Crack TMBOT

Vous avez un problème pour cracker ou vous souhaitez parler de reversing en général...

Crack TMBOT

Messagepar S8N » 25 Juin 2012, 19:41

Bonjour à tous,

Je poste pour vous demander de l’aide à la création d’un crack, je sais que les demande de crack sont interdit je demande juste de l’aide.
Je voudrais Cracker hxxp://www.tmbot.net/, il est valide que 10 jour gratuitement après fini voici les recherches que j’ai déjà effectué

Le programme ce connecte à 2 server http :
- 1er server : Server travian donc on laisse tomber
- 2éme server : Server du créateur programme

Le programme va 3 fois sur le serveur de son créateur :

1er appel http :

Voici le lien hxxp://www.tmbot.net/v_tm_h5.jsp?req=uGr9OzVIEQiFeS4Al2Z1Mw%3D%3D&x=1340645568574
Les paramètres GET sont aléatoires, cette appel permet de faire une vérification de la version du programme je crois
Voici la requête complète

Code: Tout sélectionner
GET /v_tm_h5.jsp?req=uGr9OzVIEQiFeS4Al2Z1Mw%3D%3D&x=1340645568574 HTTP/1.1
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0; SIMBAR={6FC338FD-2263-4ACB-B1C6-FCF7B262CDA0}; SLCC1; .NET CLR 2.0.50727; Media Center PC 5.0; .NET CLR 3.0.04506)
Host: www.tmbot.net
Accept: text/html, image/gif, image/jpeg, *; q=.2, */*; q=.2
Connection: keep-alive



voici la réponse :

Code: Tout sélectionner
HTTP/1.1 200 OK
Date: Mon, 25 Jun 2012 17:33:01 GMT
Server: Apache/2.2.9 (Debian) mod_jk/1.2.26 PHP/5.2.6-1+lenny16 with Suhosin-Patch proxy_html/3.0.0 mod_ssl/2.2.9 OpenSSL/0.9.8g mod_perl/2.0.4 Perl/v5.10.0
Content-Length: 133
Vary: Accept-Encoding
Keep-Alive: timeout=5, max=50
Connection: Keep-Alive
Content-Type: text/html






version=FwhFOFcwXCzFPwB4kkXN/boPRoLPdcAs5HerwyAUmSw=
date=Mon Jun 25 19:33:01 CEST 2012
id=7321c5ad-16cd-4d92-800f-e5511c89a7c7



2éme appel http:

Voice le lien :
hxxp://www.tmbot.net/v_tm_s2.jsp?id=7321c5ad-16cd-4d92-800f-e5511c89a7c7&d=fr

Le 1er paramètre est ID qu’on récupère grâce à l’appel numéro 1, je ne sais pas à quoi cette appel

Voici la requête d’envoi :

Code: Tout sélectionner
GET /v_tm_s2.jsp?id=7321c5ad-16cd-4d92-800f-e5511c89a7c7&d=fr HTTP/1.1
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0; SLCC1; .NET CLR 2.0.50727; .NET CLR 3.0.04506; .NET CLR 3.5.21022; InfoPath.2)
Host: http://www.tmbot.net
Accept: text/html, image/gif, image/jpeg, *; q=.2, */*; q=.2
Connection: keep-alive


Et voici la réponse:

Code: Tout sélectionner
HTTP/1.1 200 OK
Date: Mon, 25 Jun 2012 17:33:03 GMT
Server: Apache/2.2.9 (Debian) mod_jk/1.2.26 PHP/5.2.6-1+lenny16 with Suhosin-Patch proxy_html/3.0.0 mod_ssl/2.2.9 OpenSSL/0.9.8g mod_perl/2.0.4 Perl/v5.10.0
Content-Length: 446
Vary: Accept-Encoding
Keep-Alive: timeout=5, max=49
Connection: Keep-Alive
Content-Type: text/html
a=K00Ahq+8cpN3IhndeZ5jrp2XqhhKWfIys+Enm0WXt7ge8oFStU+Lio5lRLP40U2g6la3gR8UwwsZ
1ZZl0UT24OxQpJZioncs//HRxTbDUtPae+4wAJJFqh2Ba9zYnR98mbC25ObDT+Wzi4qBiyCk4nAE
XbY7CLMe+WMBx0S9RSH1al/x/hZUVB8hz0MqgxPzU7IMsxrlbyYZL5TXWBHEpyDZ74vy64SPcsC6
EZvuG0MtsLE/wTPS6lcXBe6RXZu/7BzA6nYdZRAPUf3OGye58MuUELKcOE18rZl1GDnmzI1EouqJ
i7N4EUFoKpQYVUjU6/BlloQcBhAHOkRcnSnTtJnLsEqKhLT/zH9cO7RQUMYVLlXc5jN1a9cSpeh3
AAqE0/25Qfw9Cd/GM8gDmQME2mNrQQdQxyLVWvuSB8lLozA=


Puis pour finir le 3éme appel:
Voici le lien hxxp://tmbot.net/TMbot-Login/receive.jsp?x=1340646720374, cet appel sert à ouvrir le programme

La requête d’envoi :
hxxp://bobteam.fr/tmbot/669_Request.txt
La requête de réponse :
hxxp://bobteam.fr/tmbot/PlusResponseV5.3.1.dat

Voici le topo, j’ai cherché à le cracker avec cracklock c’est un échec après avec OllyDBG et Windasm pour faire un petit Jump, je n’ai pas réussi et en plus je ne suis pas sûr que cela soit la bonne solution car l’objet crypte qu’on récupère donne peut-être des variables importante après j’ai cherché à changer les réponses http avec WPE PRO, je me suis dit que :
« Les réponses en http doit déterminer si le programme doit s’ouvrir ou pas donc si je donne au programme des réponses http qui ont déjà permis au programme de s’ouvrir il doit s’ouvrir à nouveau » donc j’utilise Fiddler 2, ce programme permet de lire les requêtes http et d’y réponse a la place du server mais quand je le fais le programme TMBOT se ferme direct.

J’en conclu que le TMBOT a chaque démarrage fait un random d’un nombre qui fait office de clé de cryptage puis l’envoie au server qui lui répond en cryptant l’objet grâce à la clé de cryptage, le problème quand je donne la réponse a la place du server la clé de cryptage n’est pas la même car TMBOT a déterminer une autre clé de cryptage suit à nouveau démarrage du programme.

actuellement la seul piste que j’ai trouvé pour cracker ce programme c’est de trouver l’adresse mémoire où se situe la clé de cryptage pour ensuite la modifier avec Cheat Engine et pour finir utiliser les réponses http qui correspond avec la clé de cryptage , mais j’arrive pas a trouvé un programme qui permettrais de sauvegarder le plan mémoire en texte car après je pourrais comparer avec Notepad++ plusieurs plan mémoire et je pourrais trouvé facilement l’adresse mémoire qui change à chaque démarrage donc la clé de cryptage.

Si vous avez une autre piste ou autre n’importe quel aide serait le bienvenu.
Dernière édition par Todd le 25 Juin 2012, 22:40, édité 1 fois.
Raison: ATTENTION referer
S8N
Débutant
Débutant
 
Messages: 26
Inscription: 25 Juin 2012, 11:48

Re: Crack TMBOT

Messagepar S8N » 26 Juin 2012, 09:18

Une question, il existe un programme qui permet de faire une image d'un programme à un moment précis ? Le programme sauvegarde tout plan mémoire, l'horloge etc.... ce programme me permettrai de relancer le programme sauvegardé a l'endroit de la sauvegarde comme un ghost, cela me permettra de sauter la vérification du programme et arrivé directement a la fenêtre après vérification.
S8N
Débutant
Débutant
 
Messages: 26
Inscription: 25 Juin 2012, 11:48

Re: Crack TMBOT

Messagepar baboon » 26 Juin 2012, 09:23

Non ca n'existe pas, et si tu tentes d'en créer un qui le fait tu pourrais bien tomber sur un 0day local DoS, je dis ça ...
Newbie mais ayant soif d'apprendre et étant motivé
Avatar de l’utilisateur
baboon
Modérateur
Modérateur
 
Messages: 3263
Inscription: 08 Juillet 2005, 17:49

Re: Crack TMBOT

Messagepar S8N » 26 Juin 2012, 10:15

J'ai pas trop envie de codé pour le moment, je crois avoir trouvé un système D, je vais utiliser une VMware Win, vu qu'on peut hiberner la VMware, je n'aurai plus le problème de vérification, bon ouvrir une VMware à chaque fois c'est chiant mais bon pour le moment ça va faire l'affaire
S8N
Débutant
Débutant
 
Messages: 26
Inscription: 25 Juin 2012, 11:48

Re: Crack TMBOT

Messagepar S8N » 05 Juillet 2012, 21:13

Une question,
sur OllyDGB ou IDA existe il une fonction break qui ressemble a la même fonction sur FireBug pour le javascript qui se nomme "Point d'arrêt la prochaine fois" ? car dans le code asm je suis perdu et quand je lance le programme a cracker en debug je doit cliquer sur un button donc si je pourrais activer cette fonction de break , ollydgb ou IDA devra break a l'endroit qui correspond au clique sur le button et comme ça je serai quel parti de code que je doit cracker

j’espère que je suis assez clair
S8N
Débutant
Débutant
 
Messages: 26
Inscription: 25 Juin 2012, 11:48

Re: Crack TMBOT

Messagepar etherlord » 06 Juillet 2012, 13:47

bon à voir les autres sont comme moi : ????

Un point d'arrêt peut non seulement être défini à une adresse précise, avec Olly tu peut mettre une BP sur chaque occurence d'une API.

Et mettre un BP sur le traitement des messages Windows (ex: appui sur un bouton), c'est pas le truc que je te conseille. A moins que tu joue sur l'ID du bouton.

etherlord
etherlord
Triumvirat
Triumvirat
 
Messages: 2418
Inscription: 22 Mars 2004, 16:12

Re: Crack TMBOT

Messagepar S8N » 06 Juillet 2012, 21:43

je m'en douter que j’étais pas clair , veuillez m'excusez

en faites le programme que je veux cracker attend une action de ma part donc je cherche une fonction break qui va break automatique la prochaine action du programme, exemple :

- je lance le programme a cracker en debug
- Exécution de plusieurs ligne de code donc j'attend
- le programme attend une action de ma part donc aucun code n'est exécuter pendant cette phase
- J'active la fonction break (la question du post)
- dés que je clique sur un button , le programme veut exécuté du code donc la fonction break, break directement a l'adresse que le programme veut exécuté
- comme ça je sais où se situe le code a cracker

voila j’espère que je suis assez clair cette fois ci
S8N
Débutant
Débutant
 
Messages: 26
Inscription: 25 Juin 2012, 11:48

Re: Crack TMBOT

Messagepar Todd » 07 Juillet 2012, 11:02

S8N a écrit:le programme attend une action de ma part donc aucun code n'est exécuté pendant cette phase
En réalité, il y a toujours un code d'exécuté ! :roll: Ne serait-ce que pour le rafraichissement de la fenêtre... la preuve en est : Tu peux mettre en pause ton programme dans OllyDbg et tu verras une zone figée à l'emplacement de cette fenêtre. :? Et puis il faut bien capturer les événements... la fameuse action attendue. :wink:

Le mieux est de t'entrainer sur un petit crackme de base pour observer ce phénomène et surtout le comprendre. :)

Todd
Avatar de l’utilisateur
Todd
Modérateur
Modérateur
 
Messages: 1795
Inscription: 19 Avril 2009, 12:11

Re: Crack TMBOT

Messagepar S8N » 07 Juillet 2012, 23:30

Ah oui c'est vrai j'avais oublié, ok mais comment je peux savoir quel adresse le programme exécute dés que je clique sur un bouton ?
S8N
Débutant
Débutant
 
Messages: 26
Inscription: 25 Juin 2012, 11:48

Re: Crack TMBOT

Messagepar Todd » 07 Juillet 2012, 23:47

S8N a écrit:comment je peux savoir quelle adresse le programme exécute dès que je clique sur un bouton ?
En faisant une recherche des switchs dans OllyDbg, tu verras une liste de constantes et le cas échéant leur correspondance :roll: ... du même coup, tu verras les événements associés à la souris. :wink:

Todd
Avatar de l’utilisateur
Todd
Modérateur
Modérateur
 
Messages: 1795
Inscription: 19 Avril 2009, 12:11

Re: Crack TMBOT

Messagepar S8N » 10 Juillet 2012, 12:20

Ah c'est bon j'ai trouvé mon event grâce au switchs, marci todd
mais bizarrement si je trace ou j'appuis continuellement sur F7 , le logiciel tourne en boucle alors que si j'appui sur F9 le programme réagit normalement donc finalement pas encore trouvé , je crois bien que je vais arrêter, le programme est trop fort pour moi.
S8N
Débutant
Débutant
 
Messages: 26
Inscription: 25 Juin 2012, 11:48

Re: Crack TMBOT

Messagepar etherlord » 10 Juillet 2012, 16:01

Si tu est dans une boucle de traitement de message... c'est logique que cela tourne en boucle.

etherlord
etherlord
Triumvirat
Triumvirat
 
Messages: 2418
Inscription: 22 Mars 2004, 16:12

Re: Crack TMBOT

Messagepar S8N » 10 Juillet 2012, 16:52

je viens juste de comprend quand on active un trace il suspend tout les thread sauf celui qu'on trace et vu que le programme utilise 46 thread si il y a qu'un qui tourne le programme avance pas, a mon avis quand il fait des appel au site web il doit créer un thread pour ça et après fait un pipe pour envoyer la variable d'un thread a un autre.

maintenant je sais plus quoi faire.
S8N
Débutant
Débutant
 
Messages: 26
Inscription: 25 Juin 2012, 11:48

Re: Crack TMBOT

Messagepar etherlord » 11 Juillet 2012, 15:47

et bien à priori il faut éviter le trace avec ta cible... je ne pensait pas que c'était aussi simple de biaiser ce point.

Donc BP global sur les APIs qui t'intéressent. Olly peut switcher d'un thread à un autre.

etherlord
etherlord
Triumvirat
Triumvirat
 
Messages: 2418
Inscription: 22 Mars 2004, 16:12

Re: Crack TMBOT

Messagepar pit516 » 17 Juillet 2012, 11:14

des news?? t'as avancé??
pit516
 
Messages: 1
Inscription: 17 Juillet 2012, 10:59

Suivante

Retourner vers Reversing

Qui est en ligne

Utilisateurs parcourant ce forum: Aucun utilisateur enregistré et 3 invités

cron