（灵锐）某网络准入控制系统主控端复制分析

0xRT

今天练手一个某网络准入控制系统主控端软件，灵锐的狗，序列号和开发商编码可以直接用管理工具获取，主要分析下访问密码和另外一个验证。


有明显的字符提示，相对简单，另外还读取了模块0区的数据，这样可以先读取下狗数据了。



到此，试写了下狗，发现还是提示试用版。。


继续往下调试，来到如下地方：

1. 013E3A60    55              push ebp
   
2. 013E3A61    8BEC            mov ebp,esp
   
3. 013E3A63    83EC 44         sub esp,0x44
   
4. 013E3A66    A1 C07D5E01     mov eax,dword ptr ds:[0x15E7DC0]
   
5. 013E3A6B    33C5            xor eax,ebp
   
6. 013E3A6D    8945 FC         mov dword ptr ss:[ebp-0x4],eax
   
7. 013E3A70    53              push ebx
   
8. 013E3A71    33DB            xor ebx,ebx
   
9. 013E3A73    6A 30           push 0x30
   
10. 013E3A75    8D45 CC         lea eax,dword ptr ss:[ebp-0x34]
    
11. 013E3A78    53              push ebx
    
12. 013E3A79    50              push eax
    
13. 013E3A7A    895D C0         mov dword ptr ss:[ebp-0x40],ebx
    
14. 013E3A7D    E8 5E2E1500     call LANProte.015368E0
    
15. 013E3A82    83C4 0C         add esp,0xC
    
16. 013E3A85    8D4D CC         lea ecx,dword ptr ss:[ebp-0x34]
    
17. 013E3A88    E8 0308FEFF     call LANProte.013C4290
    
18. 013E3A8D    85C0            test eax,eax
    
19. 013E3A8F    74 28           je short LANProte.013E3AB9
    
20. 013E3A91    8D4D D0         lea ecx,dword ptr ss:[ebp-0x30]
    
21. 013E3A94    51              push ecx
    
22. 013E3A95    8D4D C0         lea ecx,dword ptr ss:[ebp-0x40]
    
23. 013E3A98    E8 23F9FCFF     call LANProte.013B33C0
    
24. 013E3A9D    8B00            mov eax,dword ptr ds:[eax]
    
25. 013E3A9F    68 CCE65A01     push LANProte.015AE6CC                   ;             dszwlzrs    //内置字符串
    
26. 013E3AA4    50              push eax
    
27. 013E3AA5    BB 01000000     mov ebx,0x1
    
28. 013E3AAA    E8 DDE41400     call LANProte.01531F8C                   ;           /////////此CALL校验一个内置字符串"dszwlzrs"
    
29. 013E3AAF    83C4 08         add esp,0x8
    
30. 013E3AB2    885D CB         mov byte ptr ss:[ebp-0x35],bl
    
31. 013E3AB5    85C0            test eax,eax
    
32. 013E3AB7    74 04           je short LANProte.013E3ABD               ;            ////////////关键跳转，改为JMP
    
33. 013E3AB9    C645 CB 00      mov byte ptr ss:[ebp-0x35],0x0
    
34. 013E3ABD    F6C3 01         test bl,0x1
    
35. 013E3AC0    74 1F           je short LANProte.013E3AE1
    

复制代码

简单的修改就是013E3AB7的跳转改掉，或者进013E3AAA的call里改内存字符串比较的地方，重置为相同字符串即可。。不过狗内数据解密也没看到dszwlzrs字样，没具体探究了。

海旋风

谢谢分享

dogker

管理员太牛了

tengfei0513

灵锐狗，挺难搞的

tengfei0513

楼主知道通过usbtrace抓取的数据，可以分析出管理密码跟用户密码吗？

0xRT

tengfei0513 发表于 2021-4-19 14:49
楼主知道通过usbtrace抓取的数据，可以分析出管理密码跟用户密码吗？

应该是可以分析出来，不过要先了解加密数据的算法才能反推出解密数据，大致和NT77系列差不多。
NT77的USBTRACE加密算法还没研究透呢

skip2

果断收藏，谢谢分享！

darwen

虽然看不懂  但是感谢分享