Verschlüsseltes Javascript File?

Hallo zusammen!

Ich bräuchte am besten mal einen Denkanstoß:

Es geht um ein File namens safe.js

Der Inhalt dieser Datei lautet:

Code:
±y¯Nâ￾¿ì¯Åv«¥6ŰÝyø&X7￾6úAáÛ(ž¬þ±³æ26Ï&-#ÄðqÀ	O_së1œj”é¬ëÄ,Šæ‡^À5XmŠÊÑU×àzžC—™·«¸YIS)þ÷ùJ_Bîb¨¯É§Öµž¯Fñ—œg;Ã`‚p˜%N{wßbµ›2–ªu‘ͼ¸ç,ÇPQ￾ÿÇ:èUœK:¡˜‚}æ|öd+ɨ4IÂyñ"ê儗ä•pÕ^儗ä•pÕ^:Æ'ï A|á￾5ˆ¦￾%LãðÎCrÊ²ÅØQ±￾jªN›hűµ°:yÄãrfˆ5Ø×3“¢씂¢4ö…xÀùuÚ}úTAt?§
›¼\Èý2Pð”Gjï¾ÚsAÆ`
/ì½￾„g`¼Ì￾*¾ƒ
¯A…µNOsK,¥¹*úTAt?§
›¼\Èý2Œ_tçŒåǛ¹￾Z
çŽÅ…Ž‚9³Â"-xR’￾Q‘î+￾ˆs2a ؽÛü”z*￾9￾Öïk0=￾ÖA౬￾Öïk0+‚ù"=”VjªN›hűµÅ²Rڛג￾￾ÅÛT®1Øo„þu\±JœRDhöþr З9ÿeHU*X…åáÁÝ5ï˜¯ÇŽÄ §Éémv”,øà#uê¼±Ñmp„™ýÚèN*\Jž‚±oøŸúöäjõ(V˜±)·)0ŠÀÿ!È#²òiÒd†C™jn…~:ïz¤Êwþe	
 1–2*￾ÿÚÊoö×þn9”U￾Ë{Ò«mµãšCY&yj±bÃä¼/ÄIûv&Yfö¦‚¤Y_s?´&=…Q£`nv
KÔÜÔfM¯,çkohäýiÂ4TWä0¿z—.`ô’…7u¢x¿;òžpµXMŽ￾¢QµÜ5öIÄ møWJœ€f՞(å“Û¬/K<ÈßQ¡_a݇àa†˜îÖv›ìuß	÷ug§|›óß	~xn‡KÖÔ²ñ‘úŸ‘C@wÊõΚÀêûzÓwGÿï_]æÍ￾D￾￾ˆh»^=f=ƺxüg¹ÑÚδ/G(µâiâÕõ(á¯çmš:&›\Á×{ßÔ[IQ䴟ìÚN˽)ú)ÙI}zƒû￾@[ü?Ícn÷Køäêm/æ7bà§3ÒÓBÚÍS<‚¡ŕE$GSÞ¨'Ô|Ã(bº>œìRëEÇ'*âžU*ŸIÅzÑëëZ©Ltñú¾<°µ#¬É©øêÏbêœQ•￾ɟIMƎ￾Ö**Œ%£{üiÌòb+üÊz²io_ˆ
è￾Ôpj¢Ö~•¿Ï%4O\³´ŸíìU€Ï.Ójš—9AK`‘ßèYÒó5™‘³xi
ªZ_1ù…‘ìð•ø￾|–jª5¢¨äáe†Oþ80Çh†sìHÃB]¶l¤ÖÛNÓpZ[<çà¢Ê‘Û…oç}Éé-H;ÑÙf½!ÐçÖ) ¶[€ÄŠ¢ãb_Ýœ￾ï·ÑÔõm￾ýRø]/ä6`ÐåJ.8´מE_çhUý¡hì[£G-ü%x¤Ç(s¯Œ+￾[Ò￾–öcÊû°᧤sñ-ý￾{º*AM5µÎÔF¾ÃQ¿±Í‡›”sÍó¶8õW>–}aD￾ÄÖ á›"±‘oà￾UKª”àJª…¡,:Ùáý`¯cîâÅ)€·X_®1›b"HÕk¾‰™»•7–½c•	Š3	\Æ.èˆF?…U*pn'àŠè9ïœêC¢’éZ„ЬÉã
%3|
8]±ý[ÓtâaÒìhz–®‰ëÀŽ*A(äöþá4Æ£úŸ·Fà;y›ŸÉ–ęSè›À*Ç¡«¡x&ç-®ÃdêþÞ¸ŒIò[!]Úsÿטö’¬Y¥‡öR1µâQ￾v'ÒxÎÀw:kÏSî葻áõFœ_Åïø«þÀ,c&vÉn‘#`:ŠÚTèÈv?E!;(￾õaOf:IJƒ-¨÷’ÅS³›¢³ÈÖšøÞ
sz±æ Jq³W-ò¿üÒ&棿mMº2ÃøÞ
sz±2<PxrÓuR￾‰YGb„µõ„É¡˜Óƹ#÷)ÞGCMö5dÖÞ²¬˜rJËFêô
@ÙðF￾ì1œ¨ŸsöÖ<T￾/yû×´"hÁºú±9&s¸bìðù	®hž6￾¦_μa¤þe]|ã*ÁsÕýþ'°».hÎÓŽ"b$￾휘ÄC?1¦bë‹5=°:¨×ñæ”óÞ3È%GAµ0b￾¢ÖäùZOf:IJƒ-ݒö²¦;
Œ9œ™ @°ofË7L@	M÷þÕñº¼“öÖ<T￾/y|'o„üo;•ÜØ«Ü(Îx>¼Þ3È%GAµ0b￾¢ÖäùZOf:IJƒ-ݒö²¦;
Œ9œ™ @ßcüÖÚK0¦ûáz￾¡”µÉÑg—)u:sÏ‚¤Y_s?~•¿Ï%4OѼ^nîÄGÿ±ÕÀ4º¾￾â&àþø¡¹T=#á½zG9¾Ô¡)Ð0bPîoà8Fœ_Åïø«\h¸ý{6!ßÚK*Ú*ËÆ³ÌOV-%eý￾ãÃۈî«ÃöCˆÒÑãH˜®3+h.Â:nl”ê

Ich habe absolut keine Ahnung womit das verschlüsselt wurde.

Hintergrund:

Das File dient scheinbar zur Verschlüsselung diverser HTML Inhalte. Ich habe diese HTML Seiten auch - diese lassen sich weder mit einem Browser oder einem Texteditor öffnen, ohne ebenfalls nur Kauderwelsch zu enthalten.

ABER:

Das öffnen und decrypten findet auf einem lokalen TomCat Server statt - da JS Client seitig läuft MUSS der Key zur Entschlüsselung doch eig. auch lokal vorhanden sein bzw. würde im Falle einer "echten" Web-Anwendung mitgesendet werden, oder?

Die Frage die ich nun habe: Wie gehe ich da am besten ran?

Ich habe schon einiges ausprobiert und begonnen mich in die Thematik einzulesen - allerdings fehlt mir einfach ein Ansatz.

Hat da vielleicht jemand hier eine Idee?

Grüße und Danke im voraus

-IanG
 
Versuch dich doch einmal mit Firebug bzw. Wireshark entwas an die Webseite heranzutasten. Wenn dir irgendwelche AJAX-Abfragen auffallen, könntest du Glück haben, und den Schlüssel finden.

Zur Methode der Verschlüsselung:
Da - wie du bereits gesagt hast - JS clientseitig ausgeführt wird, muss der Verschlüsselungsalgorithmus wohl auch irgendwo bei dir im Browser herumfliegen. Alles andere wäre sinnlos: Stell dir nur mal vor: Verschlüsselungsalgorithmus in PHP auf Server, client schickt die verschlüsselte datei wieder zurück an den Server, obwohl sie ja von diesem ursprünglich stammt...

Das ist mein Wissenstand, ich kann mich natürlich täuschen, aber erste Annäherungen mit Netzwerkanalysetools sind eigentlich immer aufschlussreich.

mit freundlichen Grüßen.
 
Hey,

also ich hab mich mal ein wenig mit Wireshark bzw. mit RawCap rangewagt (anders ist das Sniffen von localhost unter Windows scheinbar nicht möglich) und hab mal ein wenig was gemacht - aber bisher bin ich noch nicht weit gekommen. Hab mich halt auch bisher noch nicht so viel damit beschäftigt Pakete einzeln zu analysieren. Aber ich werd mal weiter schauen, vielleicht finde ich da ja noch was brauchbares :)

Danke auf jeden Fall schonmal für den Hinwweis!:)
 
Ich empfehle dir noch einmal Firebug zu probieren. Damit kannst du relativ schnell alle AJAX-Requests ausfindig machen und ansehen, ob dir dabei was verdächtiges unterläuft.

Ansonsten könntest du einfach mal die Ausführung deines JavaScript verfolgen. Das Script, das nach erfolgreichem Seitenaufbau offensichtlich gestartet wird, kann ja nur im Quelltext vorliegen. Dieser könnte jedoch noch obfuscated oder "für Menschen verkompliziert" sein, müsste man halt einfach mal austesten...

mit freundlichen Grüßen.
 
Zurück
Oben