реверс l2divine (используя brain.ini и hand.dll)

Сейчас на форуме: asfa, _MBK_, Adler (+8 невидимых)

<< . 1 . 2 .

Посл.ответ	Сообщение
rastHEX Ранг: 1.8 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 02 февраля 2013 18:09 · Поправил: rastHEX · Личное сообщение · #1 Попробую начать 3ю тему - надеюсь не забанят Итак какашки брошеные мне заставили меня взять на вооружение brain.ini и hand.dll При помощи них выяснилось следующее Защита [!] dotNet Reactor v3.3 - v3.9 protected ! Microsoft SLPS --> Link <-- Используя NETUnpack получит 5 файлов Unpacked_1 Unpacked_2 Unpacked_3.dll Unpacked_4.dll Unpacked_5.dll просканировав их ProtectionId на Unpacked_5.dll наткнулся на [!] dotFuscator detected ! это и её размер в 2.2мб натолкнул на мысль что это и есть программа а остальное - мусор упаковщика (к стати не подскажите - так ли оно на самом деле? ) Затем использовал Kurapica DotNET DeObfuscator в результате работы которого получил длл которая открылась в Рефлекторе. схема работы бота На данный момент задача в раскриптовке исходящего и ответного запросов. Обновление ссылок (результаты работы) --> линк на самого бота <-- b0e0_02.02.2013_EXELAB.rU.tgz - Unpacked_5-cleaned (сам распакованный exe) 39fd_02.02.2013_EXELAB.rU.tgz - 2dll.rar Unpacked_3 и Unpacked_4 запросы словленые снифером (Base64binarity) исходящий Code: http://www.l2divine.com/ws/gateway.jsp?wsid=21&h=AQCMYXTEPOFeJfaADxNjl9bJFsR23XGMVe0vwRlPz98NK3GkJf8ZUf%2fdrtmzWKhNFlYQBLjRc9fTdKTOvX3eqfWB4IdevFQDjRjiJFNj5wfXUEjsczl8IjVR2hgcVlTMWJiSbgIkuqHq47Jr1h3so0ljmyiVhMO8AoQJNyXIUsr15Llj6MAtm2in9EivDx8dCEJbLHx%2fqU1nU26g5iibAwi%2b9xhTsDqWAZR2uM6WIWX6W6kd3cmbS6EkFIQZddLuGZED58JrKvYiXFqmTuqOhk8rQZ6Lo8KVcPmxuedqDmdZW5crA1oGgf6weeqqIdqCgcQuUPzjX0I1H55L0IpWZmo%3d входящий Code: AWpDKbfQFtVOWmKMri45eHwzT1Xoa+Z3v9wFCU9/Gui6phbAIl48FqMvqtWSZifnnHpoh6BXWrxf\n Xu1H1t2DGLjg6UEG9oEeW4vWTkx0z1Qt1rMywpbVqES6mVbuQtWHniG09b/AyBp0eIs19gSl9G/q\n q0SDobWHGwvfKJBe5mVrYgcUtV5bwDWXF+ddF5fl5pXHrTu7BvPTecxNhLw4QTWhrWkvGmEaKDyi\n 5AQV+pvusxx/8faINwFqAVSxvxfEcAENZnYO1jVR5jNehhJrGF15XlnsBFimUnTjOYRppRUTl8ug\n INOMnPCcD5daqHNip4ASw7NUpa43cqGN6aZLXmVpzFcAqIfEjuOGeI0p2qQW01spmrOjLKaAQQX4\n obAzrsCCVn7nbo/IxmX8xfEXfKhcWHp1snlw8opfMBfGzPFl0QJBokcj+FlogVGcV4HbtAsGNwGF\n +3XY41MAz6XHCF2wtKtubknnpVl96y8/HKDbnd1ykSPCssaW3jgq26jOzQ==\r\n

heXelium Ранг: 0.6 (гость), 1thx Активность: 0=0 Статус: Участник	Создано: 04 февраля 2013 19:21 · Личное сообщение · #2 Medsft у тебя не верные суждения. Смотри как работает: 1. L2divine бот пытается авторизироватся на сервери линейки. Сервер линийки любой. 2. Сервер линейки шлет паблик ключ RSA и еще другую информацию, не будем углубляться в детали. 3. L2divine бот берет Логин, пароль и RSA ключ и еще может какую фигню, шифрует чемто своим и шлет на свой сервер. 4. L2divine сервер смотрит проплачен ли доступ для этого логина. Если проплачен шифрует логин пароль с помощью этого RSA ключа + разрешение что можна пользоватся и все это шифруется чемто своим сверху. 5. L2divine бот шлет полученые данные линейдж серверу. И проходит авторизацию. Дальше L2divine сервер в работе бота никак не участвует. Вся логика работы кроме маленькой части находится в нем же. И вообще сервер линейки никакого отношения к этому боту не имеет. Протокол линейки давно изучен, есть много эмуляторов серверов, этот сервер может поднять себе каждый. Так что если эмулировать сервер л2дивайн, все будет намного лучше чем патчить бота. И никаких серверов красть не надо)
rastHEX Ранг: 1.8 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 04 февраля 2013 19:43 · Личное сообщение · #3 heXelium вот я себе схожую структуру представлял. недумаю что у них договоренность со всеми серверами линейки
reversecode Ранг: 1053.6 (!!!!), 1078thx Активность: 1.06↘0.81 Статус: Участник	Создано: 04 февраля 2013 19:48 · Поправил: reversecode · Личное сообщение · #4 rastHEX смысл всего этого? на халяву играть? делом бы лучше занялись, вагоны стоят не разгружены.. а им бы все играть игроманы етить
Medsft Ранг: 330.4 (мудрец), 334thx Активность: 0.16↗0.17 Статус: Участник ILSpector Team	Создано: 04 февраля 2013 19:53 · Поправил: Medsft · Личное сообщение · #5 если это так тогда у автора темы должны быть пакеты для обоих серверов 1. Если количество пакетов для обоих серверов примерно одинаково то у вас не возникаетвозникает мысль что пол пакета формируется на клиенте а вторая на сервере потом либо возвращается на клиент для отправки игровому серверу В любом случае сорри если моя схема была не верна.... я видимо не про того бота..... я про бота для оффициальной линейки))) Reversecode а что тут такого бот тоже прога .....)))
heXelium Ранг: 0.6 (гость), 1thx Активность: 0=0 Статус: Участник	Создано: 04 февраля 2013 19:59 · Личное сообщение · #6 Дык да я и не играю, просто сама идея защиты мне понравилась... И вообще не моя тема....
rastHEX Ранг: 1.8 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 04 февраля 2013 20:09 · Личное сообщение · #7 Medsft Есть оба перехваченных пакета(смотри посты мои на первой странице) и содержание в них явно разное.
heXelium Ранг: 0.6 (гость), 1thx Активность: 0=0 Статус: Участник	Создано: 04 февраля 2013 21:21 · Личное сообщение · #8 rastHEX пишет: MedsftЕсть оба перехваченных пакета(смотри посты мои на первой странице) и содержание в них явно разное. У тебя 3, 4 пакеты что нарисованые на моей схеме, естественно они разные если ты внимательно читал. Они тебе ничего не дадут не зная чем зашифровано. Medsft насколько я понял имел виду пакеты и от сервера ла2. Но нет они тебе не нужны. Как я уже описал выше я вижу 2 способа решения отлома защиты.
Medsft Ранг: 330.4 (мудрец), 334thx Активность: 0.16↗0.17 Статус: Участник ILSpector Team	Создано: 04 февраля 2013 21:39 · Личное сообщение · #9 Нет это принципиально: они есть или нет. Это к вопросу схемы предложенной hexelium
rastHEX Ранг: 1.8 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 04 февраля 2013 23:45 · Поправил: rastHEX · Личное сообщение · #10 Для нала как понимаю - загрузить _SVM_BUF.DAT в запущенную Permutation_1cc06_2.0.dll и отлаживать построчно анализируя код. я деобвусцировал Permutation_1cc06_2.0.dll в ней много своих методов реализовано, мне бы код из _SVM_BUF.DAT привести в понятный вид - есть идеи? а потом просто беру и нахожу нужные методы в теле Permutation_1cc06_2.0.dll и составляю алгоритм работы. Medsft Проверил снифером - прога общается со своим сервером только на этапе лог-ина, дальше запросы напрямую на сервер линейки.
rastHEX Ранг: 1.8 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 05 февраля 2013 03:10 · Поправил: rastHEX · Личное сообщение · #11 сделал апдейт первого поста темы. Medsft и heXelium - отдельное спасибо
Medsft Ранг: 330.4 (мудрец), 334thx Активность: 0.16↗0.17 Статус: Участник ILSpector Team	Создано: 06 февраля 2013 18:41 · Личное сообщение · #12 rastHEX пишет: Используя NETUnpack получит 5 файлов Умник(( а дампить с использованием инструментов расположенных в шапке "Опятт Net" не пробовал? ))))) Возьми оттуда DotNet Dumper-> стартани свой бот-> стартани Dumper-> выбери процесс с именем l2divine-> нажми правую кнопку мыши-> выбери Dump Ful ->кури!!!!!!! -> а потом гляди в папку с ботом каталог Dumps там много чего интересного для себя найдешь
Medsft Ранг: 330.4 (мудрец), 334thx Активность: 0.16↗0.17 Статус: Участник ILSpector Team	Создано: 06 февраля 2013 19:16 · Личное сообщение · #13 Более того он даже запускается http://rghost.ru/43598045 (ложить в папку Dumps)
rastHEX Ранг: 1.8 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 07 февраля 2013 01:57 · Личное сообщение · #14 снимал дампером для олии - неработал. попробую так Medsft спасибо
rastHEX Ранг: 1.8 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 11 февраля 2013 21:31 · Поправил: rastHEX · Личное сообщение · #15 Medsft Dump all только есть. сделал но ехе не запускается --> Link <-- твой ехе матюкается эрором и запускается, однако при нажатии пункта меню нет никаких действий. текст Code: Подробная информация об использовании оперативной (JIT) отладки вместо данного диалогового окна содержится в конце этого сообщения. ************ Текст исключения ********** Microsoft1Licensing1Runtime210BA: Failed to load permutation assembly for runtime v2.0.50727 ---> System.IO.FileLoadException: Failed to load permutation assembly Microsoft.Licensing.Permutation_1cc06_2.0, Version=1.0.0.1, Culture=neutral, PublicKeyToken=5b7832056d5afd0b ---> System.IO.FileNotFoundException: Невозможно загрузить файл или сборку "Microsoft.Licensing.Permutation_1cc06_2.0, Version=1.0.0.1, Culture=neutral, PublicKeyToken=5b7832056d5afd0b" или один из зависимых от них компонентов. Не удается найти указанный файл. Имя файла: "Microsoft.Licensing.Permutation_1cc06_2.0, Version=1.0.0.1, Culture=neutral, PublicKeyToken=5b7832056d5afd0b" в System.Reflection.Assembly._nLoad(AssemblyName fileName, String codeBase, Evidence assemblySecurity, Assembly locationHint, StackCrawlMark& stackMark, Boolean throwOnFileNotFound, Boolean forIntrospection) в System.Reflection.Assembly.nLoad(AssemblyName fileName, String codeBase, Evidence assemblySecurity, Assembly locationHint, StackCrawlMark& stackMark, Boolean throwOnFileNotFound, Boolean forIntrospection) в System.Reflection.Assembly.InternalLoad(AssemblyName assemblyRef, Evidence assemblySecurity, StackCrawlMark& stackMark, Boolean forIntrospection) в System.Reflection.Assembly.InternalLoad(String assemblyString, Evidence assemblySecurity, StackCrawlMark& stackMark, Boolean forIntrospection) в System.Reflection.Assembly.Load(String assemblyString) в Microsoft.Licensing.Utils.AssemblyUtil.LoadAssemblyFromLocalPath(String sFullOrShortAssemblyName) в Microsoft.Licensing.Utils.AssemblyUtil.GetAssembly(String sFullOrShortAssemblyName) в Microsoft1Licensing1Runtime210DB.A(String A_0, Boolean A_1) Предупреждение: регистрация привязки сборок выключена. Чтобы включить регистрацию ошибок привязки сборок, установите значение параметра реестра [HKLM\Software\Microsoft\Fusion!EnableLog] (DWORD) в 1. Примечание. Регистрация ошибок привязки сборок может привести к некоторому снижению производительности. Чтобы отключить эту функцию, удалите параметр реестра [HKLM\Software\Microsoft\Fusion!EnableLog]. в Microsoft1Licensing1Runtime210DB.A(Exception A_0, String A_1) в Microsoft1Licensing1Runtime210DB.A(String A_0, Boolean A_1) в Microsoft1Licensing1Runtime210DB.D() в Microsoft1Licensing1Runtime210DB.E() --- Конец трассировки внутреннего стека исключений --- в Microsoft1Licensing1Runtime210DB.E() в Microsoft1Licensing1Runtime210DB.F() в Microsoft.Licensing.SLMRuntime.get_SVM() в Microsoft.Licensing.SLMRuntime.InternalSVMExecMethod(Assembly declaringAssembly, String SVMMethodId, ISLMVirtualMachineParams paramsReader) в Microsoft.Licensing.SLMRuntime.SVMExecMethod(Object obj, String SVMMethodId, Object[] args) в eval_b7.eval_w(Object sender, EventArgs e) в System.Windows.Forms.Form.OnLoad(EventArgs e) в System.Windows.Forms.Form.OnCreateControl() в System.Windows.Forms.Control.CreateControl(Boolean fIgnoreVisible) в System.Windows.Forms.Control.CreateControl() в System.Windows.Forms.Control.WmShowWindow(Message& m) в System.Windows.Forms.Control.WndProc(Message& m) в System.Windows.Forms.ScrollableControl.WndProc(Message& m) в System.Windows.Forms.ContainerControl.WndProc(Message& m) в System.Windows.Forms.Form.WmShowWindow(Message& m) в System.Windows.Forms.Form.WndProc(Message& m) в System.Windows.Forms.Control.ControlNativeWindow.OnMessage(Message& m) в System.Windows.Forms.Control.ControlNativeWindow.WndProc(Message& m) в System.Windows.Forms.NativeWindow.Callback(IntPtr hWnd, Int32 msg, IntPtr wparam, IntPtr lparam) ********** Загруженные сборки ************ mscorlib Версия сборки: 2.0.0.0 Версия Win32: 2.0.50727.5466 (Win7SP1GDR.050727-5400) CodeBase: file:///C:/Windows/Microsoft.NET/Framework/v2.0.50727/mscorlib.dll ---------------------------------------- L2Divine Версия сборки: 10.0.4769.32363 Версия Win32: 10.0.* CodeBase: file:///C:/Users/МаксимТаня/Desktop/L2Divine/Dumps/l2Divine_fix-cleaned.exe ---------------------------------------- System.Windows.Forms Версия сборки: 2.0.0.0 Версия Win32: 2.0.50727.5467 (Win7SP1GDR.050727-5400) CodeBase: file:///C:/Windows/assembly/GAC_MSIL/System.Windows.Forms/2.0.0.0__b77a5c561934e089/System.Windows.Forms.dll ---------------------------------------- System Версия сборки: 2.0.0.0 Версия Win32: 2.0.50727.5467 (Win7SP1GDR.050727-5400) CodeBase: file:///C:/Windows/assembly/GAC_MSIL/System/2.0.0.0__b77a5c561934e089/System.dll ---------------------------------------- System.Drawing Версия сборки: 2.0.0.0 Версия Win32: 2.0.50727.5467 (Win7SP1GDR.050727-5400) CodeBase: file:///C:/Windows/assembly/GAC_MSIL/System.Drawing/2.0.0.0__b03f5f7f11d50a3a/System.Drawing.dll ---------------------------------------- System.Windows.Forms.resources Версия сборки: 2.0.0.0 Версия Win32: 2.0.50727.5420 (Win7SP1.050727-5400) CodeBase: file:///C:/Windows/assembly/GAC_MSIL/System.Windows.Forms.resources/2.0.0.0_ru_b77a5c561934e089/System.Windows.Forms.resources.dll ---------------------------------------- Microsoft.Licensing.Runtime2.0 Версия сборки: 1.0.0.1 Версия Win32: 2.0.1314.0 CodeBase: file:///C:/Users/МаксимТаня/Desktop/L2Divine/Dumps/Microsoft.Licensing.Runtime2.0.DLL ---------------------------------------- Microsoft.Licensing.Utils2.0 Версия сборки: 1.0.0.1 Версия Win32: 2.0.1314.0 CodeBase: file:///C:/Users/МаксимТаня/Desktop/L2Divine/Dumps/Microsoft.Licensing.Utils2.0.DLL ---------------------------------------- System.Xml Версия сборки: 2.0.0.0 Версия Win32: 2.0.50727.5420 (Win7SP1.050727-5400) CodeBase: file:///C:/Windows/assembly/GAC_MSIL/System.Xml/2.0.0.0__b77a5c561934e089/System.Xml.dll ---------------------------------------- mscorlib.resources Версия сборки: 2.0.0.0 Версия Win32: 2.0.50727.5466 (Win7SP1GDR.050727-5400) CodeBase: file:///C:/Windows/Microsoft.NET/Framework/v2.0.50727/mscorlib.dll ---------------------------------------- ************ Оперативная отладка (JIT) ************ Для подключения оперативной (JIT) отладки файл .config данного приложения или компьютера (machine.config) должен иметь значение jitDebugging, установленное в секции system.windows.forms. Приложение также должно быть скомпилировано с включенной отладкой. Например: <configuration> <system.windows.forms jitDebugging="true" /> </configuration> При включенной отладке JIT любое необрабатываемое исключение пересылается отладчику JIT, зарегистрированному на данном компьютере, вместо того чтобы обрабатываться данным диалоговым окном.
Medsft Ранг: 330.4 (мудрец), 334thx Активность: 0.16↗0.17 Статус: Участник ILSpector Team	Создано: 12 февраля 2013 12:51 · Личное сообщение · #16 Из сообщения же видно что длл ку подгрузить не может. Мой тебе совет:Засовывай ехешку в reflector и filedisassemblerom делай сырки и вперед это мясо в студию. Пару тысяч ошибок исправишь (из них 1000 за 15 мин) остальные (пишешь в какой нибудь утилите например где есть групповая замена заменить во всех cs`никах имена методов первую букву на заглавную, вернее это в начале) и будет тебе счастье Да и еще strong name снеси чем нибудь. Кстати ехешник можешь получить сам: l2divine.exe из директории Dumps травишь на него universal fixer (исправляем заголовок) затем de4dot (деобсфуркация) затем в SAE его же deobfuctacor с опциями string only и у тебя на руках почти сломатый бот )))))
rastHEX Ранг: 1.8 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 12 февраля 2013 18:37 · Поправил: rastHEX · Личное сообщение · #17 Medsft спасибо. пробую попробовал - я нечто подобное получал в первых постах топика. много кода и никаких намёков какая процедура код проверяет.
rastHEX Ранг: 1.8 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 19 февраля 2013 00:01 · Личное сообщение · #18 4й день изучаю код, пробовал дамп и в рефлектор и в иду и в дасм подсовывать - немогу найти код отвечающий за крипт\декрипт запроса. комьюнити прошу помощи или советов.
Medsft Ранг: 330.4 (мудрец), 334thx Активность: 0.16↗0.17 Статус: Участник ILSpector Team	Создано: 19 февраля 2013 18:21 · Поправил: Medsft · Личное сообщение · #19 Ну тебя ratsHEX. Алгоритм твоих дальнейших действий разгадан.Следующим твоим вопросом будет: N-й день изучаю код, пробовал (все что придет тебе на ум из программ имеющих отношение к реверсингу) - немогу (перекомпилить проект или метод) комьюнити прошу помощи. Сказал бы проще - ребята сломайте мне бота очень на халяву хочется стать ТОР-игроком. Только вряд-ли это получится на хяляву. Согласись ты ведь даже если я пришлю тебе исходный код в формате MVS2010 ты его даже скомпилить не сможешь. Почему я делаю такой вывод: в твоих последних репостах нет ни слова о чем я написал чуть выше, ты сырки даже в руки не брал. И вообще, Модератор закрой тему pls. \| Сообщение посчитали полезным: ZaZa, plutos
developer l2divine Ранг: 0.2 (гость) Активность: 0=0 Статус: Участник	Создано: 20 февраля 2013 03:14 · Личное сообщение · #20 Medsft Code: http://www.exelab.ru/f/index.php?action=vthread&forum=3&topic=20428#10
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 20 февраля 2013 12:00 · Личное сообщение · #21 От модератора: не зря я закрывал предыдущие темы, знал что закончится попрошайничеством, больше никаких ботов не потерплю. ----- [nice coder and reverser]

<< . 1 . 2 .

Для печати