ड्रॉपबॉक्स क्लाइंट रिवर्स इंजीनियरिंग

टीएल, डॉ। लेख ड्रॉपबॉक्स क्लाइंट के रिवर्स विकास के बारे में बात करता है, पायथन में क्लाइंट के अपसरण और विघटन तंत्र को हैक करता है, साथ ही डिबगिंग फ़ंक्शन को सक्रिय करने के लिए प्रोग्राम को बदलता है जो सामान्य मोड में छिपे हुए हैं। यदि आप केवल उपयुक्त कोड और निर्देशों में रुचि रखते हैं, तो अंत तक स्क्रॉल करें। इस लेखन के समय, कोड CPython 3.6 दुभाषिया पर आधारित नवीनतम ड्रॉपबॉक्स संस्करणों के साथ संगत है।

परिचय

ड्रॉपबॉक्स ने मुझे तुरंत मोहित कर लिया है। अवधारणा अभी भी भ्रामक सरल है। यहाँ फ़ोल्डर है। वहां फाइलें रख दीं। यह सिंक्रनाइज़ है। दूसरे उपकरण पर जा रहे हैं। इसे फिर से सिंक्रनाइज़ किया जाता है। फ़ोल्डर और फ़ाइलें अब वहाँ भी दिखाई दिए!

छिपी हुई पृष्ठभूमि का काम वास्तव में आश्चर्यजनक है। सबसे पहले, मुख्य डेस्कटॉप ऑपरेटिंग सिस्टम (ओएस एक्स, लिनक्स, विंडोज) के लिए क्रॉस-प्लेटफ़ॉर्म एप्लिकेशन को बनाते और बनाए रखने के दौरान आपको जिन समस्याओं से निपटना पड़ता है, वे गायब नहीं होते हैं। इसे विभिन्न वेब ब्राउज़र, विभिन्न मोबाइल ऑपरेटिंग सिस्टम के समर्थन में जोड़ें। और हम केवल ग्राहक पक्ष के बारे में बात कर रहे हैं। मैं ड्रॉपबॉक्स बैकएंड में भी दिलचस्पी रखता हूं, जिसने मुझे आधे अरब उपयोगकर्ताओं द्वारा बनाए गए अत्यधिक भारी कार्यभार के साथ इस तरह की मापनीयता और कम विलंबता हासिल करने की अनुमति दी।

यह इन कारणों से है कि मैं हमेशा यह देखना पसंद करता था कि ड्रॉपबॉक्स हुड के नीचे क्या करता है और यह पिछले कुछ वर्षों में कैसे विकसित हुआ है। लगभग आठ साल पहले, मैंने पहली बार यह पता लगाने की कोशिश की कि ड्रॉपबॉक्स क्लाइंट वास्तव में कैसे काम करता है जब मैंने होटल में रहते हुए अज्ञात ट्रैफ़िक के प्रसारण पर ध्यान दिया। जांच से पता चला कि यह LanSync नाम के ड्रॉपबॉक्स फीचर का हिस्सा है, जो आपको तेजी से सिंक्रनाइज़ करने की अनुमति देता है अगर ड्रॉपबॉक्स उसी लैन पर होस्ट करता है उसी फ़ाइलों तक पहुंच है। हालांकि, प्रोटोकॉल का दस्तावेजीकरण नहीं किया गया था, और मैं अधिक जानना चाहता था। इसलिए, मैंने अधिक विस्तार से देखने का फैसला किया, और इसके परिणामस्वरूप मैंने लगभग पूरे कार्यक्रम की रिवर्स इंजीनियरिंग की। यह अध्ययन कभी प्रकाशित नहीं हुआ था, हालांकि मैंने कभी-कभी कुछ लोगों के साथ नोट्स साझा किए।

जब हमने एनविल वेंचर्स खोला, तो क्रिस और मैंने दस्तावेज़ भंडारण, साझाकरण और सहयोग के लिए कई उपकरणों की सराहना की। उनमें से एक, जाहिर है, ड्रॉपबॉक्स था, और मेरे लिए यह पुराने अध्ययनों को खोदने और क्लाइंट के वर्तमान संस्करण पर उन्हें जांचने का एक और कारण है।

डिक्रिप्शन और डिबोफिकेशन

सबसे पहले, मैंने लिनक्स के लिए क्लाइंट डाउनलोड किया और जल्दी से पता चला कि यह पायथन में लिखा गया था। क्योंकि पायथन लाइसेंस काफी अनुज्ञेय है, लोगों के लिए व्यावसायिक सॉफ्टवेयर जैसी अन्य निर्भरता के साथ-साथ अजगर इंटरप्रेटर को संशोधित करना और वितरित करना आसान है। फिर मैंने रिवर्स इंजीनियरिंग शुरू की यह समझने के लिए कि ग्राहक कैसे काम करता है।

उस समय, बायोटेक वाली फाइलें एक निष्पादन योग्य बाइनरी के साथ संयुक्त ज़िप फ़ाइल में थीं। मुख्य बाइनरी सिर्फ एक संशोधित पायथन इंटरप्रिटर था जिसे पायथन आयात तंत्र पर कब्जा करके लोड किया गया था। प्रत्येक बाद के आयात कॉल को इस बाइनरी में एक ज़िप फ़ाइल पार्सिंग के साथ पुनर्निर्देशित किया गया था। बेशक, इस ज़िप को बाइनरी से निकालना आसान है। उदाहरण के लिए, उपयोगी बिनवॉक टूल इसे सभी बाइट-संकलित .pyc फ़ाइलों के साथ पुनर्प्राप्त करता है।

तब मैं .pyc फ़ाइलों के लिए एन्क्रिप्शन को नहीं तोड़ सकता था, लेकिन अंत में मैंने मानक पायथन लाइब्रेरी की सामान्य वस्तु को लिया और एक बैकडोर को अंदर इंजेक्ट करते हुए इसे recompiled किया। अब चूंकि ड्रॉपबॉक्स क्लाइंट इस ऑब्जेक्ट को लोड कर रहा था, इसलिए मैं काम करने वाले दुभाषिया में मनमाने ढंग से पायथन कोड निष्पादित कर सकता था। हालांकि मैंने इसे अपने दम पर खोजा था, लेकिन 2012 में हैक.लु पर एक प्रस्तुति में फ्लोरियन लेडा और निकोलस रफ द्वारा एक ही विधि का उपयोग किया गया था।

ड्रॉपबॉक्स में चल रहे कोड का पता लगाने और हेरफेर करने की क्षमता ने बहुत कुछ प्रकट किया है। कोड ने कई सुरक्षात्मक तरकीबों का इस्तेमाल किया जिससे कोड ऑब्जेक्ट्स को डंप करना मुश्किल हो गया। उदाहरण के लिए, एक नियमित CPython दुभाषिया में, एक फ़ंक्शन का प्रतिनिधित्व करने वाले संकलित बायटेकोड को पुनर्प्राप्त करना आसान है। एक सरल उदाहरण:

>>> def f(i=0): ... return i * i ... >>> f.__code__ <code object f at 0x109deb540, file "<stdin>", line 1> >>> f.__code__.co_code b'|\x00|\x00\x14\x00S\x00' >>> import dis >>> dis.dis(f) 2 0 LOAD_FAST 0 (i) 2 LOAD_FAST 0 (i) 4 BINARY_MULTIPLY 6 RETURN_VALUE >>> 

लेकिन ऑब्जेक्ट्स / codeobject.c के संकलित संस्करण में , को_कोड संपत्ति co_code खुली सूची से हटा दिया co_code । यह सदस्य सूची आमतौर पर कुछ इस तरह दिखती है:

  static PyMemberDef code_memberlist[] = { ... {"co_flags", T_INT, OFF(co_flags), READONLY}, {"co_code", T_OBJECT, OFF(co_code), READONLY}, {"co_consts", T_OBJECT, OFF(co_consts), READONLY}, ... }; 

co_code संपत्ति का गायब होना इन कोड ऑब्जेक्ट्स को डंप करना असंभव बनाता है।

इसके अलावा, अन्य पुस्तकालयों, जैसे मानक पायथन डिस्सेम्बलर को हटा दिया गया है। अंत में, मैं अभी भी कोड ऑब्जेक्ट्स को फ़ाइलों में डंप करने में कामयाब रहा, लेकिन मैं अभी भी उन्हें अपघटित नहीं कर सका। मुझे यह महसूस करने में कुछ समय लगा कि ड्रॉपबॉक्स दुभाषिया द्वारा उपयोग किए जाने वाले ऑपकोड पायथन के मानक ऑपकोड से मेल नहीं खाते हैं। इस प्रकार, मूल पाइथन बाइटकोड में कोड ऑब्जेक्ट्स को फिर से लिखने के लिए नए ऑपकोड को समझना आवश्यक था।

एक विकल्प है ओपोड रीमैपिंग। जहाँ तक मुझे पता है, इस तकनीक को रिच स्मिथ द्वारा विकसित किया गया था और डेफकॉन 18 में पेश किया गया था। उस बातचीत में, उन्होंने स्मृति में रिवर्स-इंजीनियरिंग पायथन बाइटकोड के लिए पाइरेक्टिक उपकरण भी दिखाया। ऐसा लगता है कि प्यारेटिक कोड खराब रूप से समर्थित है, और उपकरण "पुराने" पायथन 2.x बायनेरिज़ को लक्षित करता है। रिच के साथ आने वाली तकनीकों से परिचित होने के लिए, उसके प्रदर्शन को देखने के लिए अत्यधिक अनुशंसा की जाती है।

ओपकोड अनुवाद विधि मानक पायथन लाइब्रेरी के सभी कोड ऑब्जेक्ट को ले जाती है और उनकी तुलना ड्रॉपबॉक्स बाइनरी से निकाली गई वस्तुओं से करती है। उदाहरण के लिए, hashlib.pyc या सॉकेट.पाइक से कोड ऑब्जेक्ट, जो मानक पुस्तकालय में हैं। कहते हैं, यदि हर बार 0x43 मेल खाता है, तो हम कोड ऑब्जेक्ट्स के पुनर्लेखन के लिए धीरे-धीरे अनुवाद तालिका बना सकते हैं। इन कोड ऑब्जेक्ट्स को फिर पायथन डिकम्पॉइलर के माध्यम से पारित किया जा सकता है। डंप करने के लिए, आपको अभी भी सही co_code ऑब्जेक्ट के साथ एक सही इंटरप्रिटर की आवश्यकता है।

एक अन्य विकल्प क्रमबद्ध प्रारूप को हैक करना है। पायथन में, क्रमबद्धता को मार्शलिंग कहा जाता है। सामान्य रूप से obfuscated फ़ाइलों का वर्णन करने से काम नहीं चला। जब आईडीए प्रो में बाइनरी को रिवर्स इंजीनियरिंग करता है, तो मैंने डिक्रिप्शन कदम की खोज की। जहाँ तक मुझे पता है, इस विषय पर सार्वजनिक रूप से कुछ प्रकाशित करने वाले पहले अपने ब्लॉग पर हेगन फ्रिच थे। वहाँ वह ड्रॉपबॉक्स के नए संस्करणों में परिवर्तन का उल्लेख करता है (जब ड्रॉपबॉक्स ने पायथन 2.5 से अजगर 2.7 पर स्विच किया)। एल्गोरिथ्म निम्नानुसार काम करता है:

• एक pyc फ़ाइल को अनपैक करते समय, मार्शलिंग के संस्करण को निर्धारित करने के लिए एक हेडर पढ़ा जाता है। इस प्रारूप को प्रलेखित नहीं किया गया है, केवल सीपीथॉन के कार्यान्वयन को छोड़कर।
  
• प्रारूप उन प्रकारों की एक सूची को परिभाषित करता है जो इसमें एन्कोडेड हैं। टाइप True , False , floats , आदि, लेकिन सबसे महत्वपूर्ण उपरोक्त पायथन code object , code object ।
  
• code object लोड करते समय, दो अतिरिक्त मान पहले इनपुट फ़ाइल से पढ़े जाते हैं।
  
• पहला 32-बिट random मान है।
  
• दूसरा एक 32-बिट length मूल्य है जो क्रमबद्ध कोड ऑब्जेक्ट के आकार को दर्शाता है।
  
• फिर rand और length मान एक साधारण आरएनजी फ़ंक्शन को rand जाता है जो seed उत्पन्न करता है।
  
• यह बीज मेर्सन भंवर में पहुंचाया जाता है, जो चार 32-बिट मान उत्पन्न करता है।
  
• एक साथ संयुक्त, ये चार मूल्य क्रमबद्ध डेटा के लिए एक एन्क्रिप्शन कुंजी प्रदान करते हैं। एन्क्रिप्शन एल्गोरिथ्म तब टिनी एन्क्रिप्शन एल्गोरिथ्म का उपयोग करके डेटा को डिक्रिप्ट करता है।

अपने कोड में, मैंने स्क्रैच से पायथन अनमर्शलिंग प्रक्रिया लिखी। कोड ऑब्जेक्ट्स को डिक्रिप्ट करने वाला हिस्सा नीचे के टुकड़े जैसा कुछ दिखता है। यह ध्यान दिया जाना चाहिए कि इस पद्धति को पुनरावर्ती कहा जाना चाहिए। एक pyc फ़ाइल के लिए शीर्ष-स्तरीय ऑब्जेक्ट एक कोड ऑब्जेक्ट है जिसमें स्वयं कोड ऑब्जेक्ट होते हैं, जो कि कक्षाएं, फ़ंक्शंस, या लैम्ब्डा हो सकते हैं। बदले में, वे भी तरीके, कार्य या लंबोदा शामिल कर सकते हैं। ये सभी कोड ऑब्जेक्ट्स पदानुक्रम के नीचे हैं!

  def load_code(self): rand = self.r_long() length = self.r_long() seed = rng(rand, length) mt = MT19937(seed) key = [] for i in range(0, 4): key.append(mt.extract_number()) # take care of padding for size calculation sz = (length + 15) & ~0xf words = sz / 4 # convert data to list of dwords buf = self._read(sz) data = list(struct.unpack("<%dL" % words, buf)) # decrypt and convert back to stream of bytes data = tea.tea_decipher(data, key) data = struct.pack("<%dL" % words, *data) 

कोड ऑब्जेक्ट्स को डिक्रिप्ट करने की क्षमता का मतलब है कि प्रक्रियाओं को डीरियलाइज़ करने के बाद, आपको वास्तविक बाइट कोड को फिर से लिखना होगा। कोड ऑब्जेक्ट में पंक्ति संख्या, स्थिरांक और अन्य जानकारी के बारे में जानकारी होती है। वास्तविक bytecode co_code ऑब्जेक्ट में है। जब हमने ओपकोड अनुवाद तालिका का निर्माण किया, तो हम मानक अजगर के 3.6 समकक्षों के साथ केवल ड्रॉपबॉक्स मानों को बदल सकते हैं।

अब कोड ऑब्जेक्ट्स सामान्य पायथन 3.6 प्रारूप में हैं, और उन्हें डिकम्पॉइलर में पारित किया जा सकता है। पायथन डिकम्पाइलर्स की गुणवत्ता में आर। बर्नस्टीन के अनसाइल 6 प्रोजेक्ट की बदौलत काफी वृद्धि हुई है। विघटन ने एक बहुत अच्छा परिणाम दिया, और मैं एक उपकरण में सब कुछ एक साथ रखने में सक्षम था जो ड्रॉपबॉक्स क्लाइंट के वर्तमान संस्करण को अपनी क्षमता के अनुसार सबसे बेहतर बनाता है।

यदि आप इस रिपॉजिटरी को क्लोन करते हैं और निर्देशों का पालन करते हैं, तो परिणाम कुछ इस प्रकार होगा:

  ...
     __main__ - जानकारी - सफलतापूर्वक विघटित ड्रॉपबॉक्स / क्लाइंट / सुविधाएँ / Browse_search / __ init __। pyc
     __main__ - जानकारी - डिक्रिप्टिंग, पैचिंग और विघटन _bootstrap_overrides.pyc
     __main__ - जानकारी - सफलतापूर्वक विघटित _bootstrap_overrides.pyc
     __main__ - जानकारी - संसाधित की गई 3713 फाइलें (3591 संक्षिप्त रूप से विघटित, 122 विफल)
     opcodemap - चेतावनी - बल को अधिलेखित नहीं के रूप में opcode मानचित्र नहीं लिखना 

इसका मतलब है कि अब आपके पास ड्रॉपबॉक्स स्रोत कोड के विघटित संस्करण के साथ एक out/ निर्देशिका है।

ड्रॉपबॉक्स अनुरेखण को सक्षम करना

खुले स्रोत में, मैंने कुछ दिलचस्प की तलाश शुरू की, और निम्नलिखित टुकड़े ने मेरा ध्यान आकर्षित किया। out/dropbox/client/high_trace.py में ट्रेस हैंडलर केवल तभी स्थापित होते हैं जब असेंबली जमी नहीं होती है या कार्यक्षमता को सीमित करने वाली मैजिक की या कुकी 1430 में लाइन में सेट नहीं होती है।

  1424 def install_global_trace_handlers(flags=None, args=None): 1425 global _tracing_initialized 1426 if _tracing_initialized: 1427 TRACE('!! Already enabled tracing system') 1428 return 1429 _tracing_initialized = True 1430 if not build_number.is_frozen() or magic_trace_key_is_set() or limited_support_cookie_is_set(): 1431 if not os.getenv('DBNOLOCALTRACE'): 1432 add_trace_handler(db_thread(LtraceThread)().trace) 1433 if os.getenv('DBTRACEFILE'): 1434 pass 

फ्रोजन बिल्ड का उल्लेख करना ड्रॉपबॉक्स के आंतरिक डिबग बिल्ड को संदर्भित करता है। और उसी फ़ाइल में थोड़ी अधिक आप इस तरह की लाइनें पा सकते हैं:

  272 def is_valid_time_limited_cookie(cookie): 273 try: 274 try: 275 t_when = int(cookie[:8], 16) ^ 1686035233 276 except ValueError: 277 return False 278 else: 279 if abs(time.time() - t_when) < SECONDS_PER_DAY * 2 and md5(make_bytes(cookie[:8]) + b'traceme').hexdigest()[:6] == cookie[8:]: 280 return True 281 except Exception: 282 report_exception() 283 284 return False 285 286 287 def limited_support_cookie_is_set(): 288 dbdev = os.getenv('DBDEV') 289 return dbdev is not None and is_valid_time_limited_cookie(dbdev) build_number/environment.py 

जैसा कि आप limited_support_cookie_is_set 287 पर limited_support_cookie_is_set विधि से देख सकते हैं, अनुरेखण केवल तभी सक्षम होता है जब DBDEV नामक पर्यावरण चर सही ढंग से एक सीमित जीवनकाल के साथ कुकीज़ पर सेट हो। वैसे यह दिलचस्प है! और अब हम जानते हैं कि ऐसे समय-सीमित कुकीज़ कैसे उत्पन्न करें। नाम से देखते हुए, ड्रॉपबॉक्स इंजीनियर इस तरह के कुकीज़ उत्पन्न कर सकते हैं, और फिर कुछ मामलों में अस्थायी रूप से सक्षम कर सकते हैं जब ग्राहकों का समर्थन करना आवश्यक हो। ड्रॉपबॉक्स को पुनरारंभ करने या कंप्यूटर को पुनरारंभ करने के बाद, भले ही निर्दिष्ट कुकी अभी भी हो, यह स्वचालित रूप से समाप्त हो जाएगा। मुझे लगता है कि इसे रोकना चाहिए, उदाहरण के लिए, निरंतर अनुरेखण के कारण प्रदर्शन में गिरावट। इससे इंजीनियर ड्रॉपबॉक्स को रिवर्स करना भी मुश्किल हो जाता है।

हालाँकि, एक छोटी स्क्रिप्ट बस इन कुकीज़ को लगातार उत्पन्न और सेट कर सकती है। कुछ इस तरह:

  #!/usr/bin/env python3 def output_env(name, value): print("%s=%s; export %s" % (name, value, name)) def generate_time_cookie(): t = int(time.time()) c = 1686035233 s = "%.8x" % (t ^ c) h = md5(s.encode("utf-8?") + b"traceme").hexdigest() ret = "%s%s" % (s, h[:6]) return ret c = generate_time_cookie() output_env("DBDEV", c) 

फिर एक समय आधारित कुकी बनाई जाती है:

  $ python3 setenv.py DBDEV=38b28b3f349714; export DBDEV; 

फिर वातावरण में इस स्क्रिप्ट के आउटपुट को सही ढंग से लोड करें और ड्रॉपबॉक्स क्लाइंट चलाएं।

  $ eval `python3 setenv.py` $ ~/.dropbox-dist/dropbox-lnx_64-71.4.108/dropbox 

इसमें ट्रेस आउटपुट, रंगीन फॉर्मेटिंग और वह सब शामिल है। यह अपंजीकृत ग्राहक जैसा कुछ दिखता है:

नया कोड लागू करें

यह सब थोड़ा मजाकिया है। विघटित कोड का और अध्ययन करते हुए, हमें पता चलता out/build_number/environment.pyc । एक फ़ंक्शन है जो जांचता है कि क्या एक निश्चित जादू कुंजी स्थापित है। यह कुंजी कोड में हार्ड-कोडेड नहीं है, लेकिन SHA-256 हैश के साथ तुलना की जाती है। यहाँ संगत स्निपेट है।

  1 import hashlib, os 2 from typing import Optional, Text 3 _MAGIC_TRACE_KEY_IS_SET = None 4 5 def magic_trace_key_is_set(): 6 global _MAGIC_TRACE_KEY_IS_SET 7 if _MAGIC_TRACE_KEY_IS_SET is None: 8 dbdev = os.getenv('DBDEV') or '' 9 if isinstance(dbdev, Text): 10 bytes_dbdev = dbdev.encode('ascii') 11 else: 12 bytes_dbdev = dbdev 13 dbdev_hash = hashlib.sha256(bytes_dbdev).hexdigest() 14 _MAGIC_TRACE_KEY_IS_SET = dbdev_hash == 'e27eae61e774b19f4053361e523c771a92e838026da42c60e6b097d9cb2bc825' 15 return _MAGIC_TRACE_KEY_IS_SET 

मैजिक ट्रेस कुंजी सेट है या नहीं यह जाँचने के लिए कोड में विभिन्न स्थानों से इस विधि को कई बार कहा जाता है। मैंने जॉन रिपर ब्रूट फोर्स के साथ SHA-256 हैश को क्रैक करने की कोशिश की, लेकिन एक साधारण ब्रूट फोर्स को बहुत लंबा समय लगा, और मैं विकल्पों की संख्या को कम नहीं कर सका क्योंकि सामग्री के बारे में कोई अनुमान नहीं था। ड्रॉपबॉक्स में, डेवलपर्स के पास एक विशिष्ट हार्ड-कोडित विकास कुंजी हो सकती है, जिसे वे आवश्यक होने पर स्थापित करते हैं, ट्रेसिंग के लिए क्लाइंट के "मैजिक की" मोड को सक्रिय करते हैं।

इसने मुझे नाराज कर दिया क्योंकि मैं ट्रेसबॉक्स को लॉन्च करने के लिए ट्रेसिंग के लिए कुंजी के इस सेट के साथ एक त्वरित और आसान तरीका खोजना चाहता था। इसलिए मैंने एक मार्शलिंग प्रक्रिया लिखी जो ड्रॉपबॉक्स एन्क्रिप्शन के अनुसार एन्क्रिप्टेड pyc फ़ाइलों को उत्पन्न करती है। इस प्रकार, मैं अपना कोड दर्ज करने में सक्षम था या बस उपरोक्त हैश की जगह ले सकता था। Github रिपॉजिटरी में यह कोड patchzip.py फ़ाइल में है। नतीजतन, हैश को ANVILVENTURES के SHA-256 हैश द्वारा बदल दिया जाता है। फिर कोड ऑब्जेक्ट को फिर से एन्क्रिप्ट किया गया है और एक ज़िप में रखा गया है, जहां सभी ओफ़्फ़ुसेटेड कोड संग्रहीत हैं। यह आपको निम्नलिखित कार्य करने की अनुमति देता है:

  $ DBDEV = ANVILVENTURES;  निर्यात DBDEV;
     $ ~ / .dropbox-dist / dropbox-lnx_64-71.4.108 / dropbox 

सिस्टम ट्रे में ड्रॉपबॉक्स आइकन पर राइट-क्लिक करने पर अब सभी डिबगिंग फ़ंक्शन प्रदर्शित होते हैं।



विघटित स्रोतों का अध्ययन करते हुए, फ़ाइल dropbox/webdebugger/server.py मैंने एक तरीका खोजा है, is_enabled । ऐसा लगता है कि यह जाँच कर रहा है कि अंतर्निहित वेब डिबगर को सक्षम करना है या नहीं। सबसे पहले, वह बताई गई जादू की कुंजी की जांच करता है। चूंकि हमने SHA-256 हैश की जगह ले ली है, हम बस मान को ANVILVENTURES सेट कर सकते हैं। लाइनों 201 और 202 पर दूसरा भाग यह देखने के लिए है कि क्या DB<x> नामक एक पर्यावरण चर है जो SHA-256 हैश के बराबर है। पर्यावरण का मूल्य समय-सीमित कुकीज़ सेट करता है, जैसा कि हम पहले ही देख चुके हैं।

  191 @classmethod 192 def is_enabled(cls): 193 if cls._magic_key_set: 194 return cls._magic_key_set 195 else: 196 cls._magic_key_set = False 197 if not magic_trace_key_is_set(): 198 return False 199 for var in os.environ: 200 if var.startswith('DB'): 201 var_hash = hashlib.sha256(make_bytes(var[2:])).hexdigest() 202 if var_hash == '5df50a9c69f00ac71f873d02ff14f3b86e39600312c0b603cbb76b8b8a433d3ff0757214287b25fb01' and is_valid_time_limited_cookie(os.environ[var]): 203 cls._magic_key_set = True 204 return True 205 206 return False 

ठीक उसी तकनीक का उपयोग करते हुए, इस हैश को पहले SHA-256 के साथ प्रतिस्थापित किया जाता था, जिसे अब हम पहले लिखी गई setenv स्क्रिप्ट को कुछ इस तरह बदल सकते हैं:

  $ cat setenv.py … c = generate_time_cookie() output_env("DBDEV", "ANVILVENTURES") output_env("DBANVILVENTURES", c) $ python3 setenv.py DBDEV=ANVILVENTURES; export DBDEV; DBANVILVENTURES=38b285c4034a67; export DBANVILVENTURES $ eval `python3 setenv.py` $ ~/.dropbox-dist/dropbox-lnx_64-71.4.108/dropbox 

जैसा कि आप देख सकते हैं, क्लाइंट शुरू करने के बाद, सुनने के लिए एक नया टीसीपी पोर्ट खुलता है। अगर पर्यावरण चर सही तरीके से सेट नहीं हैं तो यह नहीं खुलेगा।

  $ netstat --tcp -lnp |  grep ड्रॉपबॉक्स
     tcp 0 0 127.0.0.1:4242 0.0.0.0:* LISTEN 1517 / ड्रॉपबॉक्स 

कोड में आगे, आप webpdb.pyc फ़ाइल में WebSocket इंटरफ़ेस पा सकते हैं। यह मानक अजगर pdb उपयोगिताओं के लिए एक आवरण है। इस बंदरगाह पर एक HTTP सर्वर के माध्यम से इंटरफ़ेस तक पहुंच है। आइए वेबसोकेट क्लाइंट स्थापित करें और इसे आज़माएं :

  $ websocat -t ws: //127.0.0.1: 4242 / पीडीबी
     --Return--
    
     > / home/gvb/dropbox/webdebugger/webpdb.pyc(101)run()->None
     >
     (Pdb) से build_number.environment मिक्स के रूप में मैजिक_ट्रेस_की_इस_सेट आयात करें
     (पीडीबी) एमएस ()
     यह सच है 

इस प्रकार, अब हमारे पास क्लाइंट में एक पूर्ण डिबग है, जो अन्य सभी मामलों में पहले की तरह काम करता है। हम मनमाने पायथन कोड को निष्पादित कर सकते हैं, हम आंतरिक डिबग मेनू और ट्रेस फ़ंक्शन को सक्षम करने में सक्षम थे। यह सब ड्रॉपबॉक्स क्लाइंट के आगे के विश्लेषण में बहुत मदद करेगा।

निष्कर्ष

हम रिवर्स-इंजीनियर ड्रॉपबॉक्स को रिवर्स करने में सक्षम थे, कोड डिक्रिप्शन और इंजेक्शन टूल लिखते हैं जो पायथन 3.6 के आधार पर वर्तमान ड्रॉपबॉक्स क्लाइंट के साथ काम करते हैं। हमने व्यक्तिगत छिपे हुए कार्यों को उल्टा किया और उन्हें सक्रिय किया। जाहिर है, डिबगर वास्तव में आगे हैकिंग में मदद करेगा। विशेष रूप से कई फ़ाइलों के साथ जो कि डिकम्पोजाइल 6 के नुकसान के कारण सफलतापूर्वक विघटित नहीं हो सकते हैं।

कोड

कोड Github पर पाया जा सकता है। वहां उपयोग के निर्देश दिए। इस रिपॉजिटरी में 2011 में लिखा मेरा पुराना कोड भी है। यह केवल कुछ संशोधनों के साथ काम करना चाहिए, बशर्ते कि किसी के पास पायथन 2.7 पर आधारित ड्रॉपबॉक्स के पुराने संस्करण हों।

रिपॉजिटरी में ऑपकोड प्रसारित करने के लिए स्क्रिप्ट, ड्रॉपबॉक्स पर्यावरण चर सेट करने के निर्देश और ज़िप फ़ाइल को बदलने के लिए आवश्यक सभी चीजें शामिल हैं।

धन्यवाद

मेरे कोड की समीक्षा करने के लिए एविल वेंचर्स के ब्रायन का धन्यवाद। इस कोड पर काम कई वर्षों तक जारी रहा, समय-समय पर मैंने इसे अपडेट किया, नए तरीकों को पेश किया और ड्रॉपबॉक्स के नए संस्करणों पर काम करने के लिए इसे पुनर्स्थापित करने के लिए टुकड़े टुकड़े किए।

जैसा कि पहले उल्लेख किया गया है, रिवर्स इंजीनियरिंग पायथन अनुप्रयोगों के लिए एक महान शुरुआती बिंदु रिच स्मिथ, फ्लोरियन लेडौक्स और निकोलस रफ के साथ-साथ हेगन फ्रिच का काम है। विशेष रूप से उनका काम दुनिया के सबसे बड़े पायथन अनुप्रयोगों में से एक के रिवर्स विकास के लिए प्रासंगिक है - ड्रॉपबॉक्स क्लाइंट।

यह ध्यान दिया जाना चाहिए कि पायथन कोड के अपघटन ने आर। बर्नस्टीन की अगुवाई वाली अनलेली 6 परियोजना के लिए बहुत धन्यवाद दिया है। इस अपघटनकर्ता ने कई अलग-अलग पायथन डिकम्पाइलरों को संकलित और बेहतर बनाया है।

इस लेख की समीक्षा के लिए ब्रायन, ऑस्टिन, स्टीफन और क्रिस के सहयोगियों का भी बहुत धन्यवाद।