AES Killer (Burpsuite Plugin)

Burpsuite-Plugin zum Entschlüsseln von AES-verschlüsseltem Verkehr im laufenden Betrieb

Anforderungen

• Burpsuite

Getestet auf

• Burpsuite 2021.4
• Windows 10
• Ubuntu & PopOS

Was es tut

• Der IProxyListener entschlüsselt Anfragen und verschlüsselt Antworten, und ein IHttpListener verschlüsselt Anfragen und entschlüsselt Antworten.
• Burp sieht den entschlüsselten Verkehr, einschließlich Repeater, Intruder und Scanner, aber die Client-/Mobile-App und der Server sehen die verschlüsselte Version.

HINWEIS: Derzeit wird AES/CBC/PKCS5Padding && AES/ECB/PKCS5Padding Ver-/Entschlüsselung unterstützt.

Wie es funktioniert

• Erfordert einen geheimen Schlüssel und einen Initialisierungsvektor, die mit aes-hook.js und <a href="https://github.com/d3vilbug/demo-example-code-snippets/blob/master/AES_Killer%20-%20Mobile%20App%20Demo/frida-hook.py" target=_blank">frida-hook.py oder durch Reverse Engineering der Anwendung erlangt werden können (Für iOS bitte Frida iOS Hook verwenden, um AES Secret Key und IV zu erhalten).
• Eine detaillierte Anleitung findet sich unter <a href="https://n00b.sh/posts/aes_killer-usage-guide/" target=_blank">AES Killer - Usage Guide
• Dieser Artikel hilft Ihnen beim <a href="https://n00b.sh/posts/aes-killer-mobile-app-demo/" target=_blank">Entschlüsseln von Mobile-App-Verkehr mit AES Killer und Frida

So bauen Sie

$ git clone https://github.com/Ebryx/AES-Killer/
$ cd AES-Killer
$ ./gradlew clean build

Varianten

• AES_Killer für JSON-Anfragen AES_Killer-JSON.java
• AES_Killer für zufällige/wechselnde Parameter an verschiedenen Endpunkten AES_Killer-Parameters.java

AES_Killer-Parameters.java: Angenommen, die Anwendung erzwingt eine Verschlüsselung auf wenigen Parametern in der Anfrage und diese Parameter ändern sich jedes Mal in Bezug auf Endpunkt/Anfrage, dann müssen Sie wie folgt vorgehen:

- Add endpoints by adding this.endpoints.add("abc"); in registerExtenderCallbacks function
- Add parameters which will be encrypted in `String[][] parameters`
- Add rest of parameter in grant_type or make blank entry

und lassen Sie den Code die Magie für Sie erledigen.

• AES_Killer_v3.0 eine generische Variante für wechselnde Parameter an verschiedenen Endpunkten mit GET, POST (JSON, Form)-Unterstützung AES_Killer_v3.0.java

AES_Killer_v3.0.java: Diese Variante ist generisch und kann mit jedem Anfrageformat umgehen, d.h. GET, POST (Form, JSON) mit wechselnden Parametern an verschiedenen Endpunkten:

- Clone the project and replace the BurpExtender.java with AES_Killer_v3.0.java code
- Modify the endpoints and parameters of each request type in order as shown below
- Update SecretKey and IV parameters and other required methods
- Build the project and you are good to go

• AES_Killer_v4.0.java für mehrstufige Verschlüsselung bei Anfragen (unterstützt Form-, JSON- und XML-Formate)

AES_Killer_v4.0.java: Diese Variante ist für mehrstufige Verschlüsselung, bei der die Anwendung einige Anfrageparameter mit einem Schlüssel verschlüsselt und später den gesamten Anfragekörper mit einem anderen Schlüssel verschlüsselt:

- Clone the project and replace the BurpExtender.java with AES_Killer_v4.0.java code
- Modify the endpoints and parameters as shown below
- Update Secret Keys and other required methods
- Build the project and add jar file to your extender

HINWEIS: Diese Varianten werden aufgrund der Beschaffenheit Ihrer Anfrage nicht direkt für Sie funktionieren, daher sind möglicherweise kleine Anpassungen erforderlich.

So installieren Sie

Download jar file from Release and add in burpsuite

Ursprüngliche Anfrage/Antwort

AES-Verschlüsselungsschlüssel und IV erhalten

• Richten Sie zuerst den Frida-Server auf dem iOS- und Android-Gerät ein.
• Starten Sie die Anwendung auf dem mobilen Gerät.
• Führen Sie aes-hook.js und <a href="https://github.com/d3vilbug/demo-example-code-snippets/blob/master/AES_Killer%20-%20Mobile%20App%20Demo/frida-hook.py" target=_blank">frida-hook.py auf Ihrem Host-Rechner aus, um den AES-Verschlüsselungsschlüssel und IV zu erhalten, wie in <a href="https://n00b.sh/posts/aes-killer-mobile-app-demo/" target=_blank">diesem Beitrag gezeigt.

Anfrage und Antwort entschlüsseln

• Geben Sie den SecretSpecKey unter dem Feld Geheimer Schlüssel an
• Geben Sie den IV unter dem Feld Initialisierungsvektor an
• Geben Sie den Host/URL an, um Anfrage und Antwort für Ver- und Entschlüsselung zu filtern
• Wählen Sie die entsprechenden Optionen für Anfrage und Antwort
• Drücken Sie Start AES Killer

AES Killer mit Repeater, Intruder und Scanner

Sobald wir AES Killer starten, übernimmt es die Kontrolle über Burps IHttpListener.processHttpMessage, der für die Verarbeitung des gesamten ausgehenden und eingehenden Verkehrs verantwortlich ist, und AES Killer führt Folgendes aus:

• Bevor die endgültige Anfrage an einen Server gesendet wird, verschlüsselt ProcessHttpMessage die Anfrage
• Beim Empfangen einer Antwort entschlüsselt ProcessHttpMessage die Antwort zuerst, bevor sie uns angezeigt wird

So erhalten wir nur die Klartext-Antwort und können mit der Klartext-Anfrage spielen.

Manuelle Verschlüsselung und Entschlüsselung

Wir können auch manuell Zeichenketten mit AES Killer ver- und entschlüsseln. Nehmen wir einen verschlüsselten String aus der Anfrage TYROd49FWJjYBfv02oiUzwRQgxWMWiw4W3oCqvNf8h3bnb7X0bobypFzMt797CYU und entschlüsseln ihn mit AES Killer. Ebenso können wir auch die Verschlüsselung durchführen.

Download Demo App from here