Crackeando MSN Sniffer y espiando conversaciones de MSN

Bueno aqui comienzo a explicar algo que hice hace mucho, si bien lo habia posteado en un par de foros cuando lo creé desapareció.
Si bien el título dice crackear, lo que vamos a hacer es cazar el serial de registro de MSN Sniffer, y veremos como utilizarlo junto con Cain&Abel para espiar conversasiones de MSN en una red Lan.
Utilizaremos 3 programas para llevar a cabo el fin... o sea leer en una red lan las conversaciones de msn de las otras personas.

Herramientas a usar:

Cain&Abel:
Link Win XP
Link Win 9X

MSN Sniffer:
Link

OllyDebug:
Link


Lo primero que hacemos es instalar el MSN sniffer 2 y luego el winpcap... (si no lo instalas puede darte errores al igual que Cain tbn te lo pide)

Luego lo abres y aparece la ventana de registro (Nag), donde podemos registrarnos o probarlo durante 30 dias.

Si Probamos registrar con un numero de serie cualquiera nos dice "Wrong User or Reg Code!"

Bien una vez que ya tenemos identificado el sistema de registro, vamos a abrirlo con el OllyDbg (Olly) o podemos attacharlo.
En el caso de abrir desde cero, van al Olly, menu File y seleccionamos Open.... Luego buscamos la carpeta de instalación del Sniffer. En mi caso es "C:-Archivos de programa-MsnSniffer2"
y allí seleccionamos MsnSniffer.exe.
Apenas empieza a cargar les va a tirar varias exepciones las cuales le pausarán el debugger, para pasarlas por alto tendrán que apretar la combinación de teclas "Shift + F9" hasta que termine de cargar y quede en modo Run.

Para attacharlo debemos mantener el msn sniffer abierto, abrimos el Olly y vamos a File donde seleccionamos Attach. Aquí buscamos el proceso Msnsniffer.exe y lo attachamos.
Una vez parados en la ntdll.dll vamos a View y seleccionamos Executable Modules y seleccionamos el MsnSniffer.exe.

Una vez que estemos posiscionados sobre el exe, sea abierto o attachado, buscamos las Referencias a cadenas (string references).

Bien... aca nos va a aparecer una lista grande asi que le damos click con el boton derecho y le damos a search for text , donde ingresamos "Wrong", que es la primer palabra que nos aparece en el msgbox... Busacmos y cuando nos lleva a la string le damos doble click
Nos muestra mas o menos esto:

00412DB8 8BCE mov ecx,esi
00412DBA E8 61FDFFFF call MsnSniff.00412B20
00412DBF 84C0 test al,al
00412DC1 6A 00 push 0
00412DC3 6A 00 push 0
00412DC5 74 27 je short MsnSniff.00412DEE
00412DC7 68 181B4700 push MsnSniff.00471B18 ; ASCII "Thank you for supporting our software!"
00412DCC E8 256A0400 call MsnSniff.004597F6
00412DD1 8D4C24 04 lea ecx,ss:[esp+4]
00412DD5 51 push ecx
00412DD6 8D5424 0C lea edx,ss:[esp+C]
00412DDA 52 push edx
00412DDB B9 58DA4800 mov ecx,MsnSniff.0048DA58
00412DE0 E8 EBF5FEFF call MsnSniff.004023D0
00412DE5 8BCE mov ecx,esi
00412DE7 E8 47950300 call MsnSniff.0044C333
00412DEC EB 0A jmp short MsnSniff.00412DF8
00412DEE 68 001B4700 push MsnSniff.00471B00 ; ASCII "Wrong User or Reg Code!"
00412DF3 E8 FE690400 call MsnSniff.004597F6
00412DF8 8B4424 04 mov eax,ss:[esp+4]

Si estudiamos el codigo vemos el salto je short MsnSniff.00412DEE vemos que salta si es igual ... mmmm pero esta testeando al con al... etonces se convierte en jz que es salta si es igual a cero. Entonces ponemos un bp en mov ecx,esi ... luego le damos a run y Shift + F9 hasta que pase todas las exepciones que hace, luego le damos a registrar y quiebra en el bp.. mmm le damos dos veces a F7 y quedamos dentro de la call.

Bueno aqui dentro de la call.... le damos a F8 hasta que estamos aqui:


00412BE7 |8B5424 2C mov edx,ss:[esp+2C]
00412BEB |8973 F4 mov ds:[ebx-C],esi
00412BEE |C6041E 00 mov byte ptr ds:[esi+ebx],0
00412BF2 |8B02 mov eax,ds:[edx]
00412BF4 |8378 F4 10 cmp dword ptr ds:[eax-C],10
00412BF8 |7D 39 jge short MsnSniff.00412C33

Esta parte es importante aqui comprueba si nuestro serial tiene dieciseis digitos jejeje (10Hex = 16Dec)
Tiene que saltar sino nos va a llevar al retorno de funcion donde hay un xor al, al que nos va a poner al en cero y nos va a tirar el wrong password

Beno cuando le damos longitud 16 y nos salta a la comprobacion de codigo vamos a pasar con F7 una call y unos saltos condicionales y luego un salto incondicional... pues aqui hacemos un freno y vemos que despues del salto entramos a una call... pues en esa call va haciendo distintas operaciones o sea llegamos a una cosa asi:


004126D0 6A FF push -1
004126D2 68 F8C14600 push MsnSniff.0046C1F8 ; SE handler installation
004126D7 64:A1 00000000 mov eax,fs:[0]
004126DD 50 push eax
004126DE 64:8925 00000000 mov fs:[0],esp
004126E5 83EC 0C sub esp,0C
004126E8 56 push esi
004126E9 DD05 F01A4700 fld qword ptr ds:[471AF0]
004126EF 8B4424 20 mov eax,ss:[esp+20]
004126F3 8B30 mov esi,ds:[eax]
004126F5 8B4E F4 mov ecx,ds:[esi-C]
004126F8 33C0 xor eax,eax
004126FA 99 cdq
004126FB F7F9 idiv ecx
004126FD C74424 18 00000000 mov dword ptr ss:[esp+18],0
00412705 85D2 test edx,edx
00412707 0F8C 3B030000 jl MsnSniff.00412A48
0041270D 3BD1 cmp edx,ecx
0041270F 0F8F 33030000 jg MsnSniff.00412A48
00412715 8A1416 mov dl,ds:[esi+edx]
00412718 885424 07 mov ss:[esp+7],dl
0041271C B8 0A000000 mov eax,0A
00412721 99 cdq
00412722 F7F9 idiv ecx
00412724 85D2 test edx,edx
00412726 0F8C 1C030000 jl MsnSniff.00412A48
0041272C 3BD1 cmp edx,ecx
0041272E 0F8F 14030000 jg MsnSniff.00412A48
00412734 8A0416 mov al,ds:[esi+edx]
00412737 884424 20 mov ss:[esp+20],al
0041273B B8 14000000 mov eax,14
00412740 99 cdq
00412741 F7F9 idiv ecx
00412743 85D2 test edx,edx
00412745 0F8C FD020000 jl MsnSniff.00412A48
0041274B 3BD1 cmp edx,ecx
0041274D 0F8F F5020000 jg MsnSniff.00412A48
00412753 8A1416 mov dl,ds:[esi+edx]
00412756 57 push edi
00412757 8B7C24 28 mov edi,ss:[esp+28]
0041275B 8B47 F4 mov eax,ds:[edi-C]
0041275E 85C0 test eax,eax
00412760 0F8C D6020000 jl MsnSniff.00412A3C
00412766 0FBE4424 24 movsx eax,byte ptr ss:[esp+24]
0041276B 0FBED2 movsx edx,dl
0041276E 03D0 add edx,eax
00412770 0FBE4424 0B movsx eax,byte ptr ss:[esp+B]
00412775 8D4402 13 lea eax,ds:[edx+eax+13]


Bueno esto es lo de menos importancia, aquien base al nombre que ingresamos acomoda el "abecedario" ja... lo que sigue a eso nos va a importar....
El abecedario que me arma a mi es: BCDFGHJKMPQRTVWXY2346789


y sigue asi:

00412779 99 cdq
0041277A 33C2 xor eax,edx
0041277C 2BC2 sub eax,edx
0041277E 53 push ebx
0041277F 99 cdq
00412780 55 push ebp
00412781 BD 18000000 mov ebp,18
00412786 F7FD idiv ebp
00412788 8A1F mov bl,ds:[edi]
0041278A 389A 8CB14800 cmp ds:[edx+48B18C],bl <--- aqui compara un digito del serial
00412790 75 08 jnz short MsnSniff.0041279A
00412792 DDD8 fstp st
00412794 DD05 E81A4700 fld qword ptr ds:[471AE8]
0041279A B8 03000000 mov eax,3
0041279F 99 cdq

Bueno lo que marque yo es lo mas importante... pues ya que compara un digito del serial nuestro en la posiscion X contra una caracter X si es igual vamos por buen camino

En fin hace comprobaciones en puntos fijos, si miran compara esos caracteres de nuestro serial con un caracter X del abecedario, si los puntos coinciden no importa lo demas

Así que poniendo un BP en cada comparación donde les aparece comentado el abecedario desde esa ubicación hasta el final de ese procedimiento, obtendrán los caracteres y posciciones de los caracteres que necesitan para armarse un serial válido.

El serial que va sacando en la comprobacion para mi caso es:

HXXXXXXWFFVQXC77

Donde las X pueden variar como se plazca concatenando "H" + (valor random de longitud 6) + "WFFVQ" + (valor random de longitud 1) + "C77".El ultimo 7 no es comprobado pero si se pone cualquier otro valor (en mi caso) de como serial no válido. Cabe destacar que este serial que saque sirve para cualquier nombre, algunos seriales son específicos para ciertos nombres y para otros no son válidos.

Otro serial sería: WXXJXXXRX9VQXC77

Bien una vez que sabemos eso registramos el programa y vamos con el Cain ...

Lo abrimos y configuramos para hacer un apr poisoning.... primero en host escaneamos a ver que nos tira y bue... siempre el server o puerta de enlace la sacamos con el ip config.... entonces despues de escanear host nos vamos a apr alli desde la direccion ip del router o modem o server o lo que sea... agregamos las ip... solo se pueden agregar de a una... cuando empieza el envenenamiento... abrimos el msn sniffer le damos a start y esperamos a que nos muestre la lista de los que chatean
No agregar muchas conexiones a poisonear porque sino se ralentizara la red ... bastante je

Bue es todo por ahora.
Saludos!