[HaBo]

dasnov

Anzeige

Moin,
ich analysiere im Moment ein Online-Spiel auf dem iPad.
Das ganze läuft im Hintergrund über einen Json-Webservice, den ich mit Hilfe eines Web Debugging Proxy analysieren/manipulieren kann.

Allerdings bin ich schon nach kurzer Zeit auf ein kleines Problem gestoßen:
Die Requests die an den Webservice gehen, sind mit einer Signatur versehen. Mit Hilfe der Signatur überprüft der Server anscheinend ob die gesendeten Daten manipuliert wurden. Hier mal ein Beispielrequest:

Die Signatur hat eine Länge von 32 Zeichen, sieht also nach MD5 aus. So einfach ist es aber leider nicht.
Hat jemand eine Idee wie man an die Berechnung dieser Signatur drankommen kann?

Zum Schluss: Ich möchte bei diesem Spiel nicht cheaten oder Sonstiges, es interessiert mich lediglich...

Chakky

Das Spiel reversen wäre eine Idee und schauen was genau gemacht wird um die Signatur zu erhalten. Ich könnte mir vorstellen das eine Hardware ID bei der Install des Spiels abgerufen wurden ist die auf den Server gespeichert wird und dann immer bei einen neuen Request verglichen wird. MD5 mit Salz oder so in die richtung.

Desweiteren gilt immer der Grundsatz du kannst auf einen xbeliebigen String auch eine xbeliebige verschlüsslerung mit einen xbeliebigen Inhalt abbilden....

__________________
cu
Chakky

we are dreaming in digital
we are living in realtime
we are thinking in binary
we are talking in IP
welcome to our world

dasnov

Danke für die Antwort! :-)
Die Idee hatte ich auch schon, bin aber noch nicht dahinter gekommen wie ich das bei einer iOS-App am besten anstellen sollte...

she3p

Naja, ähnliche Verhalten kenne ich bei der Verhinderung sogenannter CSRF-Attacken.

Normalerweise geschieht dies zum Beispiel so, dass über alle Inputfelder ein Hash gebildet wird. Natürlich gesalted. Wie auch Chakky schon erwähnte.

Kann man annehmen. Allerdings liegt bei einem 32-Zeichen-Hash der Form [a-z0-9] der Verdacht nahe, dass wirklich ein MD5-Hash erzeugt wird.
Viel wichtiger ist die Information, ob diese signature in jedem Request verschieden ist. Falls nicht, hat sich der Fall ja sowieso erledigt.

Ich kenne mich mit I-Whatever-Geräten nicht aus, aber wenn du meinst, dass du noch nicht dahinter gekommen bist, wie eine App zu reversen, dann würd ich das Vorhaben vergessen.
Denn falls es sich um die vorher angesprochene Methode handelt Input-Daten zu verifizieren, dann müssten folgende Dinge geklärt werden:

• Welche Daten werden für den Hash verwendet?
• Wie werden die Felder zusammengefügt?
• Sind sie gesalzt? Und wenn ja, wie?

Und das sind nur die Dinge, die du wissten müsstest, falls es sich nicht um eine von Chakky angesprochene Methode handelt, bei welcher ein hardwarespezifischer Salt verwendet wird.

__________________

' or 1=1

Ist die ID denn immer gleich?

dasnov

Die Signature ist natürlich bei jedem Request anders, probiert das restliche Request anzupassen habe ich schon - ohne Erfolg (Meldung vom Server: "BAD SIGNATURE")

Bin aber schon ne ganze Ecke weitergekommen was das Reversen der App angeht, allerdings ist das Thema Neuland für mich und ich denke das Reversen einer iOS-App ist auch nicht der leichteste Einstieg...
Also erstmal wieder lernen...

Wenn irgendwer trotzdem noch Vorschläge hat, bzw Tipps was das Reversen angeht, nehme ich diese natürlich auch gerne an.