[Q] Packete Sniffen und Senden

[kletterstar]

Hallo Community,

Es gibt ja bereits einige KalHacks, welche Packete sniffen. Allerdings basieren die alle darauf, eine .dll zu injecten. Es gibt ja genügend Sniffertools (z.B. Wireshark) die den gesamten Netzwerkverkehr mitsniffen.
Es müsste doch also auch theoretisch gehen diese Packete zu sniffen und zu analysieren.
Was ich bisher habe: Ich sniffe die Packete und habe diese unterteile in ethernet, ip, tcp und daten. Anhand der Daten müsste ich ja nun irgendwie herausbekommen, ob ein Mob oder ein Spieler erschienen ist, uvm. Kann mir einer erklären wie das funktioniert?

Vielen Dank im Vorraus.

[RunzelEier]

das problem ist das kal seine packets crypted
du siehst nur den gecrypteten netzwerkverkehr und damit kannst du nicht viel anfangen.

du müsstes dir eine decrypt funktion schreiben die die packete entschlüsselt.
Bakabug hatte mal vor ein paar jahren eine decrypt funktion geschrieben, die aber angeblich (quelle meak) nur die ersten drei bytes decrypten kann. und du müsstest dir noch die aktuelle crypt tabelle holen.

wenn du die funktionen hookst kannst du dir das ganze sparen, da du send vor dem crypten hookst und recv nach dem decrypten. Damit hat der client das schon für die übernommen.

[MoepMeep]

Das ist genau das, was ich grade mache

Leite sämtlichen Traffic vom Kalclient an deinen Proxy weiter(WSAConnect hook z.b.) und von dort schickst du es weiter an den Kalserver. Und alles vom Kalserver natürlich an den Client

[RunzelEier]

Naja Moep du brauchst die packete auf dem proxy-server ja nicht zu analysieren.
du leitest den traffic nur um

[katze123]

Originally Posted by RunzelEier

das problem ist das kal seine packets crypted
du siehst nur den gecrypteten netzwerkverkehr und damit kannst du nicht viel anfangen.

du müsstes dir eine decrypt funktion schreiben die die packete entschlüsselt.
Bakabug hatte mal vor ein paar jahren eine decrypt funktion geschrieben, die aber angeblich (quelle meak) nur die ersten drei bytes decrypten kann. und du müsstest dir noch die aktuelle crypt tabelle holen.

wenn du die funktionen hookst kannst du dir das ganze sparen, da du send vor dem crypten hookst und recv nach dem decrypten. Damit hat der client das schon für die übernommen.

gibt auch noch eine andere send die du hooken kannst und pakete ungecrypted auslesen kannst

[MoepMeep]

Originally Posted by RunzelEier

Naja Moep du brauchst die packete auf dem proxy-server ja nicht zu analysieren.
du leitest den traffic nur um

Natürlich analysier ich sie dort

[kletterstar]

Originally Posted by MoepMeep

Natürlich analysier ich sie dort

Das heisst, dass du die Pakete encrypted ausliest, diese dann teilweise decrypten und damit dann was anfangen kannst?
Oder hast du, wie katze geschrieben hat, eine methode gefunden um die packete nicht encrypted auszulesen, sondern bereits decrypted?

Ich lese bisher einfach nur den Verkehr mit. Im prinzip wie Wireshark. Und kann halt exakt sagen, wie die Daten aussehen. Allerdings sind diese Daten eben encrypted und mir liegt kein protokoll vor um diese zu decrypten. Und das decrypten wird wohl zu kompliziert werden.

Welchen Ansatz könnte ich denn noch wählen um die packete decrypted zu erhalten?

[Roronoa Z.]

Eine funktion in der engine hooken...oldyschool style nachdem die engine das packet decrypted hat.
Wenne es decrypten willst, musste es erst mitm key normal decrypten und dann nochmal mit aes ran wenn packetheader != 0x2a??? weiß nimmer genau.

[RunzelEier]

Originally Posted by MoepMeep

Natürlich analysier ich sie dort

willst nen hack machen wie kalproxy von yosak?

@rest: er will ja grade keine dll injecten und keine funktionen detouren

[katze123]

Originally Posted by Roronoa Z.

Eine funktion in der engine hooken...oldyschool style nachdem die engine das packet decrypted hat.
Wenne es decrypten willst, musste es erst mitm key normal decrypten und dann nochmal mit aes ran wenn packetheader != 0x2a??? weiß nimmer genau.

aber glaube die crypttables haben sich geändert oder?

[Roronoa Z.]

Originally Posted by katze123

aber glaube die crypttables haben sich geändert oder?

Ja haben sich seid 06, aber ist ja egal, einfach die funktion in der engine callen

[katze123]

Originally Posted by Roronoa Z.

Ja haben sich seid 06, aber ist ja egal, einfach die funktion in der engine callen

oder so xD

[kletterstar]

Originally Posted by Roronoa Z.

Ja haben sich seid 06, aber ist ja egal, einfach die funktion in der engine callen

Um die funktion in der engine zu callen, muss man doch zwangsweise eine dll injecten, richtig? Da werden dann doch wieder einige sicherheisaspekte gecheckt, welche dann umgangen werden müssen, oder nicht?
Oder gibt es einen einfachen weg um eine funktion aus der engine aufzurufen? Da würde sich ja dann send und recv anbieten, da hier eben dann auch die packete gesnifft und verändert werden können. Das wollte ich eigentlich umgehen, da dann die sicherheitsaspekte von HackShield etc keine rolle mehr spielen sollten.

[RunzelEier]

damit gehts:

[MoepMeep]

Originally Posted by RunzelEier

willst nen hack machen wie kalproxy von yosak?

Ja, so in die richtung


Funktionen callen kannst du ohne probleme, detouren/hooken wird nur bemerkt