Odczyt haseł z Nowego

W aplikacji Nowe GG (Gadu-Gadu 8.0), zmieniono kodowanie hasła serwera. Póki co
algorytm nie jeszcze bliżej znany, jednakże zaprezentowanym poniżej sposobem można
odczytać hasło serwera z plików konfiguracyjnych, niekoniecznie pochodzących z naszego
komputera.

Metoda ta sprawdza się oczywiście w przypadku gdy hasło jest zapamiętane w programie
(autologowanie) oraz gdy nie zostało użyte hasło profilu. W momencie wykorzystania przez
użytkownika hasła profilu ważniejsze pliki konfiguracyjne jak i archiwum są szyfrowane
algorytmem AES256 oraz Blowfish (informacja podana przez GG) i wówczas pozostaje tylko
metoda Brute Force.

Pliki konfiguracyjne znajdują się w folderze :

C:\Documents and Settings\uzytkownik\Dane aplikacji\Nowe Gadu-Gadu\numergg\

Ważną kwestią jest to iż hash hasła pomimo tego iż zmienia się po każdym zamknięciu
programu to jednak ciągle jest on „użyteczny”. Znajduje się on w pliku Profile.xml pod
pozycją:

<ProfilePassword> ..... .... ... </ProfilePassword>

Jednakże sam hash nie wystarczy do odczytu hasła, niezbędna jest znajomość dwóch pozycji
z tego samego pliku, a mianowicie:

<ProfileUid> ........ </ProfileUid>
.................
<ProfileName>.......</ProfileName>

Najprościej jest skopiować cały folder wybranego profilu, a raczej jego 3 najważniejsze pliki:

•

Profile.xml

•

ProfileBasic.xml

•

Status.xml (to można sobie w sumie odpuścić)

Tyle tylko, iż GG zabezpieczyło się przed takim bezmyślnym kopiowaniem plików stosując
również odczyt klucza sprzętowego, którym jest numer seryjny woluminu C. Aby
zautomatyzować cały ten proces stworzyłem program do kopiowania niezbędnych plików z
profili oraz pobrania numer seryjnego woluminu.

Program ponadto posiada możliwość uruchomienia z parametrem „–auto” , dzięki czemu po
włożeniu np.: pendrive’a automatycznie bez okienek etc.) sczyta i zapisze numer seryjny oraz
skopiuje wszystkie profile. W paczce z programem jest przykładowy plik autorun.inf do
wrzucenia na nośnik. Mając te pliki wystarczy, iż wrzucimy je do naszego folderu:

C:\Documents and Settings\uzytkownik\Dane aplikacji\Nowe Gadu-Gadu\

Programem VolumeID 2.0 (w paczce) zmieniamy numer seryjny naszej partycji C na numer z
pliku wolumin.txt. Przykład użycia:

Start -> Uruchom -> cmd -> ścieżkadopliku\volumeid.exe c: 1A56-338A

Natomiast jeśli ktoś wolał hash hasła serwera , numer gg i nazwę konta skopiować ręcznie,
wówczas zmuszony jest do utworzenia nowego konta bądź edycji już istniejącego i w nim na
zmianę następujących rzeczy:

•

nazwę folderu (która jest numerem gg) na nazwę konta (numer gg) z którego pobrano
hash hasła

•

w pliku Profile.xml należy zmienić odpowiednio pozycję:

<ProfileUid>....</ProfileUid>
<ProfilePassword>.....</ProfilePassword>
<ProfileName>......</ProfileName>

•

w pliku ProfileBasic.xml, podmieniamy pozycję:

<UID>.......</UID> (to samo co w ProfileUid)
<Name>.......</Name> (to samo co w ProfileName)

Mając skopiowane pliki konfiguracyjne bądź podmienione odpowiednie pozycję można się
zalogować już bez zapytania o hasło, jednakże nas interesuje informacja co to za hasło. Do
tego celu posłuży nam OllyDBG v2.0 (w paczce). A więc uruchamiamy program i ładujemy
gg.exe (File->Open):

Następnie CTRL+G (Go To -> Expression) i wpisujemy adres 006CB030. Od tego adresu
zaczyna się funkcja dekodująca hash, więc wciskamy tu F2 (breakpoint) oraz kolejny raz F2
pod adresem 006CB05A.

Dla pewności wciskamy przycisk << z górnego menu. I po restarcie naciskamy F9 przenosząc
się do 1 breakpointa, a następnie jeszcze 6 razy F9 (przejście z pierwszego breakpointa do
drugiego, następnie z drugiego do pierwszego i tak 3 razy). Gdy jednak po 1 lub 2 pętli
uruchomi nam się Gadu-Gadu to znak, iż coś mamy źle ustawione (pliki konfiguracyjne lub
wolumin). Lecz gdy przejdzie 3 pętla to w prawej dolnej ćwiartce okna roboczego mamy
takie okienko z informacjami:

Przewijając paskiem kilka linii do góry, wówczas ukarze nam się nasze hasło:

Nasze hasło to oczywiście 123456 natomiast liczba 06 oznacza jego długość. I tak oto póki co
można odczytać hasło z nowego GG. Metoda odczytu hasła wprost z pamięci procesu tutaj się
nie sprawdza gdyż hasło to jest tylko przez niewielką chwile przechowywane w pamięci
(tylko przy starcie i zalogowaniu) i znajduję się pod różnymi adresami po każdym
uruchomieniu otoczone „śmieciami”.

Autorem poradnika jest Rafał Jelito.

http://rafal.jelito.org/index.php

http://legalne.info/1093/Odczyt-hasel-z-Nowego-Gadu-Gadu