Разбор протокола World of Tanks03.02.2021 15:02

Приветствую, сегодня будем разбирать протокол танков (мобильных)

Автор не несет ответственности за материал предоставленный в данной статье, все что вы прочитали или увидели — мне приснилось. Инструменты, написанные в процессе анализа протокола, никогда не будут выпущены в публичный доступ.

Инструменты которые нам понадобятся

  1. x64 dbg

  2. Cutter (Radare2)

  3. C++4. WireShark

Начало (Протокол)

Начинать анализ я начал с определения протокола который использует игра для коммуникации (TCP / UDP).

Открываем procmon (делаем попытку авторизации в клиенте игры).

21563028caf65b214843778edca095e7.png

Сетевая активность показывает что в игре используется UDP протокол (на момент авторизации точно)Я заметил пакеты размером 12 байт (сообщения ping / pong), но что самое интересное, это пакет размером 273 байта и ответ размером 30 байтМожно смело сказать что этот пакет является пакетом авторизации.Немного изучив директорию игры я наткнулся на файл «loginapp_wot.pubkey«Содержимое данного файла — публичный ключ RSA-2048 (Но об этом позже)Сейчас нам нужно взглянуть на содержимое этих пакетов

Пакеты (Ассиметричное шифрование)

Открываем WireShark — ставим фильтр на UDP протокол и делаем попытку авторизации.

bc1f741e064b969d1c57e000f757646b.pngd1904b36f7c3f1cccc7fc736bb42e62b.png

Шифрование (Кто бы мог подумать что мы его найдем)Клиент отправляет на сервер зашифрованный пакет с фиксированным размером (273 байт) и получает незашифрованный пакет от сервера. Выполнив несколько попыток авторизоваться, я решил сравнить пакеты:

09d3bfdf8e0c005b9b8d54379db90646.png

Помеченные байты не меняются (только незначимые 1–2 байта) Структура пакета получается следующей: 

HEADER => [0x01, 0x00, 0x00, 0x04, 0x01, 0x31, 0x98, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x09, 0x02]
BODY => [? ? ? ? ?]
FOOTER => [0x02, 0x00]

Размер тела пакета равна 256 байт * 8 = 2048 бит (вспоминаем о публичном ключе RSA-2048)

Динамический Анализ

Открываем наш любимый x64dbg и ставим 2 брекпоинта на экспортируемые функции ws2_32 [send / sendTo]

644d997697d7d611f5d1af62840b9a43.png

Отлично (это тот самый пакет который отправляется на сервер)Теперь нужно найти функцию шифрования которая шифрует данные авторизации. Изучив call stack, я нашел эту чудесную функцию которая принимает наш буфер и размер 0×100:

f0b0141b73dba0476d0ab0c8137c2f8e.png

Тело сообщения это Json Объект.


К слову body имеет тоже свою структуру, но углубляться в это я не буду.

Как это работает?

Авторизация работает с использованием ассиметричного шифрования (RSA-2048) пакет имеет свою кастомную структуру.

После успешной авторизации клиент переключается на симметричное шифрование по заранее согласованному сеансовому ключу.

Шифрование (Симметричное шифрование)

После успешной авторизации, от сервера прилетает зашифрованный пакет и тут включается симметричное шифрование.

Немного проанализировав функции я нашел функцию которая отвечает за дешифровку пакета

Сигнатура функции выглядит приблизительно вот так

3fbc36ec8d4e1adbc3fee86795bfe314.png

Пример вызова такой функции (caller)

7328bbc1b9ceda9ac81832be26c906f6.png

Все что нам нужно это сделать сплайсинг данной функции.

Сплайсинг (от англ. splice) — метод перехвата API функций путём изменения кода целевой функции. Вместо них вставляется переход на функцию, которую определяет программист.

Для начала нам нужно вызвать оригинальную функцию дешифровки.
После этого прочитать [ptr* dest]

Я решил написать свою Dll на C++ чтобы сделать трамплин функции
Не забываем о соблюдении соглашении при вызове (__cdecl / __fastcall / __thiscall)

  1. Получаем адрес функции через GetModuleBaseAddress + RVA

  2. Делаем сплайсинг функции

Итог

Инжектим dll в процесс игры (я использовал CE).
Выполняем авторизацию в игру и наслаждаемся.

© Habrahabr.ru