👨🏿‍💼 🤵🏿 👩‍👦 चालक में विसर्जन: निक्वेस्ट-2019 कार्य के उदाहरण का उपयोग करके रिवर्स का सामान्य सिद्धांत 🙌 🎁 🐓

सभी प्रोग्रामर की तरह, आपको कोड पसंद है। आप और वह सबसे अच्छे दोस्त हैं। लेकिन जीवन में जल्दी या बाद में ऐसा क्षण आएगा जब आपके साथ कोई कोड नहीं है। हां, यह विश्वास करना कठिन है, लेकिन आपके बीच एक बड़ा अंतर होगा: आप बाहर हैं, और वह अंदर से गहरा है। आशाहीनता से, आप, सभी की तरह, दूसरी तरफ जाना होगा। रिवर्स इंजीनियरिंग की तरफ।

NeoQUEST-2019 के ऑनलाइन चरण से टास्क नंबर 2 के उदाहरण का उपयोग करते हुए , हम रिवर्स ड्राइवर विंडोज के सामान्य सिद्धांत का विश्लेषण करेंगे। बेशक, उदाहरण काफी सरल है, लेकिन प्रक्रिया का सार इस से नहीं बदलता है - एकमात्र प्रश्न कोड की मात्रा है जिसे देखने की आवश्यकता है। अनुभव और भाग्य के साथ सशस्त्र, चलो शुरू हो जाओ!

Dano

किंवदंती के अनुसार, हमें दो फाइलें दी गईं: एक ट्रैफिक डंप और एक बाइनरी फाइल जिसने समान ट्रैफ़िक उत्पन्न किया। सबसे पहले, Wireshark का उपयोग करके डंप पर एक नज़र डालें:

डंप में यूडीपी पैकेटों की एक धारा होती है, जिनमें से प्रत्येक में 6 बाइट डेटा होता है। यह डेटा, पहली नज़र में, बाइट्स का कुछ यादृच्छिक सेट है - ट्रैफ़िक से कुछ भी प्राप्त करना संभव नहीं है। इसलिए, हम अपना ध्यान बिनार की ओर मोड़ते हैं, जो आपको बताए कि कैसे सब कुछ डिक्रिप्ट किया जाए।
इसे आईडीए में खोलें:

ऐसा लगता है कि हम किसी तरह के ड्राइवर का सामना कर रहे हैं। WSK उपसर्ग के साथ कार्य Winsock कर्नेल, Windows कर्नेल-मोड नेटवर्क प्रोग्रामिंग इंटरफ़ेस को संदर्भित करता है। MSDN पर, आप WSK में प्रयुक्त संरचनाओं और कार्यों का विवरण देख सकते हैं ।

सुविधा के लिए, आप विंडोज ड्राइवर किट 8 (कर्नेल मोड) - wdk8_km (या किसी भी नए) पुस्तकालय को आईडीए में लोड कर सकते हैं ताकि वहां परिभाषित प्रकारों का उपयोग किया जा सके:

सावधानी, उल्टा!

हमेशा की तरह, प्रवेश बिंदु से शुरू करें:

क्रम में चलते हैं। सबसे पहले, Wsk को आरंभीकृत किया जाता है, एक सॉकेट बनाया जाता है और बांधता है - हम इन कार्यों का विस्तार से वर्णन नहीं करेंगे, वे हमारे लिए उपयोगी कोई भी जानकारी नहीं ले जाते हैं।

सब_140001608 फ़ंक्शन 4 वैश्विक चर सेट करता है। चलो इसे InitVars कहते हैं। उनमें से एक में, मान 0xFFFFF78000000320 पते पर लिखा गया है। इस पते को थोड़ा सा देखते हुए, हम यह अनुमान लगा सकते हैं कि यह सिस्टम बूट के समय से सिस्टम टाइमर के टिक्स की संख्या को रिकॉर्ड करता है। अभी के लिए, चलिए TickCount का नाम लेते हैं।

EntryPoint तब IRP पैकेट (I / O अनुरोध पैकेट) के प्रसंस्करण के लिए कार्य करता है। आप MSDN पर उनके बारे में अधिक पढ़ सकते हैं । सभी प्रकार के अनुरोधों के लिए, एक फ़ंक्शन परिभाषित किया गया है कि बस स्टैक में अगले ड्राइवर को पैकेट पास करता है।

लेकिन IRP_MJ_READ (3) प्रकार के लिए एक अलग फ़ंक्शन परिभाषित किया गया है; चलो इसे इरप्रेड कहते हैं।

इसमें, बदले में, कंप्लीटेशन रूटिन स्थापित किया गया है।

कंप्लीशनरूटाइन आईआरपी से प्राप्त डेटा के साथ अज्ञात संरचना को पॉप्युलेट करता है और इसे सूची में रखता है। अब तक, हम नहीं जानते कि पैकेज के अंदर क्या है - हम बाद में इस फ़ंक्शन पर लौट आएंगे।
हम आगे EntryPoint में देखते हैं। IRP हैंडलर्स को परिभाषित करने के बाद, सब_1400012F8 फ़ंक्शन कहा जाता है। आइए अंदर देखें और तुरंत ध्यान दें कि इसमें एक उपकरण (IoCreateDevice) बनाया गया है।

फ़ंक्शन को कॉल करें AddDevice। यदि प्रकार सही हैं, तो हम देखेंगे कि डिवाइस का नाम "\\ डिवाइस \\ कीबोर्डक्लास 0" है। तो हमारा ड्राइवर कीबोर्ड के साथ इंटरैक्ट करता है। कीबोर्ड के संदर्भ में IRP_MJ_READ के बारे में जाना, आप पा सकते हैं कि KEYBOARD_INPUT_DATA संरचना पैकेट में प्रेषित है। चलिए वापस कंप्लीशनरूटीन पर जाते हैं और देखते हैं कि यह किस तरह का डेटा पास करता है।

यहां आईडीए संरचना को अच्छी तरह से पार्स नहीं करता है, लेकिन ऑफसेट और आगे के कॉल से आप समझ सकते हैं कि इसमें लिस्टएंट्री, कीडाटा (कुंजी का स्कैन कोड यहां संग्रहीत है) और कीफ्लैग शामिल हैं।
AddDevice के बाद, फ़ंक्शन sub_140001274 को EntryPoint में कहा जाता है। वह एक नई धारा बनाता है।

देखते हैं थ्रेडफंक में क्या होता है।

वह सूची से मूल्य प्राप्त करता है और उन्हें संसाधित करता है। फंक्शन sub_140001A18 पर तुरंत ध्यान दें।

यह सब -140001A68 फ़ंक्शन के इनपुट के लिए संसाधित डेटा को पास करता है, साथ में WskSocket को एक पॉइंटर और नंबर 0x89E0FEA928230002। बाइट्स (0x89 = 137, 0xE0 = 224, 0xFE = 243, 0xA9 = 169, 0x2328 = 9000) द्वारा पैरामीटर संख्या का विश्लेषण करने के बाद, हमें ट्रैफ़िक डंप से बिल्कुल वैसा ही पता और पोर्ट मिलता है: 169.243.224.137:9000। यह मान लेना तर्कसंगत है कि यह फ़ंक्शन निर्दिष्ट पते और पोर्ट पर एक नेटवर्क पैकेट भेजता है - हम इस पर विस्तार से विचार नहीं करेंगे।
आइए देखें कि भेजने से पहले डेटा को कैसे संसाधित किया जाता है।

पहले दो तत्वों के लिए, उत्पन्न मूल्य के साथ एक समतुल्य प्रदर्शन किया जाता है। चूंकि टिक्कों की संख्या का उपयोग गणना करने के लिए किया जाता है, इसलिए यह माना जा सकता है कि हम एक छद्म यादृच्छिक संख्या की पीढ़ी के साथ सामना कर रहे हैं।

संख्या उत्पन्न करने के बाद, यह उस चर के मूल्य को अधिलेखित करता है जिसे हमने पहले टिककाउंट कहा था। सूत्र के लिए चर InitVars में सेट किए गए हैं। यदि हम इस फ़ंक्शन पर कॉल पर लौटते हैं, तो हम इन चरों के मानों का पता लगाएंगे, और परिणामस्वरूप हमें निम्नलिखित विवरण मिलेंगे:

(54773 + 7141 * prev_value)% 259200

यह एक रैखिक congruent छद्म यादृच्छिक संख्या जनरेटर है । इसे TitCount का उपयोग करके InitVars में आरंभीकृत किया गया है। प्रत्येक बाद की संख्या के लिए, पिछले एक प्रारंभिक मूल्य के रूप में कार्य करता है (जनरेटर एक डबल-बाइट मान लौटाता है, और उसी का उपयोग दूसरी पीढ़ी के लिए किया जाता है)।

कीबोर्ड से प्रसारित दो मूल्यों की एक यादृच्छिक संख्या के बराबर होने के बाद, एक फ़ंक्शन को कहा जाता है जो संदेश के शेष दो बाइट्स बनाता है। यह केवल पहले से ही एन्क्रिप्ट किए गए दो मापदंडों और कुछ निरंतर मूल्य के xor का उत्पादन करता है। यह किसी तरह से डेटा को डिक्रिप्ट करने की संभावना नहीं है, इसलिए हमारे लिए संदेश के अंतिम दो बाइट्स कोई उपयोगी जानकारी नहीं रखते हैं, और उन्हें नहीं माना जा सकता है। लेकिन एन्क्रिप्टेड डेटा के साथ क्या करना है?
चलो ठीक से एन्क्रिप्टेड है पर एक करीब देखो। कीडाटा एक स्कैन कोड है जो काफी व्यापक मानों पर ले जा सकता है; यह अनुमान लगाना आसान नहीं है। लेकिन KeyFlags थोड़ा सा क्षेत्र है:

यदि आप स्कैन कोड की तालिका को देखते हैं, तो आप देखेंगे कि सबसे अधिक बार झंडा 0 होगा (कुंजी नीचे है) या 1 (कुंजी उठाया गया है)। KEY_E0 को बहुत कम ही उजागर किया जाएगा, लेकिन यह भर में आ सकता है, लेकिन KEY_E1 को पूरा करने के लिए संभावना बहुत छोटी है। इसलिए, आप निम्न करने का प्रयास कर सकते हैं: हम डंप से डेटा के माध्यम से जाते हैं, एक मान का चयन करें जो कि KeyFlags एन्क्रिप्ट किया गया है, 0 के साथ एक बराबर करें, दो क्रमिक पीएससी उत्पन्न करें। सबसे पहले, KeyData एक एकल बाइट है, और हम उच्च बाइट द्वारा उत्पन्न MSS की शुद्धता की जांच कर सकते हैं। और दूसरी बात, अगले एन्क्रिप्ट किए गए KeyFlags, जब सही PSC के साथ एक समान प्रदर्शन करते हैं, तो समान बिट मान लेंगे। यदि यह गलत निकला, तो हम मानते हैं कि हमने जिन KeyFlags को मूल रूप से देखा था, वे 1 थे, आदि।
आइए हमारे एल्गोरिथ्म को लागू करने का प्रयास करें। हम इसके लिए अजगर का उपयोग करेंगे:

एल्गोरिदम कार्यान्वयन

#  -   keymap = […] # ,   Wireshark traffic_dump = […] #  def bxnor(a, b): return ((~a & 0xffff) | b) & (a | (~b & 0xffff)) #   def brgen(a): return ((7141 * a + 54773) % 259200) & 0xffff def decode(): #     for i in range(0, len(traffic_dump) - 1): #   KeyFlags probe = traffic_dump[i][1] #   - scancode = traffic_dump[i+1][0] #    KeyFlags tester = traffic_dump[i+1][1] fail = True #     (  KEY_E1) for flag in range(4): rnd_flag = bxnor(flag, probe) rnd_sc = brgen(rnd_flag) next_flag = bxnor(tester, brgen(rnd_sc)) #   KeyFlags if next_flag in range(4): sc = bxnor(rnd_sc, scancode) if sc < len(keymap): sym = keymap[sc] if next_flag % 2 == 0: print(sym, end='') fail = False break #   -      KeyFlags   if fail: print('Something went wrong on {} pair'.format(i)) return print() if __name__ == "__main__": decode()

डंप से प्राप्त डेटा पर हमारी स्क्रिप्ट चलाएँ:

और डिक्रिप्टेड ट्रैफ़िक में हम अपनी सबसे वांछनीय लाइन पाते हैं!

NQ2019DABE17518674F97DBA393415E9727982FC52C202549E6C1740BC0933C694B3DE

जल्द ही शेष कार्यों के विश्लेषण के साथ लेख होंगे, याद मत करो!

PS और हम आपको याद दिलाते हैं कि जो कोई भी NeoQUEST-2019 में कम से कम एक कार्य पूरा कर चुका है, वह पुरस्कार का हकदार है! एक पत्र के लिए अपने मेल की जाँच करें, और अगर यह आपके पास नहीं आया, तो support@neoquest.ru पर लिखें!

चालक में विसर्जन: निक्वेस्ट-2019 कार्य के उदाहरण का उपयोग करके रिवर्स का सामान्य सिद्धांत

Dano

सावधानी, उल्टा!

More articles: