Исследования дешифровщика

Сейчас на форуме: _MBK_, Adler, asfa, bartolomeo (+9 невидимых)

Посл.ответ	Сообщение
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 14 сентября 2012 20:34 · Поправил: Flasher-11 · Личное сообщение · #1 Приветствую всех. Исследую шифровщик/дешифровщик - пакер/анпакер. Первый раз занимаюсь такими вещами. Уже на финальном этапе, осталось расшифровать корневую ФС. Тут я уже в очередной раз застрял. --> Анпакер <-- Отрывок из алгоритма расшифровки Code: 00401318 PUSH EBP 00401319 MOV EBP,ESP 0040131B PUSH EDI 0040131C PUSH ESI 0040131D PUSH EBX 0040131E SUB ESP,10 00401321 MOV EAX,DWORD PTR SS:[EBP+8] 00401324 MOV EBX,DWORD PTR DS:[EAX] 00401326 XOR EBX,DWORD PTR DS:[402030] - а откуда там этот массив взялся, никак не пойму 0040132C MOV EDI,DWORD PTR DS:[EAX+4] 0040132F XOR EDI,DWORD PTR DS:[402034] 00401335 MOV EAX,EDI 00401337 SHR EAX,18 0040133A MOV EDX,EDI Проблема в том, что я никак не могу найти где генерируется этот массив, где в последующем он используется для расшифровки. Думаю, что он уже предусмотрен в тулзе.

Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 14 сентября 2012 20:52 · Личное сообщение · #2 Flasher-11 пишет: Думаю, что он уже предусмотрен в тулзе. угу, массив статичен. Не знаю чем, но чем-то алгоритм напомнил twofish
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 14 сентября 2012 20:57 · Личное сообщение · #3 Vovan666, спасибо за ответ. Хотел лишний раз убедиться, но уже со слов знающих людей
reversecode Ранг: 1053.6 (!!!!), 1078thx Активность: 1.06↘0.81 Статус: Участник	Создано: 14 сентября 2012 21:06 · Поправил: reversecode · Личное сообщение · #4 Vovan666 пишет: угу, массив статичен. Не знаю чем, но чем-то алгоритм напомнил twofish угу, а тот массив это ключ статический ИДА все кристально показывает, зачем олькой извращатся?
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 14 сентября 2012 21:10 · Поправил: Flasher-11 · Личное сообщение · #5 Ненавижу китайцев, нет бы шифровать, как шифровали всю прошивку.Еще и с ФС возиться Не дружу я с IDA
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 18 сентября 2012 23:51 · Личное сообщение · #6 Восстановил код, дизассемблер + декомпилятор. Код конечно ужасен, не приводил его в нормальный вид. По сути он работает достаточно быстро, но сделал я так чтоб он считывал статический ключ из файла и по смещениям находил нужные ему dword'ы. Но тут оказалось, что я немного лох, а может и полный и так делать не стоило, т.к из-за каждого поиска нужно смещения расшифровка данных сводится почти к 20-30 кб/c. Может кто помочь советом, как лучше сделать поиск смещений по ключу? Или как лучше организовать все это? Code: FileStream WriteFile = new FileStream(Dir + "RFSFAT16ROOTFS_000000000.12", FileMode.OpenOrCreate, FileAccess.Write); BinaryWriter BinWrite = new BinaryWriter(WriteFile); FileStream KeyOpen = new FileStream("ROOTFS_KEY", FileMode.Open, FileAccess.Read); BinaryReader BinKeyOpen = new BinaryReader(KeyOpen); for (int i = 0; i < 1067; i++) { Keybuffer[i] = BinKeyOpen.ReadUInt32(); } FileStream RootFSOpen = new FileStream(Dir +"RFSFAT16ROOTFS_000000000", FileMode.Open, FileAccess.Read); BinaryReader BinRootFSOpen = new BinaryReader(RootFSOpen); for (int count = 0; count < RootFSOpen.Length; count++) { for (int i = 0; i < 4; i++) { FSbuffer[i] = BinRootFSOpen.ReadUInt32(); } EBX = FSbuffer[0] ^ Keybuffer[4]; EDI = FSbuffer[1] ^ Keybuffer[5]; EAX = EDI >> 24; EDX = EDI & 0x0FF; KeyOpen.Seek(EAX * 4 + Offset_1, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); KeyOpen.Seek(EDX * 4 + Offset_2, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); EAX = Temp_1 ^ Temp_2; KeyOpen.Seek(((EDI & 0x0FF0000) >> 16) * 4 + Offset_3, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); EAX = EAX ^ Temp_1; KeyOpen.Seek(((EDI >> 8) & 0x0FF) * 4 + Offset_4, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); EAX = EAX ^ Temp_2; EDX = EBX & 0x0FF; ESI = EBX >> 24; KeyOpen.Seek(EDX * 4 + Offset_1, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); KeyOpen.Seek(ESI * 4 + Offset_3, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); EDX = Temp_1 ^ Temp_2; KeyOpen.Seek(((EBX & 0x0FF0000) >> 16) * 4 + Offset_4, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); EDX = EDX ^ Temp_1; KeyOpen.Seek(((EBX >> 8) & 0x0FF) * 4 + Offset_2, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); EDX = EDX ^ Temp_2; Q[0] = Keybuffer[38] + EDX + EAX; ESI = FSbuffer[2] ^ Keybuffer[6]; Q[1] = ROR(ESI, 31); Ac = (FSbuffer[3] ^ Keybuffer[7]) ^ (EDX + Keybuffer[39] + EAX * 2); Q[2] = EDI; Q[3] = EBX; ECX = ROL(Ac, 31); Q[0] = Q[1] ^ Q[0]; EBX = Q[0]; Q[1] = 0; while (true) { EAX = ECX >> 24; EDX = ECX & 0x0FF; KeyOpen.Seek(EAX * 4 + Offset_1, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); KeyOpen.Seek(EDX * 4 + Offset_2, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); EAX = Temp_1 ^ Temp_2; KeyOpen.Seek(((ECX & 0x0FF0000) >> 16) * 4 + Offset_3, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); EAX = EAX ^ Temp_1; KeyOpen.Seek(((ECX >> 8) & 0x0FF) * 4 + Offset_4, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); EAX = EAX ^ Temp_2; EDX = EBX & 0x0FF; ESI = EBX >> 24; KeyOpen.Seek(EDX * 4 + Offset_1, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); KeyOpen.Seek(ESI * 4 + Offset_3, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); EDX = Temp_1 ^ Temp_2; KeyOpen.Seek(((EBX & 0x0FF0000) >> 16) * 4 + Offset_4, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); EDX = EDX ^ Temp_1; KeyOpen.Seek(((EBX >> 8) & 0x0FF) * 4 + Offset_2, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); EDX = EDX ^ Temp_2; ESI = EAX + EDX; ESI = ESI + Keybuffer[r]; r = r - 2; EDI = Q[3]; ESI = ESI ^ ROR(EDI, 31); EDI = Q[1]; EAX = (EDX + Keybuffer[t] + EAX * 2) ^ Q[2]; t = t - 2; EAX = ROR(EAX, 1); EDI = EDI - 8; q = q + 8; Q[1] = EDI; Q[3] = EBX; Q[2] = ECX; if (q == 112) { r = 36; t = 37; q = 0; EDI = 0; break; } ECX = EAX; EBX = ESI; EAX = ECX; } Q[0] = EBX; EBX = ESI; EDX = EAX >> 24; EDI = EAX & 0XFF; KeyOpen.Seek(EDX * 4 + Offset_1, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); KeyOpen.Seek(EDI * 4 + Offset_2, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); EDX = Temp_1 ^ Temp_2; KeyOpen.Seek(((EAX & 0x0FF0000) >> 16) * 4 + Offset_3, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); EDX = EDX ^ Temp_1; KeyOpen.Seek(((EAX >> 8) & 0x0FF) * 4 + Offset_4, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); EDX = EDX ^ Temp_2; EDI = EBX & 0xFF; ESI = ESI >> 24; KeyOpen.Seek(EDI * 4 + Offset_1, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); EDI = Temp_1; KeyOpen.Seek(ESI * 4 + Offset_3, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); Q[3] = EDI ^ Temp_1; KeyOpen.Seek(((EBX & 0x0FF0000) >> 16) * 4 + Offset_4, SeekOrigin.Begin); Temp_2 = BinKeyOpen.ReadUInt32(); Q[3] = Q[3] ^ Temp_2; KeyOpen.Seek(((EBX >> 8) & 0x0FF) * 4 + Offset_2, SeekOrigin.Begin); Temp_1 = BinKeyOpen.ReadUInt32(); Q[3] = Q[3] ^ Temp_1; EDI = Q[3] + Keybuffer[9]; EDI = (EDI + EDX * 2) ^ ECX; EDI = ROR(EDI, 1); EBX = EBX ^ Keybuffer[0]; P[0] = EBX; EAX = EAX ^ Keybuffer[1]; P[1] = EAX; ESI = Q[0]; ESI = ROR(ESI, 31); ESI = ESI ^ Keybuffer[2]; P[2] = ESI ^ (EDX + Q[3] + Keybuffer[8]); P[3] = EDI ^ Keybuffer[3]; BinWrite.Write(P[0]); BinWrite.Write(P[1]); BinWrite.Write(P[2]); BinWrite.Write(P[3]); }
tomac Ранг: 65.3 (постоянный), 10thx Активность: 0.02↘0 Статус: Участник	Создано: 19 сентября 2012 01:24 · Личное сообщение · #7 Весь код не читал, но .Seek & .Read будет выполняться долго. Он же уже в память прочитан, почему бы там не искать? //Пардон, если глупость, спать надо.
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 19 сентября 2012 06:59 · Личное сообщение · #8 Я его считывал в uint массив, но если с ним работать, то вся логика рушиться напрочь. Считывал его, потому что удобнее использовать какие-то статичные значения, чем опять использовать Seek
reversecode Ранг: 1053.6 (!!!!), 1078thx Активность: 1.06↘0.81 Статус: Участник	Создано: 19 сентября 2012 08:58 · Личное сообщение · #9 алгоритм twofish есть в исходниках, зачем вы там что то восстанавливали.. непонятно
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 19 сентября 2012 20:48 · Личное сообщение · #10 Но так там же ключ явно не 256-битный. Или я что-то не до конца понимаю
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 20 сентября 2012 00:29 · Личное сообщение · #11 А почему ключ должен быть 256 бит? 256 это его максимально возможная длина, если ключ 402030+402034, то длина получается 64 бита
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 20 сентября 2012 20:42 · Личное сообщение · #12 Vovan666, это понятно. Я просто не понимаю, допустим, если ключ 402030+402034, то длина получается 64 бита, как Вы говорили, то зачем остальной массив?
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 20 сентября 2012 21:14 · Поправил: Vovan666 · Личное сообщение · #13 посмотри исходники алгоритма и поймешь, там не один массив а их штук 7-8; mds,q0,q1 и тд.
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 22 сентября 2012 15:33 · Личное сообщение · #14 В исходниках только 4 статических массива. MDS,Q0,Q1,RS, даже если брать их, то статический ключ будет больше всех вместе взятых статических массивов. MDS массив вроде такой {4020C0,4024C0,402СС0,4028С0} если конечно я не ошибаюсь.
eLx1337 Ранг: 0.2 (гость) Активность: 0=0 Статус: Участник	Создано: 24 сентября 2012 04:07 · Личное сообщение · #15 глупый вопрос, но знать, чтобы открыть этот .bin файл?
tundra37 Ранг: 310.8 (мудрец), 29thx Активность: 0.43↘0 Статус: Участник	Создано: 27 сентября 2012 16:53 · Личное сообщение · #16 ask there http://exelab.ru/f/action=vtopic&forum=10 by english или создайте новую тему здесь же, но пишите понятнее.

Для печати