• Skip Navigation

Blog von eddy14

• Home
• About me
• Reverse Engineering
• Software
• Tutorials

RSDF – Reverse Engineering

Es war wieder mal einer dieser langweiligen Tage. Ich hatte nichts zu tun so suchte ich mir ein paar Filme aus der Gulli:Börse.
Als wäre ich nicht schon genug genervt, sprangen mir hier und da nur CCF und RSDF Dateien vors Gesicht. Ich hatte es satt mir immer Threads auszusuchen wo die Links im Klartext da lagen (um dann mit etwas Glück zu hoffen, dass die Links nicht schon verpetzt sind).
Auf der Suche nach CCF oder RSDF für Linux stieß ich nur auf Hilfeschreie von armen Linux Nutzern. Ihnen musste jemand helfen!
Kurze Zeit später fand ich heraus, dass der hervorragende jDownloader das RSDF Format unterstützte. Also ging ich (schon wieder, nach meinem letzten Problem) zurück in den IRC Channel des jDownloader Teams (irc.freenode.org #jDownloader).
Nach einer kleinen Probe ob ich nichts böses mit dem RSDF Format hätte (Bin ich ne Petze? ) kamen auch nette Antworten von thomas_sch welches mich auf den Thread im Gulli Board aufmerksam machte. Genauer genommen, die Beiträge von Kugelfisch23.
Er fand durch Reverse Engineering den Key zum entschlüsseln für das RSDF Format, und zugleich die Verschlüsselungsmethode.
Ich war glücklich über die Scripte dort, doch dieser eine Drang in mir der schon seit Tagen nach Hardcore Assembler und Reverse Engineering schreit hielt mich nicht davon ab selbst zu reversen!
Ich suchte mir erstmal ein paar Downloader (wusste bis dato nicht mal von welchen Downloadern diese Formate unterstützt werden) und fand dann MSD und RSD. Ich nahm mir RSD vor (ich glaub, MSD hat nicht mal einen RSDF Support). Nach einer kleinen Spritztour durch den PE Explorer hatte ich eine von UPX befreite RSD.exe
Nach meinen Misslungenen Versuchen die rsdf.dll aus dem YouCryptJunior Ordner aufzurufen, schmiss ich doch Olly mal an.
Och, sah ganz interessant aus. Bisschen nach Strings umgeschaut (hätte gedacht es wäre DeDe nötig gewesen, aber so einfach wie das Programm aufgebaut war, ging es leicht) und ich fand etwas viel versprechendes “Erstelle rsdf …”. Na das klang doch super!
Schnell hingejump, bisschen gebreaked und umgeschaut.
Die ganzen CALLs habe ich studiert und dokumentiert/kommentiert. Am Ende wusste ich wohl mehr darüber bescheid wie RSD arbeitet als der Programmierer selbst (welcher Anscheinend die DCPcrypt Komponente für Delphi genutzt hat um SHA und AES einzusetzen, nebenbei noch Base64 wahrscheinlich mit einer anderen Komponente)
Ich kam soweit dass ich die Links entschlüsselt anblicken konnte (habs dann auch so gepatched dass es mir per MessageBox die Links einzeln anzeigen konnte), aber viel weiter kam ich (heute) noch nicht. Es sind nun ca. 8 Stunden vergangen. Ich kann ASM Code nicht mehr anblicken!

Morgen werde ich wohl das ganze Geheimnis um RSDF SELBER gelüftet haben (nachdem ich das verdammte Problem gelöst habe -.-)

Kommt mir bitte nicht mit “Du hilfst den Petzen” Comments, musste schon genug mit ansehen wie der arme Kugelfisch im Gulli:Thread fertig gemacht wurde, obwohl er für garnichts schuldig, und in allem was er sagte im Recht war.

//edit
So, ich gebe auf
Es wird von mir doch höhere AES Kenntnisse vorrausgesetzt. Da ich aber so gut wie 0 Ahnung davon habe, komm ich auch nicht weiter
Aber die Informationen die ich wollte, hab ich sowieso alles. War schon in der Endphase
Hier der Aufbau der RSDF Datei:
1.) Datei wird in 2-Byte Schritten von Hex zu Ascii umgewandelt
2.) Es ergibt sich ein base64 String. Dieser wird decoded.
3.) Es ergibt sich ein AES Ciphertext. Dieser wird decoded und man hat die Links
Der Key für AES müsste das folgende sein:
8C35192D964DC3182C6F84F3252239EBFFFFFFFFFFFFFFFF
kA wieso ich einen anderen Key als Kugelfisch habe :S Vermutlich hab ich genau da einen Fehler gemacht. Hab dann nach Stunden voller Schweiß mich doch dazu verleiten lassen in das fertige Python Script zu schauen.
Als ich die Zeile mit “IV” und den ganzen “FF”s sah, wurde mir klar dass ich keine Ahnung von AES hatte. Wie sollte ich dann herausfinden wie das ganze funktioniert? Ich weiß ja nicht mal was dieses IV ist
Naja, ich gebe dann halt auf, 4 Tage sind genug für ein Dateiformat

Ganz weit oben

Als ich mein dlam-Backup Projekt ins Leben rief, hatte ich viele Quellen wo ich die ganzen Links sammeln konnte. Dabei war das Gulli Board eine besondere Quelle, denn da wurde schon heftig gesammelt und Sammelthreads erstellt.
Ich nahm diese Hilfe an, und fütterte damit meine Datenbank, damit nicht jeder User wild durchs Internet recherchieren muss, um einen Link zu finden (und stattdessen meinen Service nutzt ).
Nun, da gab es dieses eine Projekt. dlam.info heißt es nun. Von dem Typen hatte ich auch paar Links abgeguckt, und so weiter meine DB gefüttert.
Damit ich kein böser ripper bin (bin doch ehrlich ) bedankte ich mich bei dem Typen.
Nach ein paar Minuten schon war ich in seiner ICQ Liste und er sprach mit mir darüber ob wir nicht mal unsere Projekte zusammenlegen sollten. Irgendeiner wollte uns die dlam.info Adresse + Webspace anbieten. Ich müsste dafür nur mein Script bereitstellen.
Mir ging das alles zu schnell. Ich will nicht wieder mit irgendeinem Fremden ein Projekt starten und es dann so Enden lassen wie gsin.dl.am (German Scene Interviews & News). Also lehnte ich dankend ab, Weil ich aber dachte, dass wäre jetzt böse von mir, gab ich ihm meine ganze aktuelle Datenbank damals.
Er hat dann also die Datenbank angenommen selbst weitergemacht. Während er nur eine Rohe Liste anbot (die Datenbank die ich ihm gegeben hatte) wo sich jeder User was zusammensuchen musste, bot ich einen Service an, mit dem man mit nur einem Klick auf eine Webseite gelangen konnte (mit meiner QuickURL Idee ).
Naja, er codete das ganze nach, und nachdem ich ihm geholfen hatte dass Script funktionstüchtig sowie bisschen sicherer zu machen, hatte er es auch schon fertig.
Nun bot er den gleichen Service an, wie ich. Nur er hatte halt eine schöne Domain die sich jeder merken konnte
Worauf ich hinaus will ist, jede Seite im Netz dass mit dl.am Seiten in Kontakt war, kopierte die Liste aus dlam.info (also meine Liste) und so verbreitete es sich wie ein Virus um die ganze Welt :O
In meinen Referer Logs sah ich Links von überall, und nach einer kleinen Google Aktion konnte ich miterleben wie sich die Liste verbreitete. Man war das schnell.
Nun ist diese besagte Liste mit allen dlam Links und den dazugehörigen neuen Links überall zu finden. Und das gute dran ist, ich hatte mich in meiner Liste natürlich ganz oben mit eingetragen, genauso wie mein Freund Kabel
Hätte ich gewusst dass sich meine Liste so weit verbreiten wird, hätte ich ein paar Lustige Fake Einträge eingebettet, um die Verbreiten belustigt mitverfolgen zu können

Dickes Linux Buch

Ich meinte noch letztens zu meinem Bruder, er soll mir aus der neu eröffneten Bücherei ein Buch mitbringen (hier gab es bis jetzt nur eine Bücherei für Grundschüler, so kam es mir vor, die vielleicht mal ein paar Bücher über Word bereithielten ), nun wollte ich halt wissen was die neue Bücherei so bietet, und bat meinen Bruder halt, mir ein Buch zu besorgen, und zwar über Linux!

Ich schmunzelte bisschen hellseherisch dass er sowas nicht finden würde. Da kommt der tatsächlich nach Hause und zeigt mir sowas hier:

Das Teil hat stolze 1112 Seiten lesespaß

Naja, muss gestehen, das Buch ist nicht wirklich schlecht. Hab da so einige Grundlagen gelernt und mich tatsächlich gefragt wie ich sowas nicht wissen würde (Stichwort: alias)

btw, musste mir wieder eine neue domain reggen. Der yj.ae Inhaber hat dieses Projekt wohl auch aufgegeben -.-
Bin nun unter www.eddys-blog.6x.to und www.eddy14.6x.to erreichbar.

Einige Bild0r

Genau in diesem Augenblick werdet ihr merken dass ich Spaß an meiner Webcam habe (und zugleich ein Spielkind bin ). Ich hab mal irgendwelche sinnlosen Bilder gemacht, damits in meinem Blog mal ein bisschen bunter wird =)

MS-Dos in Original Verpackung. An dieser Stelle mal einen Dank an meinen Klassen Lehrer der mir das einfach so ohne weiteres schenkte, weil ich mal meinte “Ich hätte gerne mal DOS damals probiert…” (Pssscht, war eigentlich auf die Sicherheit bezogen, aber nicht weitersagen )

Ein paar CDs. Hier sei mal angemerkt dass ich kein verdammter WoW Zocker bin :O Die CD hatte mir mal ein Freund ausgeliehen weil er dachte es wäre eine Cracked Version (Im Computer Bild Spiele Magazin ). Und bevor jetzt einige losschreien “Öde, habe mehr CDs”, ich habe die (meisten) illegalen CDs entfernt. Bin doch ein ehrlicher Bürger (Mir fehlt definitiv ein Smilie mit einem Heiligenschein )

Das Bild musste einfach sein. Meine Leet Ubuntu 7.04 CD (ja i know … für die 7.10er hatte ich keine CD mehr übrig )

Mein Phreaking Notizblock. Richtig 1337 mit ERNA Nummer und so natürlich

Meine Katze! Ist sie nicht süß Uuund noch einmal:

Oh man, ich liebe meine Katze. Sie hätte es sogar fast geschafft mich vollständig ins RL zurück zu holen (hat nur ein Tag gehalten )

Phreaking, kein Sinn?

Heute,
es war der Tag an dem ich endlich mal nach 0800 Nummern Scannen wollte
Laptop zum Wohnzimmer getragen, an Modem angeschlossen, nach langem hin und her herausgefunden dass ich ISDN-Treiber braucher um meinen Modem nutzen zu können (zumindest unter Windows; musste wieder Windows benutzen, deswegen -.-), endlich fängt THC-Scan an zu scannen. Der Bereich war 0800-112-1XX (zufällig mal zum testen genommen), es kam nix dabei raus!
Naja, beim scannen kam (erfreulich) meine Mutter früher von der Arbeit zurück … Sie erstaunt:
“o_O Was treibst du denn da?!” <- sie wundert sich dass ich nicht abgedunkelt in meinem Bett mit meinem Laptop auf dem Schoß liege
“Öhm, bisschen mit Modems spielen”
“Und was soll das werden?”
“Naja” <- Nun musste ich überlegen wie ich hier Hacking, geschweige denn Phreaking nahebringen soll. “Ich hacke” … nee das will sie nicht :S … “Ich spiele rum” … nee dann sagt sie ich soll die Leitung wieder freilegen, und nicht so ein Blödsinn treiben … Aha, da kam mir die Idee->
“Ich wende eine Methode an um kostenlos telefonieren zu können”
Ich dachte sie wäre jetzt total fasziniert, würde nach Details fragen etc. Sie kam mit
“Wir haben doch Flatrate, sogar für das Telefon … wozu willst du noch kostenlos telefonieren?”
Und das schreckliche war ja, sie hatte verdammt nochmal Recht!
Phreaking braucht also ein neues Ziel ( wenn es nicht schon tod ist ) um interesse zu wecken. Mich interessieren generell Schaltungen, Programmierungen und Protokolle, Dateiformate etc. etc.

Jedenfalls zog ich den Stecker raus, und ging wieder in mein Zimmer … und tippsle gerade das hier ins Blog *Licht aus macht und sich mit dem Laptop auf Bett legt*