется при однобайтовом исходящем пакете.. больше мыслей нету-(((