upd:
Новый адрес
Релизы

----------------------------------

Утилита для распаковки файлов из контейнеров SFFS

В принципе все то же самое что сделали Reloaded и Olenevod хз-когда но теперь в GUI

Как это работет:

- перетаскиваем файл с ресурсами (*.dat) в окно

- вводим ПРАВИЛЬНЫЙ APPKEY (иначе расшифровка не пройдет, и может быть крэш)
APPKEY можно получить снифером (есть на форуме)

- получаем хэши для каждого файла в контейнере
без имен файлов содержимое файлов расшифровать не выйдет
имена можно достать сниффером который есть на этом форуме, но он сработает только для латиницы
в идеале нужен сниффер для 2-байтного юникода (UTF-16LE)

- жмем F5 и вводим имена файлов
найденные имена добавляются в список и убираются из поля для ввода
проект можно сохранять и добавлять имена позже

- на файле, для которого известно имя, щелкаем 2 раза, файл извлекается и открывается содержащая его папка

Основано на доках Reloaded. Главное отличие - код не рипался, потому что это Blowfish где каждый
блок хорится на позицию в файле.

Связанные материалы:
Набор: драйвер для перехвата APPKEY и имен файлов (только латинские) от MasterSoft

| Сообщение посчитали полезным: Gideon Vi, unknownproject, kampaster, ELF_7719116, verdizela, Veliant, BAHEK, Nightshade, sivorog, 4kusNick, Isaev, DimitarSerg, -Sanchez-, MarcElBichon, zNob, MasterSoft, v00doo, Jim DiGriz

Спасибо добрый человек!
Вечером, как попаду домой - сразу проверю

| Сообщение посчитали полезным:

Помнится еще кейген серийных номеров был этого полуразваленного старфорса, не?

| Сообщение посчитали полезным:

Был, 5 версию TRiViUM закейгенили.

| Сообщение посчитали полезным:

ELF_7719116
Хм.. в сорках ? Если нет, то конечно можно вырипать из кейгена от Trivium.

Vovan666 пишет:
Могу ошибаться, но рип тех кейгенов ни к чему не приведет, там кажется для каждой игры нужно брутить таблицу хэшей, а как и из чего...

Да-да, что-то такое. К тому же давным-давно пробовал "химичить" с кейгеном от тривиумов, но без разбора ВМ стара хер что выгорит

-----
ds

| Сообщение посчитали полезным:

Могу ошибаться, но рип тех кейгенов ни к чему не приведет, там кажется для каждой игры нужно брутить таблицу хэшей, а как и из чего...

| Сообщение посчитали полезным:

vden всё работает!
Извлекал файлы, которые были в папках, проверил файлы с русскими названиями.
Идеальный инструмент
Еще раз спасибо!

| Сообщение посчитали полезным:

выложите таргеты на чем затестить

| Сообщение посчитали полезным:

Запили брут имен и вообще идеал будет.
На больших списках виснет жутко.

| Сообщение посчитали полезным:

Nightshade пишет:
Запили брут имен и вообще идеал будет.
Бред! Имя длиной 25 символов паяльником брутить будешь (быстрее appkey сбрутить чем имена)
______
А вот чего реально не хватает, так это кнопки распаковать все известные файлы разом.
Просто если 1к и более файлов... по одному тыкать и каждый раз закрывать проводник не гуд.
Это реально нужная функция.

| Сообщение посчитали полезным: sivorog

А насколько реален брут аппкея при известном имени файла?

| Сообщение посчитали полезным:

Nightshade пишет:
А насколько реален брут аппкея при известном имени файла?
Ну, товарищ mikeSP делал брут и похоронил его вместе с собой.
Так у него не оптимизированная версия выдавала 9417 ключей в секунду на хиленьком 4000dualCore
А если перенести на GPU? Там всего-то 18446744073709551616 вариантов
В общем сбрутить очень даже реально, но вот кто бы запилил такой брутер? Может скинемся и vden напишет ломалку

| Сообщение посчитали полезным:

Если алго не оптимизированной версии у кого есть, скиньте, могу попробовать на OpenCL переписать.

| Сообщение посчитали полезным:

SReg
АнглоКурс 1.0.0.0, брал с NNM Club, распаковывает!

З.Ы. надо бы добавить пункт меню Open Project.

| Сообщение посчитали полезным:

kampaster пишет:
Так у него не оптимизированная версия выдавала 9417 ключей в секунду на хиленьком 4000dualCore
Сколько потоков юзалось ? Все рутины и циклы пихаем в потоки и увеличиваем продуктивность/скорость перебора в разы.

-----
TEST YOUR MIGHT

| Сообщение посчитали полезным:

как SFFS расшифровывается?
это аналог: --> Link <-- ? c сырками

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

Isaev пишет:
как SFFS расшифровывается?
Star
Force
File
System

| Сообщение посчитали полезным:

unknownproject пишет:
Сколько потоков юзалось ?
mikeSP деталей не расписывал, просто написал про скорость и на каком камушке.
Думаю всё делалось на скорую руку(просто проверить).
unknownproject пишет:
Все рутины и циклы пихаем в потоки и увеличиваем продуктивность/скорость перебора в разы.
Интересно. В общем нужно что бы кто-то написал корректную CPU версию, а deniskore потом бы пере собрал под OpenCL
Isaev пишет:
как SFFS расшифровывается?
это аналог: --> Link <-- ? c сырками
http://www.exelab.ru/faq/StarForce#SFFS

| Сообщение посчитали полезным:

TryAga1n, спасибо, я так и предположил, но не нашёл подтверждений

Добавлено спустя 4 минуты
а VALID APPKEY это ключ который на купленном диске написан?

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

Isaev пишет:
Добавлено спустя 4 минуты
а VALID APPKEY это ключ который на купленном диске написан?

Нет
Сужу по тем дискам которые я покупал и проверял. Приходилось дёргать тулзами с форума.

| Сообщение посчитали полезным:

kampaster пишет:
Нет
тогда где мы его берем?

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

Isaev пишет:

kampaster пишет:
Нет
тогда где мы его берем?
Цитата с первого поста:
APPKEY можно получить снифером (есть на форуме)
Ссыль найду если нужно.
_____
А если конкретно с диска, то не знаю даже, как выше писал - у меня не получилось так просто.

| Сообщение посчитали полезным:

kampaster пишет:
Ссыль найду если нужно.
да не плохо бы... её надо было в первый пост и прописать

Добавлено спустя 11 минут
оно?
--> Link <--

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

1. запустить KmdManager
2. открыть файл дрова, appkey.sys или лучше SFSniffer.sys
3. Register, Run (под Win 7 не пробовал, возможны, как обычно, траблы)
4. стартануть DbgView, взвести флажок Capture Kernel
5. стартануть исследуемый софт
(желательно поделать в нём всё, что можно - например, все-все ролики посмотреть)
6. наблюдать в DbgView выловленную инфу
7. ...которую можно сохранить в файл
В общем там !.txt есть, с примером.
SFFS Decryptor + src (MASM) by Olenevod Вам не нужен, так как у нас есть лучше

d744_30.06.2014_EXELAB.rU.tgz - sffs_kit.zip
Isaev пишет:
Добавлено спустя 11 минут
оно?
--> Link <--

Этот комплектик получше будет. (Что прикрепил)

| Сообщение посчитали полезным: Isaev

ага, нашёл и его
--> Link <--
в шапку киньте пару ссылок и почистите тему)

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным: DimitarSerg

Nightshade пишет:
Запили брут имен и вообще идеал будет.

Наверно нет смысла брутить имена. Брут будет очень долгий. Как и AppKey, который проще перехватить.

Кто хочет может написать брут:
md5("имя файла большими буквами") = хэш из таблицы
точнее md5 буфера юникодной строки (2 байта на символ) в верхнем регистре = хэш из таблицы

На больших списках виснет жутко
Даже не знаю что может виснуть. Для анпака создается свой трэд. Но там постятся сообщение о прогрессе, может быть это тормозит, вызывает постоянный рефреш или еще что-то. Нужно смотреть на больших списках


kampaster пишет:
А вот чего реально не хватает, так это кнопки распаковать все известные файлы разом.
Просто если 1к и более файлов... по одному тыкать и каждый раз закрывать проводник не гуд.
Это реально нужная функция.
Хотел сделать и даже начал. Но у меня мало времени.

sivorog пишет:
надо бы добавить пункт меню Open Project.
Проект и так можно открыть перетащив в окно. Если перетащить дат и проект уже существует, то открывается проект.

Isaev пишет:
это аналог: --> Link <-- ? c сырками
нет, это доки от релоадед, а извлекается там содержимое оверлея из protect.dll если правильно помню

APPKEY это не ключ с диска, это 8 байт которые в главном драйвере передаются при вызове драйвера виртуальной файловой системы. В результате какой трансформации я не знаю. Код похоже в вм, а времени копаться у меня нет.

| Сообщение посчитали полезным:

vden, я с SF никогда не имел дела, но почему сниф имен?
Они же самим им восстанавливаются как-то, не уж то такой безвариантный алго, что не реверснуть?
И зачем хеш таблица? если будут сами имена? тупо для проверки валидности?
брутить то по ней это вообще не правильный подход

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

В общем да, брут имён уже готов:
Скармливаем ресурсный фай SFFS Unpacker-у, вводим корректный APPKEY
Далее получаем список хешей, это у нас имена хешированы в MD5
Вытаскиваем список хешей чем попадётся(мне удобнее sysexp)
_____
Всё, теперь подсовываем список хешей либо Hashcat-у(AMD) или в EGB(Nvidia)
И уходим пить чай, на недельку или несколько миллионов лет
____
Можно ускорить если известна хоть какая инфа о путях и имени(да, пути тоже нужно знать что бы распаковать, иначе их тоже нужно будет брутить - что и убивает всю идею)
Так вот, что известно, то можно использовать атаку по маске и перебирать уже не ?u?l?d?s,n,n
(в моём примере это ?u?l?d?s,21,21, да и у большинства так будет, имена не короткие) а IMAGES\?u?d?s?u?d?s.BMP (грубо говоря) IMAGES\PLAYBUTTON.BMP

vden пишет:
Разве что слабо отличающиеся имена, как IMAGE\PICTURE001.BMP. IMAGE\PICTURE002.BMP
Так я об этом и написал Nightshad-у выше.
Брутить имена не реально, про это можно забыть(есть мелкие исключения, но ради них не нужно писать отдельную тулзу, всё есть - описал выше.)
Вот реальный пример:
SFSniffer: FILE: IMAGES\VOLUMETRACKBARSLIDER.BMP
Фигеть можно, как такую длину сбрутить
_____
vden а вот брут аппкея точно нужен, даже сейчас если ввести не верный кеу, то прога ругнётся, т.е проверки валидности есть, т.е брут уже почти готов. Автоид в руки и понеслась(только медленно)
Да и не важно что имена и пути не знаю, с этим в моём случае проще разобраться. А вот аппкей нужно подобрать.

| Сообщение посчитали полезным:

@Isaev
Имя нигде не восстанавливается. Это и не нужно. Дополнительный плюс защите.


kampaster
Разве что слабо отличающиеся имена, как IMAGE\PICTURE001.BMP. IMAGE\PICTURE002.BMP

kampaster пишет:
а вот брут аппкея точно нужен, даже сейчас если ввести не верный кеу, то прога ругнётся, т.е проверки валидности есть, т.е брут уже почти готов
Брут точно займет больше времени чем перехватить драйвером MasterSoft'а.

Но если интересно побрутить, то вот некоторые моменты

заголовок контейнера


По смещению 8 uint64 - количество файлов в контейнере, нужно расшифровать Blowfish'em, в качестве ключа AppKey.
Т.к. количество файлов скорее всего <= 65536, то FileCount = 000000000000????
Я не уверен что есть эффективная атака которая позволит уменьшить количество комбинаций зная что первые 4 или 6 байт нули.

| Сообщение посчитали полезным:

vden пишет:
Имя нигде не восстанавливается. Это и не нужно.
Как тогда в целевом ексешнике открывается нужный файл?
типа, CreateFile ("vasya.bmp",GENERIC_READ,....
заменяется на:
????

| Сообщение посчитали полезным: