Сниффер

[LordJZ]

Именно такие, может вы перепутали server/client?

[Йоха]

Разобрался. В первом соединении тоже приходит SMSG_AUTH_CHALLENGE, но там сиды какие-то левые.
Фэйк что ли какой-то близы придумали ... или просто эти сиды для первого соединения зашифрованые каким-то образом.
А вот во втором уже приходит SMSG_AUTH_CHALLENGE с верными сидами.

[LordJZ]

Сиды из первого SMSG_AUTH_CHALLENGE не используются

[Йоха]

значит фэйк

Вроде все как будто работает, расшифровку пакетов на лету отладил...
Я учел в своем снифере возможность того что в одном куске данных от сервера или клиента может быть либо несколько маленьких пакетов, либо один большой пакет доходит кусками ... с этим проблем нет
А вот остался такой вопрос, возможна ли такая ситуация что в данных с сервера или клиента может оказаться не полный заголовок пакета?
Ну примерно так:
Предыдущая обработка завершилась нормально, ожидаем следующий пакет, тут приходит порция данных с сервера, а длина ну скажем 3.
Ясное дело что минимальный пакет от сервера может быть длиной 4. И если все делать правильно, если обнаружена такая ситуация, то надо дождаться недостающих данных. Или не стоит заморачиваться, и такого не бывет ?

[LordJZ]

Бывает, я на это напарывался.

Точнее бывает в случае когда идут несколько опкодов в одном пакете, а в конце кусочек заголовка еще одного опкода. Не знаю как в вашей реализации, у меня это происходило.

[Йоха]

ясно, значит нужно учесть еще что заголовок может прийти не полностью

[zergtmn]

Как-то уныло через виртуальную машину снифать... Есть способ заставить работать pcap с VPN подключением?

[Konctantin]

он просто его не понимает.

[Йоха]

Кто-нибудь знает библиотеку для работы с raw сокетам на с++ под винду ?

Сообщение от Konctantin

С проксей сейчас туговато, раньше нужный коннект определялся исходя из того какой адресс приходит в пакете с опкодом 4, а сейчас ввели криптовку и стало плохо.
приходится извращатся

Кстати насчет поиска адреса второй сессии, если ваш сниффер расшифровывает пакеты на лету, то вторая сессия легко определяется из пакета 0x050D_SMSG_NEW_SESSION, там первые четыре байта это ip, следом word - порт куда должна конектиться вторая сессия.

[Konctantin]

раньше нужный коннект определялся исходя из того какой адресс приходит в пакете с опкодом 4

я имел в виду не

Кстати насчет поиска адреса второй сессии

а поиск первой сессии, раньше мы брали ИП:порт с батлнет траффика.

[Йоха]

ясно, значит я неправильно понял пост -)

[Йоха]

В продолжение темы, если я хочу вставить свой пакет в поток, мне придется следующие пакеты от клиента все перешифровывать, в связи с этим вопрос, как зашифровать заголовок ?

Расшифровкой занимается такая функция

PHP код:

void CCrypt::DecryptData(BYTE *data, int len)
{
    int outlen = 0;
    EVP_EncryptUpdate(&m_key, data, &outlen, data, len);
    EVP_EncryptFinal_ex(&m_key, data, &outlen);
} 


а как зашифровать заголовок ? В криптографии не силен к сожалению

пропусти его через DecryptData и он зашифруется. в рц4 нет специального алгоритма для зашифровывания, он в оба конца работает.

А, не, сори. там же два ключа, один для отправки, другой для приёма, надо со вторым ключом тоже хеш сгенерить и инициализировать ещё один RC4, он то и будет по идее зашифровывать.
как-то так.. если бы у меня хоть расшифровать получилось)

[alien]

От нечего делать решил найти где лежит sessionkey в 4.0.1
вот правка для tiawps
tiawps_reader.exe 13261876 1288

[Konctantin]

локаль 0x00C8155C

[acteros]

Сообщение от alien

От нечего делать решил найти где лежит sessionkey в 4.0.1
вот правка для tiawps
tiawps_reader.exe 13261876 1288

Можно узнать как вы получили это "13261876" значение ?

[Deamon]

Сообщение от acteros

Можно узнать как вы получили это "13261876" значение ?

Это секретное искусство ниндзюцу, о котором обычно не пишут на форумах. Передается оно из рук в руки. И таких мелочей загадок в кухне ВоВ ой как много.

А конкретно по этому вопросу - ищется определенная строка в wow.exe и по ней находится определенный программный код. Вот вот из этого кода адресок и берется.

[Konctantin]

Найти эту функцию, можно по строке ACCOUNT_MESSAGE_BODY_NO_READ_URL, она такая одна

signed int __thiscall sub_92B460(int this, int a2)
{
  int v2; // edi@1
  int v3; // edx@3
  char *v4; // ecx@3
  signed int v5; // esi@3
  int v6; // eax@3
  char v7; // al@4
  int v8; // eax@9
  signed int v9; // esi@9
  int v10; // esi@9
  int v11; // eax@9
  char v13; // [sp+4h] [bp-57Ch]@3
  char v14; // [sp+504h] [bp-7Ch]@9
  char v15[20]; // [sp+560h] [bp-20h]@9
  char v16; // [sp+574h] [bp-Ch]@9
  int v17; // [sp+57Ch] [bp-4h]@11

  v2 = this;
  if ( *(_DWORD *)(this + 4) == 1 || *(_DWORD *)(this + 60) )
    return 0;
  v13 = 0;
  v6 = sub_4D3320();
  v4 = &v13;
  v5 = 1279;
  v3 = v6 - (_DWORD)&v13;
  while ( 1 )
  {
    v7 = v4[v3];
    *v4++ = v7;
    if ( !v7 )
      break;
    --v5;
    if ( !v5 )
      goto LABEL_8;
  }
  if ( v5 )
    goto LABEL_9;
LABEL_8:
  *v4 = 0;
LABEL_9:
  v8 = ClientServices__GetCurrentConnection();
  v10 = ClientServices__GetSessionKey(v8);
  SHA1__Init(&v14);
  SHA1__Update(&v14, v10, 40);
  SHA1__Update(&v14, "\vz", 2);
  SHA1__Final(v15, &v14);
  DynamicString__DynamicString(&v16);
  DynamicString__Resize(1024);
  v11 = FrameScript__GetText("ACCOUNT_MESSAGE_BODY_NO_READ_URL", -1, 0);
  sub_7CB5A0(v11);
  DynamicString__Append("?accountName=");
  DynamicString__Append(&v13);
  DynamicString__Append("&sessionKeyHash=");
  v9 = 0;
  do
    DynamicString__Unknown1((unsigned __int8)v15[v9++]);
  while ( v9 < 20 );
  DynamicString__Append("&messageId=");
  DynamicString__Unknown1(a2);
  if ( !(unsigned __int8)sub_7D4F60(v17, sub_92C010, v2) )
  {
    *(_DWORD *)(v2 + 4) = 3;
    DynamicString__Free(&v16);
    return 0;
  }
  *(_DWORD *)(v2 + 64) = 0;
  sub_92BFF0(v2);
  DynamicString__Free(&v16);
  return 1;
}

int __cdecl ClientServices__GetCurrentConnection()
{
  return dword_CA5C34;// в десятичной системе исчисления это и будет  искомое значение
}

int __thiscall ClientServices__GetSessionKey(void *this)
{
  return (int)((char *)this + 1288);
}

Когда-то показывал все это TOM_RUS еще на старом форуме

[acteros]

Разобрался но tiawps выдаёт
версия 4.0.1
tiawps_reader.exe 13261876 1288

couldn't read pointer, just read 0 bytes instead of 4
reading sessionkey failed - will try again in 1 second

[Konctantin]

какая у вас ОС ? Если виндовс 7, тогда примените это

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management]
"MoveImages"=dword:00000000

источник

[TOM_RUS]

Еще можно вместо отключения ASLR использовать:

address = Process.MainModule.BaseAddress + relativeOffset;

Relative offset можно получить, выполнив в IDA следующие операции:
edit -> segments -> rebase, 0x1000

[Йоха]

когда я разбирался с этой фигней, то выяснил что функция API - AdjustTokenPrivileges под вин7 не работает без прав администратора. Собственно просто запускаешь программу с правами администратора и все работает.

[TOM_RUS]

Сообщение от Йоха

когда я разбирался с этой фигней, то выяснил что функция API - AdjustTokenPrivileges под вин7 не работает без прав администратора. Собственно просто запускаешь программу с правами администратора и все работает.

Это никак не поможет, если процесс использует ASLR.

[Йоха]

Странно, но у меня все работает, без правки реестра и прочих ухищрений
Хватает запуска программы с правами администратора

Вин7 домашняя расширенная (64 бит)

З.Ы. возможно мы о разных вещах говорим ...

[alien]

Я так понял близы не мешали опкоды, а просто применяю некоторые выражения для получения из старых опкодов новые.
к примеру

a1 & 1 | ((a1 & 0xC | ((a1 & 0x1E0 | ((a1 & 0x800 | (a1 >> 1) & 0x7000) >> 2)) >> 1)) >> 1)

где а1 это старый опкод а на выходе новый.
.....
это просто мои мысли поправте если я неправ.

[TOM_RUS]

Сообщение от alien

Я так понял близы не мешали опкоды, а просто применяю некоторые выражения для получения из старых опкодов новые.
к примеру

a1 & 1 | ((a1 & 0xC | ((a1 & 0x1E0 | ((a1 & 0x800 | (a1 >> 1) & 0x7000) >> 2)) >> 1)) >> 1)

где а1 это старый опкод а на выходе новый.
.....
это просто мои мысли поправте если я неправ.

Это получение индекса для массива указателей на обработчики пакетов aka condensed Id.

[Deamon]

Сообщение от TOM_RUS

Это получение индекса для массива указателей на обработчики пакетов aka condensed Id.

Который к тому же менялся несколько раз за время бета теста клизмы.

[Fabian]

I don't understand it. I try to find a few opcode values for a little test, but I don't understand the new things in the beta wow.exe.

can anyone give me a sample to find out some opcode values?

[alien]

Тут был бред ))

[Konctantin]

там нету под 4.0.1, и гляньте на дату последнего обновления...

[alien]

Да точно что-то я опростоволосился )))

[abdula123]

начал обновлять свой сниффер до 4.0.1...


близзи - долбоящеры.


если я правильно понял в 4.0.1.13205 у объекта ClientConnection есть массив на 4 ServerConnection'а.

они что, собираются поднимать до 4х соединений одновременно?

[virusav]

http://ru-mangos.ru/showpost.php?p=16121&postcount=15
http://ru-mangos.ru/showpost.php?p=16123&postcount=17

[abdula123]

Сообщение от virusav

http://ru-mangos.ru/showpost.php?p=16121&postcount=15
http://ru-mangos.ru/showpost.php?p=16123&postcount=17

... еще при смене карты редирект должен быть.

все эти редиректы я отслеживаю и обрабатываю. они были еще в 3.3.3.

просто раньше в коде клиента была работа с 2мя соединениями - основным и дополнительным.

после согласования дополнительного приходила команда SMSG_SWITCH_TO_SECOND и основное закрывалось, а дополнительное становилось основным.


а сейчас там, если я правильно понимаю - 4 полноправных соединения, из которых 2 используются в параллель.

и ничего не мешает клиенту использовать параллельно все 4



основной обмен данными идет через второе активное соединение (3е после логина)

а вот что сыпется в первое непонятно:
вижу SMSG_ZONE_UNDER_ATTACK, SMSG\CMSG_WARDEN_DATA, что-то про ГМские тикеты, GAMEUI.

похоже, всякая фоновая ересь.

[Йоха]

видимо разделили поток на 2 типа, 1 -всякие второстепенные вещи, которые обрабатываются когда есть время, и 2 - все что касается игры непосредственно, перемещения, создание/удаление объектов, касты и т.д. сообщения из этого потока обрабатываются в приоритете. Борются так сказать с лагами.

В игре теперь ограничено количество запросов о предметах на персонаже, адон геарСкоре сканировал постоянно всех вокруг непрерывно, полагаю в местах скопления людей трафик возрастал в разы. Теперь все это дело порезали и надо сказать что все усилия не напрасны, пинг в игре снизился имхо, как-то живее все стало происходить вокруг.

[valsha]

кто то мог бы поделится снифами от 3.3.5 стартовой локации DK?
заранее спасибо.

[Fedia22]

при перенаправлении ВоВа на ProxyCap чтоб начать снифать у меня усердно не хочет запускаться ВоВ падает с ошибкой

This application has encountered a critical error:

ERROR #134 (0x85100086) Fatal Condition
Program: D:\Fedia22\WoW\Wow.exe

Failed to open archive Data/wow-update-13164.MPQ. Missing or corrupted data.
Unable to recover using data from the network. Please check your Internet connection and try again.

Debug Details:

[0] err=4 text=Win32 Open - Data\wow-update-13164.MPQ.writeCacheBackup
[7] err=0 text=Manifests::ReadDirectFile - ReadDirectFileFromBuffer failed
[6] err=0 text=ManifestInfo::ReadDirectFileFromBuffer - manifest_partial tag failed
[5] err=8 text=FileManifest::ReadIndirectFile - DownloadURL failed - http://ak.worldofwarcraft.com.edgesu...F25947FA4.mfil
[4] err=0 text=Blizzard::Streaming::ManifestInfo::ReadIndire ctFile - MD5 validation failed for http://ak.worldofwarcraft.com.edgesu...F25947FA4.mfil
[3] err=0 text=Blizzard::Streaming::ManifestInfo::ReadIndire ctFile - MD5 validation failed for http://ak.worldofwarcraft.com.edgesu...F25947FA4.mfil
[2] err=0 text=Blizzard::Streaming::ManifestInfo::ReadIndire ctFile - MD5 validation failed for http://ak.worldofwarcraft.com.edgesu...F25947FA4.mfil
[1] err=0 text=Blizzard::Streaming::ManifestInfo::ReadIndire ctFile - MD5 validation failed for http://ak.worldofwarcraft.com.edgesu...F25947FA4.mfil
[0] err=0 text=Blizzard::Streaming::ManifestInfo::ReadIndire ctFile - MD5 validation failed for http://ak.worldofwarcraft.com.edgesu...F25947FA4.mfil
Storm Error Msg:Попытка поместить указатель на файл перед началом файла.

подскажите что может быть у Константина всё нормально, настройки 1 в 1

[Йоха]

переписал снифер с нуля для поддержки нового клиента и нового формата 3.0, в raw формат пишет нормально, но ввиду отсутствия конвертера в pkt решил приделать возможность записи сразу в пкт. И тут возникли грабли, первые два пакета такие:

S->C opcode 0x6019, len   37, connectionindex 0
C->S opcode 0x0E0E, len  314, connectionindex 0

что это за опкоды ?

[HuntsMan]

1. SMSG_AUTH_CHALLEGE
2. CMSG_AUTH_SESSION

[Lordronn]

SMSG_AUTH_CHALLENGE
CMSG_AUTH_SESSION