Главная страница форума
Сайт TERA Online (в новом окне)

  
Вернуться   Форум - TERA Online > Основной форум > EU > Гайды

Ответ
 
Опции темы Опции просмотра

Старый 10.02.2013, 14:33   #11
omfgzor
Новичок
Очки: 2,059, Уровень: 27
Очки: 2,059, Уровень: 27 Очки: 2,059, Уровень: 27 Очки: 2,059, Уровень: 27
Активность: 20.0%
Активность: 20.0% Активность: 20.0% Активность: 20.0%
Последние Достижения
 
omfgzor вне форума
Регистрация: 08.02.2013
Сообщений: 4
Репутация: 7
Раса персонажа: High ElfКласс персонажа: Lancer
По умолчанию

У меня получилось зайти через свой забаненный стационар на свой аккаунт, к которому у меня не было доступа уже более трёх дней. Единственная проблема, которую я пока не могу решить — кнопка PLAY горит красным и не желает включать клиент.

Я сделал следующее:
1. Обнаружил, что лаунчер при первом запуске собирает все вышеуказанные настройки. Все данные он берёт из реестра. Кроме этого, через SMART_GET_VERSION получает информацию о жёстком диске (видно на картинке с Process Monitor, я выделил). Помимо этих 11 параметров, он ещё прочитывает около 50+ различных параметров через реестр. Я не могу сказать, что они все используются для генерации отпечатка.
2. Увидел (через Process Monitor) у себя в реестре на ноутбуке, что создался ключ SNPR1 (в пяти местах), содержащий уникальную для каждой машины запись. Кроме этого, файл stm.sol содержал тот же ключ. Таким образом я делаю вывод, что файл stm.sol содержит в себе контрольную сумму железа+ОС.
3. Немного погуглив, нашёл в интернете чей-то ключ SNPR1.
4. Открыл реестр на забаненной машине, нашёл всё тот же SNPR1 (конечно же, он был другой). Далее открыл stm.sol, убедился ещё раз, что он содержит в себе ключ SNPR1.
5. Вместо своего ключа я подставил чужой. В реестре и в файле stm.sol.





Ключ SNPR1 необходимо модифицировать во всех следующих ветках. У меня стоит Windows 7 x64, возможно, что у вас будет иначе. Проще всего найти все ключи через Ctrl+F по слову "SNPR1".

Цитата:
HKEY_CLASSES_ROOT\Wow6432Node\CLSID\{EA4F5CEC-BC42-4b64-8B18-EFFC62ADDA31}
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\ProgramChecksum
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CL SID\{EA4F5CEC-BC42-4b64-8B18-EFFC62ADDA31}
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CL SID\{EA4F5CEC-BC42-4b64-8B18-EFFC62ADDA31}
HKEY_USERS\S-1-5-21-2011258905-630048354-2452323415-1001\Software\Microsoft\Windows\CurrentVersion\Pro gramChecksum
Итак, ещё раз.
Всё, что я сделал:
1. Нашёл чей-то отпечаток SNPR1 — это ключ в реестре, создаваемый лаунчером.
2. После запуска лаунчера в первый раз появляются ветки в реестре, содержащие этот самый SNPR1.
3. Аналогично, в папке "C:\Documents and Settings\%Username%\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\UW6J2PHS\mpsnare.iesnare.com\stm.sol" (выделенные пути могут различаться) появляется файл stm.sol, имеющий внутри себя SNPR1, который можно очень просто изменить через блокнот или аналогичные инструменты (у меня стоит Far Manager, мне через него не составило труда изменить по F4, в блокноте возможно, что испортится кодировка).
Файл stm.sol (до изменения):
Цитата:
ї wTCSO stm __vstl XMjAxMyAwMSByMzAxMzo1AA+HvKXJT2iAlJyxnfFW7gRpa8++x0 91SqNnwMbKfMc4e4dfnDPMiOkHpzlYKXk4ddk=
Значение SNPR1 (взято из Process Monitor, можно из regedit):
Цитата:
Type: REG_SZ, Length: 178, Data: MjAxMyAwMSByMzAxMzo1AA+HvKXJT2iAlJyxnfFW7gRpa8++x0 91SqNnwMbKfMc4e4dfnDPMiOkHpzlYKXk4ddk=
Чей-то ключ SNPR1:
Цитата:
MjAwOCAxMCByMCAwBTo0AA/sx0wb0a3gzDBSZsoC/q/65xGHsWA9ueqcrWPW9wTbgyHgNU9jLjyUdSda3+TIQjQ=
Файл stm.sol (после изменения):
Цитата:
ї wTCSO stm __vstl XMjAwOCAxMCByMCAwBTo0AA/sx0wb0a3gzDBSZsoC/q/65xGHsWA9ueqcrWPW9wTbgyHgNU9jLjyUdSda3+TIQjQ=
4. Изменил в реестре в пяти ветках значение SNPR1 на новый.
5. Используя проверенный прокси (друг заходил с него на свой акк), создал новый аккаунт на новой почте (использовал yahoo.com), далее всё как обычно, через Proxifier+AdvOR зашёл в лаунчер (правила созданы только для account.tera-europe.com; account.tera-europe.de; ci-mpsnare.iovation.com; community.tera-europe.com; mpsnare.iesnare.com — поэтому можно запускать лаунчер со включённым прокси). Набрал логин и пароль от свежезарегистрированного логина. После этого лаунчер пропустил меня к кнопке PLAY. Однако я уже несколько часов пытаюсь пройти её. Думаю, это возможно из-за перегруженного сервера/неполадки с сетью/глюк лаунчера/дополнительная авторизация TL.exe (однако процесс уже не смотрит на stm.sol и не собирает инфу о машине так же неистово, как лаунчер при нажатии на кнопку LOGIN). Пока не знаю, как решить проблему.

В целом схема поведения лаунчера такая (приблизительно):

1. Проверяем свои контрольные суммы, скачиваем обновления
2. Ожидаем ввода логина/пароля
3. После нажатия LOGIN собираем информацию о машине, затем ищем файл stm.sol и сравниваем его со значением SNPR1 в реестре. Если SNPR1 не найден, то из собранной информации создаём этот ключ. Если stm.sol не найден, то создаём и его, потом сравниваем их.
4. Если всё нормально, пропускаем пользователя дальше до кнопки PLAY.

Конечно, здесь я всё упростил и возможно всё не так просто, как кажется на первый взгляд. Тем не менее, я смог зайти (до кнопки PLAY) с машины, на которой был бан уже довольно долгое время.

P.S. Забыл ещё сообщить, что помимо прочего перед этим экспериментом я обновил IE 8.0 до IE 9 и поставился помимо моей воли Service Pack 1 для Win 7. Поэтому важно, чтобы кто-то проделал всё это, не меняя ничего в системе.
P.P.S. Было бы неплохо, если бы кто-нибудь на чистой системе (где ни разу не была запущена Tera) сделал два снимка реестра (до установки Tera и после логина) с помощью этой программы ([доступно только зарегистрированным пользователям, регистрация]) и отчёт предоставил бы сюда.

Последний раз редактировалось omfgzor; 10.02.2013 в 14:56..
  Ответить с цитированием

Старый 10.02.2013, 14:50   #12
Uix
Ветеран
Очки: 3,833, Уровень: 39
Очки: 3,833, Уровень: 39 Очки: 3,833, Уровень: 39 Очки: 3,833, Уровень: 39
Активность: 0%
Активность: 0% Активность: 0% Активность: 0%
Последние Достижения
Magic Ball Чемпион, Gyroball Чемпион
 
Аватар для Uix
 
Uix вне форума
Регистрация: 13.01.2013
Адрес: Калининград
Сообщений: 494
Репутация: 1
Отправить сообщение для Uix с помощью Skype™
Раса персонажа: CastanicКласс персонажа: Archer
По умолчанию

Итак, нашелся человек который собрал все воедино! =)

это здорово!)
сори что не по теме)

насчет плей, удали экзешники, чекни клиент
(сейчас я этим решил проблему)
  Ответить с цитированием

Старый 10.02.2013, 22:06   #13
SV59
Новичок
Очки: 67, Уровень: 1
Очки: 67, Уровень: 1 Очки: 67, Уровень: 1 Очки: 67, Уровень: 1
Активность: 21.9%
Активность: 21.9% Активность: 21.9% Активность: 21.9%
Последние Достижения
 
SV59 вне форума
Регистрация: 06.02.2013
Адрес: Пёрмь
Сообщений: 14
Репутация: 1
Раса персонажа: HumanКласс персонажа: Slayer
По умолчанию

Цитата:
Сообщение от omfgzor Посмотреть сообщение
через Proxifier+AdvOR зашёл в лаунчер (правила созданы только для account.tera-europe.com; account.tera-europe.de; ci-mpsnare.iovation.com; community.tera-europe.com; mpsnare.iesnare.com — поэтому можно запускать лаунчер со включённым прокси)
Расскажи поподробнее про эти правила плз, где их прописывать в проксифаере?
ЗЫ: респект за то, что не поленился проследить за лаунчером.
  Ответить с цитированием

Старый 10.02.2013, 22:50   #14
omfgzor
Новичок
Очки: 2,059, Уровень: 27
Очки: 2,059, Уровень: 27 Очки: 2,059, Уровень: 27 Очки: 2,059, Уровень: 27
Активность: 20.0%
Активность: 20.0% Активность: 20.0% Активность: 20.0%
Последние Достижения
 
omfgzor вне форума
Регистрация: 08.02.2013
Сообщений: 4
Репутация: 7
Раса персонажа: High ElfКласс персонажа: Lancer
По умолчанию

Цитата:
Сообщение от SV59 Посмотреть сообщение
Расскажи поподробнее про эти правила плз, где их прописывать в проксифаере?
ЗЫ: респект за то, что не поленился проследить за лаунчером.
[доступно только зарегистрированным пользователям, регистрация] — однако тут отсутствует последний хост: mpsnare.iesnare.com, его тоже добавить надо. А вообще гугл в помощь.

UPD2:
Судя по всему да, нужно больше информации. Всё оказалось не так просто, как я предполагал — иначе зачем им нужны сертификаты от Symantec, dll-ки для шифрования и генерация случайных чисел. Придётся изучать реверс-инженеринг и пытаться состряпать свой лаунчер (или пропатчить исходный). Так или иначе — самостоятельно на это у меня уйдёт много времени. Пока что нужно курсовую доделывать и сдавать (остался крайний срок в неделю), а то с этими недохаками-кряками у меня неделя ушла, если не больше — раньше ничем таким не занимался, но упорство и интерес победило. К сожалению, времени не особо много.

В общем, нужно сделать несколько вещей:
1. Запустить сниффер и натравить на TERA-Launcher.exe, отследить и записать все отправляемые и получаемые пакеты в хронологическом порядке для двух машин: С UAF и без.
2. Определить, какие ветки реестра модифицирует игра:
а) при первичной установке (на чистую ОС);
б) при первичном логине (после первичной установки)
3. Определить, что делает сайт (через сниффер, Process Monitor) account.tera-europe.com и какие данные отсылаются в момент захода и регистрации. То, что происходит генерация ID машины при регистрации аккаунта — несомненно: я получал "Failed to generate device signature", когда блокировал mpsnare.iesnare.com в hosts.
4. Попытаться сломать пароль exe-файла TERA-Launcher.exe и распаковать его содержимое: в текущем виде я могу лишь просмотреть названия файлов и их размеры — [доступно только зарегистрированным пользователям, регистрация]
5. Попытаться понять, что означают в файле 0f7cff9c74141571bb4a88bc327c96792cc0fb3c.settings (ProgramData\TERA\launcher\live) значения: "accountType", "kid", "httpEnabled".
6. Попытаться на работающей машине (без UAF) создать запись в driver\etc\hosts такого вида:
127.0.0.1 mpsnare.iesnare.com и зайти под своим логином-прокси. Подробно описать ошибку, если такая возникнет.
Далее идут задания посложнее, но не менее интересные:
7. Попытаться модифицировать TERA-Launcher.exe так, чтобы не вызывалась функция IsDebuggerPresent(): [доступно только зарегистрированным пользователям, регистрация] — возможно, что это позволит запустить дебаггер и пошагово выполнять инструкции лаунчера, что в дальнейшем облегчит процесс взлома. Просто заменить шестнадцатеричный код функции на другой не получится — изменится контрольная сумма exe-файла. Придётся каким-то образом пересчитывать её и обновлять. Задача нетривиальная по определению, но вдруг найдутся умельцы?
8. Связаться с умельцами из [доступно только зарегистрированным пользователям, регистрация] и попросить сбросить исходники сервера и модифицированного лаунчера, либо попытаться выяснить, каким образом они обошли встроенную защиту лаучнера от модификаций.
9. Дизассемблировать файл TERA_Patch.exe (взят оттуда же) и самому разобраться в случае, если вариант 8 не прошёл.

Пока больше мыслей нет.
  Ответить с цитированием

Старый 10.02.2013, 23:20   #15
noeltage
Новичок
Очки: 92, Уровень: 1
Очки: 92, Уровень: 1 Очки: 92, Уровень: 1 Очки: 92, Уровень: 1
Активность: 34.4%
Активность: 34.4% Активность: 34.4% Активность: 34.4%
Последние Достижения
 
noeltage вне форума
Регистрация: 06.02.2013
Сообщений: 21
Репутация: 1
Раса персонажа: -Класс персонажа: -
По умолчанию

Здорово все это конечно. Инфа ценная для тех кому интересно конечно. рядовому пользователю конечно нет. Мне проделанные автором старания напоминают попытку некого забугорного парня еще давным давно во времена корейских збт. Он там тоже серьезно модефицировал клиент. И я даже играл с его модами.... Жаль потом его твитер провал. там кросавалась надпись от имени Hangame. Корейского издателя. А в обще автор конечно молодец.
  Ответить с цитированием

Старый 11.02.2013, 18:35   #16
SV59
Новичок
Очки: 67, Уровень: 1
Очки: 67, Уровень: 1 Очки: 67, Уровень: 1 Очки: 67, Уровень: 1
Активность: 21.9%
Активность: 21.9% Активность: 21.9% Активность: 21.9%
Последние Достижения
 
SV59 вне форума
Регистрация: 06.02.2013
Адрес: Пёрмь
Сообщений: 14
Репутация: 1
Раса персонажа: HumanКласс персонажа: Slayer
По умолчанию

Цитата:
Сообщение от omfgzor Посмотреть сообщение
6. Попытаться на работающей машине (без UAF) создать запись в driver\etc\hosts такого вида: 127.0.0.1 mpsnare.iesnare.com и зайти под своим логином-прокси. Подробно описать ошибку, если такая возникнет.
Для данного случая нужно написать уточнение, ибо ИД машины + ключи и контрольная сумма генерируется сразу после первого логина и потом они уже хранятся в базе iesnare и просто сравниваются с теми что у тебя на компе, так что тут даже если и был UIF, а потом его не стало ситуацию не изменит т.к тебя уже пометили.
ЗЫ: щас потестим.
В общем при блокировке Iesnare что в хостс, что вообще (через запрет в флеш и т.д), лаунчер просто не запускается, никаких ошибок не вылазит, за процессами не следил пардонте, по крайней мере у меня так, УИФ уже был потом пропал, тьфутьфутьфу.

Последний раз редактировалось SV59; 12.02.2013 в 15:31..
  Ответить с цитированием

Старый 13.02.2013, 16:58   #17
Gerych
Новичок
Очки: 1,969, Уровень: 26
Очки: 1,969, Уровень: 26 Очки: 1,969, Уровень: 26 Очки: 1,969, Уровень: 26
Активность: 50.0%
Активность: 50.0% Активность: 50.0% Активность: 50.0%
Последние Достижения
 
Gerych вне форума
Регистрация: 24.02.2012
Сообщений: 13
Репутация: 1
Раса персонажа: AmanКласс персонажа: Lancer
По умолчанию

omfgzor, cпасибо тебе за такие большие шаги, ибо они мне помогли всё же решить проблему. UAF является блоком или просто экономией денег для фрогстеров, т.к. он не отключается мануально посредством фрогстеров, а является меткой.

Итак используя всё что написал omfgzor мне удалось решить проблему, висевшую уже 2,5 недели на моём стационаре.

Итак всё что лучше не использовать:
1) Не прописывать никаких доп строк в хосте, ибо тогда вашу машину считают как "сайт" iovation, т.е. программы защиты и просто не могут сгенерировать пропускные ключи для машины.
2) Юзание разных проксей не помогает никак, если у вас УАФ весит больше недели и сапорт вам не отвечает.

Как и товарищ хакер, я использовал отпечатки "здоровой" машинки, а именно ноутбука для определения ключей SNRP1. Меняем в пяти ветках и т.д. как всё описано выше.
2 варианта исхода этого события: либо вы пробиваетесь нормально через лаунчер, либо всё тот же УАФ.

Пользуясь советами многих, я поставил образ 2 винды на 2 хард ,ничего предварительно не меняя, сделал запреты на все связи с майкрософтом и обновлениями флэша.( по сути всё стоит, но и не стоит). Такие же исходы событий.
У меня к сожалению тут было 2 фэйла, но сдаваться не было смысла.

Последним шагом было поменять ключи СНРП1 и стм.сол файл на "антибактерицидные" и не может быть меня пропустила и кнопка плэй сработала.

Ещё раз спасибо за вышеописанные догадки про СНРП1 отпечатки!!!!
  Ответить с цитированием

Старый 14.02.2013, 22:59   #18
Mistake
Новичок
Очки: 902, Уровень: 16
Очки: 902, Уровень: 16 Очки: 902, Уровень: 16 Очки: 902, Уровень: 16
Активность: 5.3%
Активность: 5.3% Активность: 5.3% Активность: 5.3%
Последние Достижения
 
Аватар для Mistake
 
Mistake вне форума
Регистрация: 21.03.2012
Сообщений: 25
Репутация: 1
Отправить сообщение для Mistake с помощью ICQ
Раса персонажа: ElinКласс персонажа: Berserker
По умолчанию

спасибо, помогло
  Ответить с цитированием

Старый 15.02.2013, 08:26   #19
Mergen
Новичок
Очки: 433, Уровень: 8
Очки: 433, Уровень: 8 Очки: 433, Уровень: 8 Очки: 433, Уровень: 8
Активность: 0%
Активность: 0% Активность: 0% Активность: 0%
Последние Достижения
 
Mergen вне форума
Регистрация: 14.02.2013
Сообщений: 3
Репутация: 1
Раса персонажа: CastanicКласс персонажа: Archer
По умолчанию

Цитата:
Сообщение от Mistake Посмотреть сообщение
спасибо, помогло
Реально помогает? перезаходить пробовали? UAF сного не появляется?
  Ответить с цитированием

Старый 15.02.2013, 19:17   #20
1408
Пользователь
Очки: 1,052, Уровень: 17
Очки: 1,052, Уровень: 17 Очки: 1,052, Уровень: 17 Очки: 1,052, Уровень: 17
Активность: 99.0%
Активность: 99.0% Активность: 99.0% Активность: 99.0%
Последние Достижения
 
Аватар для 1408
 
1408 вне форума
Регистрация: 05.04.2012
Сообщений: 77
Репутация: 1
Раса персонажа: PoporiКласс персонажа: Lancer
По умолчанию

Цитата:
Сообщение от Mergen Посмотреть сообщение
Реально помогает? перезаходить пробовали? UAF сного не появляется?
ога, где искать файлы в инете понятия не имеем поэтому взяли с не основной машины( можно ноутбука, рабочего компа, доброго друга и тд)

скопировали на альт компе значение в реестре, заменили на основном пк на это значение
файлик в папке макромедия не меняли а тупо заменили сам файл с заменой так же с рабочего компа

в итоге получили 2 компа но для теры как-бы с одним железом, свеже словленный юаф исчез без всяких 24часа
  Ответить с цитированием
Ответ

Социальные закладки

Опции темы
Опции просмотра

Ваши права в разделе
Вы не можете создавать новые темы
Вы не можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.

Быстрый переход



Текущее время: 11:20. Часовой пояс GMT +4.