Wyłapywanie Pakietów

[4ggr35510n]

Piszę tutaj, bo tu chyba najwięksi ogarniacze (sama sprawa jest niezalezna od języka programowania).

 

Istnieje aplikacja, komunikująca się ze światem zewnętrznym przez protokół HTTPS.

 

W jaki sposób - całkowicie z zewnątrz, bez analizy RE, bez injekcji bibliotek - nasłuchiwać i przełapywać wysyłane pakiety?

 

Nigdy się w coś takiego nie bawiłem.

 

Za RE się nawet nie biorę, gdyż chodzi o soft do gry w pokera za pieniądze (podejrzewam piekielnie dobrze zabezpieczony; a nawet jeśli słabo, ryzyko konfiskaty dotychczas zgromadzonych zasobów jest zbyt duże ;] ).

 

Jeżeli jednak - moim tokiem rozumowania - nasłuchiwać z zewnątrz, sprawa byłaby łatwa, niewykrywalna i możliwe byłoby stworzenie specjalistycznego softu do "pomagania" w grze.

 

Gdyby ktoś miał jakiekolwiek przemyślenia na temat wyłapywania takich pakietów, z góry jestem bardzo wdzięczny za pomoc

[mirraseq]

Z pewnością najpopularniejszą biblioteką do niuchania jest winpcap (http://winpcap.org), dokumentacje znajdziesz na stronie producenta. Inny sposób to użycie samego winsock, tutaj masz fajny artykuł wraz z kodem sniffera używając wsocka.

[odys222]

Temat nasłuchiwania pakietów jeśli chodzi o WiFi to bardzo prosta sprawa. Aireplay-> Airdump -> Aircrack... sam sie bawie w łamanie haseł sąsiadów i jak narazie nie przegrałem nawet z WPA2. Polecam Linuxa!!!

[Teesik]

Jak http://www.fiddler2.com/fiddler2/ nie pomoże, to chyba nie ma dla Ciebie ratunku.

Ogólnie tok rozumowania masz dobry, ale bez ingerencji w sam program, to kurczę...gdyby Tobie się udało, to cały SSL można byłoby wyrzucić do śmieci i cała bankowość elektroniczna byłaby bardziej dziurawa od polskich dróg, bo przecież SSL z nazwy jest bezpiecznym protokołem(i w praktyce - w końcu za standardem stoi jakieś poważne konsorcjum w którym udział ma pół świata), który...no, jeżeli jest dobrze zaimplementowany, to nie masz szans żeby osoby postronne mogły odczytać "co się przezeń dzieje". Dlatego jednak na Twoim miejscu spróbowałbym założyć drugie konto w tej usłudze i powolutku, z dobrymi narzędziami próbował bawić się w RE tejże aplikacji...Jak do Sony udało się złamać, to poświęcając trochę czasu uda Ci się wyciągnąć coś ciekawego z tejże pokerowej aplikacji...kiedyś.

Lub zainteresował się atakami man-in-the-middle, aczkolwiek artykuł na ten temat w ang. wiki wspomina o jakichś zabezpieczeniach które SSL posiada.

[4ggr35510n]

@UP:

Zorientowałem się odrobinę po niewczasie :|

 

Ale sam problem nasłuchwiania pakietów rozwiązany:

Dziękuję, mirraseq.

 

Deszyfrowanie HTTPS to już inna sprawa i raczej sobie na razie odpuszczę

Na razie przestawiłem się na analizę bitmap ( w końcu idzie o odczytanie jakie karty dostałeś i ile przeciwnicy zainwestowali do puli ). Rozwiązanie powolne, ale bezpiezczne. A dobrze zastosowane nawet daję radę ;]

 

Ale chyba pora wreszcie przysiąść do coldwind'a

[CraftyGeek]

Witam.

 

Pakiety to jedna z tych rzeczy, które znacznie ułatwiają programiście programu, bazującego na innym.

Jak wyłapać pakiety? Najlepiej to napisać funkcję, które podpięta pod proces będzie nam wyświetlała wysyłane pakiety.

Pytanie jest jak to zrobić . Udzielę Ci wskazówki.

Mianowicie, jeśli już wiesz z czego chcesz wyciągać pakiety np. z jakiejś gry. To dobrze by było, gdybyś znał podstawy asemblera i wiedział co nie co na temat połączeń internetowych - jak i o samej bibliotece winsock.

Ja robię tak: Odpalam program z którego chcę je wyciągnąć, następnie odpalam OllyDBG, szukam funkcji odpowiedzialnej za to, w tym przypadku WS2_32.recv. (Found intermodular calls)

http://www.gamehacking.pl/images2/recv32.jpg.

Szukasz odpowiedniego pointera odpowiedzialnego za obszar wysyłanych pakietów - piszesz DLLke, wstrzykuje w proces i koniec .

 

Jeśli jesteś zainteresowany takim przykładowym programikiem to napisz na maila: [email protected]

 

Pozdrawiam,

~CraftyGeek.

[mirraseq]

@UP

Twój sposób może i jest dobry ale nie najlepszy. O ile nie napisze w programie jakiegoś skanera IAT to przy każdej innej aplikacji po prostu nie zadziała. Można zastosować np. jmp'a na początku funkcji pamiętając o zwróceniu 5 bajtów na to potrzebnych, w recv to za każdym razem:

8BFF | mov edi, edi ;hotpatch
55 | push ebp
8BEC | mov ebp, esp

Funkcję recv można odnaleźć przy pomocy GetProcAddress. Dzięki temu nie zważamy na problem aktualizacji aplikacji.

[MrOMGWTF]

inline hook