资源描述：
《逆向分析的目的》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。
1、［安腾客户端（应用层）逆向分析报告］［附视频］作者：覃tl鸿日期：2011/1W9目录［安腾客户端（应用层）逆向分析报告］［附视频］1客户端介绍1逆向分析的目的1客户端工作原理2客户端发送数据包分类2各类包发送过程2发送UDP包到远程3848端口主函数2数据加密算法函数（加密算法一）：6发送UDP包到远程3849端口主函数7数据加密算法函数（加密算法二）10心跳包发送主函数11数据加密算法16网络封包规则16登陆认证封包（2个包）16登录认证封包说明16心跳封包（每隔30秒发送一个心跳包）17心跳包封包说明1
2、7附录17客户端介绍安腾校园网宽带认证计费管理系统是一应用比较多的校园宽带计费解决方案，很多学校都使用了这套系统。安腾校园计费系统包含服务器系统端和客户端，用户需要安装［安腾客八端］后才能计费上网。（此逆向分析是针对3.6.7版本的安腾客户端）逆向分析的目的用户在使用客户端的时候经常会出现莫名的问题，有时候就连学校网络中心也无法解决的。为了深入探索问题的所在，需要对安腾客户端进行逆向分析。客户端工作原理1）客户端发送一个UDP包到远程服务器1.1.1.8（socket句柄1,本地端口4999,远程端口3850
3、）,服务器只做初始化，不返回信息到客户。2）客户端发送一个UDP包到远程服务器192.168.4.2（socket句柄2,本地端口3848,远程端口3848）,服务器返冋信息到客户。3）客户端发送一个UDP包到远程服务器192.168.4.2（socket句柄3,本地端口任意，远程端口3849）,服务器返回信息到客户。4）客户端每隔30秒发送一UDP包（变动包）到远程服务器192.168.4.2（socket句柄2,本地端口3848,远程端口3848）,服务器返回信息到客户。（说明：socket句柄值在300
4、左右变化。有中间驱动层）客户端发送数据包分类第一类包：>远程Ip地址：1.1.1.8本地端口:4999远程端口:3850第二类包：>远程Ip地址：192.168.4.2本地端口：3848远程端口：3848第三类包：>远程Ip地址：192.168.4.2本地端口：任意远程端口：3849第四类包（心跳包，每隔30秒发送一个包）：>远程Ip地址：192.168.4.2本地端口：3848远程端口：3848（跟第二类包发送的socket句柄相同，远程ip地址相同，本地、远程端口相同，数据加密算法相同，数据包封装方法不同
5、。）各类包发送过程发送UDP包到远程3848端口主函数00416AD0/$81EC64060000SUBESP,66400416AD61.56PUSHESI00416AD71.57PUSHEDI00416AD81-B977010000MOVECX,17700416ADD1.33C0XOREAX,EAX00416ADF1.8DBC24900000>LEAEDI,DWORDPTRSS:[ESP+90]00416AE61.8D542408LEAEDX,DWORDPTRSS:[ESP+8]00416AEA1.F3:A
6、BREPSTOSDWORDPTRES:[EDI]00416AECI-8D4C240CLEAECX,DWORDPTRSS:[ESP+C]00416AF01.8D8424A20000>LEAEAX,DWORDPTRSS:[ESP+A2]00416AF7I-51PUSHECX00416AF81.688C944500PUSHsupplica.0045948C00416AFD1-6A06PUSH600416AFF1.6A07PUSH700416B011.52PUSHEDX00416B021-C7055C3E5200>M
7、OVDWORDPTRDS:[523E5C],100000000416B0C1.8944241CMOVDWORDPTRSS:[ESP+1C],EAX00416B101.C7442420120>MOVDWORDPTRSS:[ESP+20],1200416B181-E873290000CALLsupplica.00419490;向发送数据的缓冲区填充MAC地址00416B1DI.8D442420LEAEAX,DWORDPTRSS:[ESP+20]00416B211.BF38954500MOVEDI,supplica
8、.OO459538;ASCII00416B261.50PUSHEAX00416B271.83C9FFORECX,FFFFFFFF00416B2A1-33C0XOREAX,EAX00416B2C1.6838954500PUSHsupplica.00459538;ASCII00416B311-F2:AEREPNESCASBYTEPTRES:[EDI]00416B331.F7D1NOTECX00416B3
