Odczyt haseł z Nowego GG.pdf

Odczyt haseł z Nowego

W aplikacji Nowe GG (Gadu-Gadu 8.0), zmieniono kodowanie hasła serwera. Póki co

algorytm nie jeszcze bliżej znany, jednakże zaprezentowanym poniżej sposobem można

odczytać hasło serwera z plików konfiguracyjnych, niekoniecznie pochodzących z naszego

komputera.

Metoda ta sprawdza się oczywiście w przypadku gdy hasło jest zapamiętane w programie

(autologowanie) oraz gdy nie zostało użyte hasło profilu. W momencie wykorzystania przez

użytkownika hasła profilu ważniejsze pliki konfiguracyjne jak i archiwum są szyfrowane

algorytmem AES256 oraz Blowfish (informacja podana przez GG) i wówczas pozostaje tylko

metoda Brute Force.

Pliki konfiguracyjne znajdują się w folderze :

C:\Documents and Settings\uzytkownik\Dane aplikacji\Nowe Gadu-Gadu\numergg\

Ważną kwestią jest to iż hash hasła pomimo tego iż zmienia się po każdym zamknięciu

programu to jednak ciągle jest on „użyteczny”. Znajduje się on w pliku Profile.xml pod

pozycją:

Jednakże sam hash nie wystarczy do odczytu hasła, niezbędna jest znajomość dwóch pozycji

z tego samego pliku, a mianowicie:

.................

Najprościej jest skopiować cały folder wybranego profilu, a raczej jego 3 najważniejsze pliki:

Profile.xml

ProfileBasic.xml

Status.xml (to można sobie w sumie odpuścić)

Tyle tylko, iż GG zabezpieczyło się przed takim bezmyślnym kopiowaniem plików stosując

również odczyt klucza sprzętowego, którym jest numer seryjny woluminu C. Aby

zautomatyzować cały ten proces stworzyłem program do kopiowania niezbędnych plików z

profili oraz pobrania numer seryjnego woluminu.

Program ponadto posiada możliwość uruchomienia z parametrem „–auto” , dzięki czemu po

włożeniu np.: pendrive’a automatycznie bez okienek etc.) sczyta i zapisze numer seryjny oraz

skopiuje wszystkie profile. W paczce z programem jest przykładowy plik autorun.inf do

wrzucenia na nośnik. Mając te pliki wystarczy, iż wrzucimy je do naszego folderu:

C:\Documents and Settings\uzytkownik\Dane aplikacji\Nowe Gadu-Gadu\

Programem VolumeID 2.0 (w paczce) zmieniamy numer seryjny naszej partycji C na numer z

pliku wolumin.txt. Przykład użycia:

Start -> Uruchom -> cmd -> ścieżkadopliku\volumeid.exe c: 1A56-338A

Natomiast jeśli ktoś wolał hash hasła serwera , numer gg i nazwę konta skopiować ręcznie,

wówczas zmuszony jest do utworzenia nowego konta bądź edycji już istniejącego i w nim na

zmianę następujących rzeczy:

nazwę folderu (która jest numerem gg) na nazwę konta (numer gg) z którego pobrano

hash hasła

w pliku Profile.xml należy zmienić odpowiednio pozycję:

w pliku ProfileBasic.xml, podmieniamy pozycję:

<UID>.......</UID> (to samo co w ProfileUid)

<Name>.......</Name> (to samo co w ProfileName)

Mając skopiowane pliki konfiguracyjne bądź podmienione odpowiednie pozycję można się

zalogować już bez zapytania o hasło, jednakże nas interesuje informacja co to za hasło. Do

tego celu posłuży nam OllyDBG v2.0 (w paczce). A więc uruchamiamy program i ładujemy

gg.exe (File->Open):

Następnie CTRL+G (Go To -> Expression) i wpisujemy adres 006CB030. Od tego adresu

zaczyna się funkcja dekodująca hash, więc wciskamy tu F2 (breakpoint) oraz kolejny raz F2

pod adresem 006CB05A.

Dla pewności wciskamy przycisk << z górnego menu. I po restarcie naciskamy F9 przenosząc

się do 1 breakpointa, a następnie jeszcze 6 razy F9 (przejście z pierwszego breakpointa do

drugiego, następnie z drugiego do pierwszego i tak 3 razy). Gdy jednak po 1 lub 2 pętli

uruchomi nam się Gadu-Gadu to znak, iż coś mamy źle ustawione (pliki konfiguracyjne lub

wolumin). Lecz gdy przejdzie 3 pętla to w prawej dolnej ćwiartce okna roboczego mamy

takie okienko z informacjami:

Przewijając paskiem kilka linii do góry, wówczas ukarze nam się nasze hasło:

Nasze hasło to oczywiście 123456 natomiast liczba 06 oznacza jego długość. I tak oto póki co

można odczytać hasło z nowego GG. Metoda odczytu hasła wprost z pamięci procesu tutaj się

nie sprawdza gdyż hasło to jest tylko przez niewielką chwile przechowywane w pamięci

(tylko przy starcie i zalogowaniu) i znajduję się pod różnymi adresami po każdym

uruchomieniu otoczone „śmieciami”.

Autorem poradnika jest Rafał Jelito.

http://rafal.jelito.org/index.php

http://legalne.info/1093/Odczyt-hasel-z-Nowego-Gadu-Gadu

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika: