AES Killer (Plugin Burpsuite)

Plugin Burpsuite pour déchiffrer le trafic chiffré AES à la volée

Prérequis

• Burpsuite

Testé sur

• Burpsuite 2021.4
• Windows 10
• Ubuntu & PopOS

Ce qu'il fait

• Le IProxyListener déchiffre les requêtes et chiffre les réponses, et un IHttpListener chiffre les requêtes et déchiffre les réponses.
• Burp voit le trafic déchiffré, y compris Repeater, Intruder et Scanner, mais l'application cliente/mobile et le serveur voient la version chiffrée.

NOTE : Prend actuellement en charge le chiffrement/déchiffrement AES/CBC/PKCS5Padding et AES/ECB/PKCS5Padding.

Comment ça marche

• Nécessite une clé secrète et un vecteur d'initialisation qui peuvent être obtenus en utilisant aes-hook.js et frida-hook.py ou en désassemblant l'application (Pour iOS, veuillez utiliser Frida iOS Hook pour obtenir la clé secrète AES et le IV)
• Un guide d'utilisation détaillé se trouve sur AES Killer - Guide d'utilisation
• Cet article vous aidera à déchiffrer le trafic d'applications mobiles avec AES Killer et Frida

Comment construire

$ git clone https://github.com/Ebryx/AES-Killer/
$ cd AES-Killer
$ ./gradlew clean build

Variantes

• AES_Killer pour requête JSON AES_Killer-JSON.java
• AES_Killer pour paramètres aléatoires/alternés sur différents points de terminaison AES_Killer-Parameters.java

AES_Killer-Parameters.java : Supposons que l'application impose le chiffrement sur certains paramètres de la requête et que ces paramètres changent à chaque fois selon le point de terminaison/requête, tout ce que vous avez à faire est le suivant :

- Ajoutez des points de terminaison en ajoutant this.endpoints.add("abc"); dans la fonction registerExtenderCallbacks
- Ajoutez les paramètres qui seront chiffrés dans `String[][] parameters`
- Ajoutez le reste des paramètres dans grant_type ou faites une entrée vide

et laissez le code faire la magie pour vous.

• AES_Killer_v3.0 une variante générique pour paramètres alternés sur différents points de terminaison avec support GET, POST (JSON, Form) AES_Killer_v3.0.java

AES_Killer_v3.0.java : Cette variante est générique et peut traiter tout type de format de requête, c'est-à-dire GET, POST (Form, JSON) avec des paramètres alternés sur différents points de terminaison

- Clonez le projet et remplacez le fichier BurpExtender.java par le code AES_Killer_v3.0.java
- Modifiez les points de terminaison et paramètres de chaque type de requête dans l'ordre indiqué ci-dessous
- Mettez à jour les paramètres SecretKey et IV ainsi que les autres méthodes requises
- Compilez le projet et vous êtes prêt

• AES_Killer_v4.0.java pour chiffrement multi-niveaux sur la requête (Supporte les formats Form, JSON et XML)

AES_Killer_v4.0.java : Cette variante est conçue pour le chiffrement multi-niveaux où l'application chiffre d'abord certains paramètres de requête avec une clé, puis chiffre l'ensemble du corps de la requête avec une autre clé

- Clonez le projet et remplacez le fichier BurpExtender.java par le code AES_Killer_v4.0.java
- Modifiez les points de terminaison et paramètres comme indiqué ci-dessous
- Mettez à jour les clés secrètes et les autres méthodes requises
- Compilez le projet et ajoutez le fichier jar à votre extendeur

NOTE : Ces variantes ne fonctionneront pas directement pour vous en raison de la nature de votre requête, donc un petit ajustement peut être nécessaire.

Comment installer

Téléchargez le fichier jar depuis Release et ajoutez-le dans Burpsuite

Requête/Réponse originale

Obtenir la clé de chiffrement AES et l'IV

• Tout d'abord, configurez le serveur frida sur un appareil iOS et Android.
• Lancez l'application sur l'appareil mobile.
• Exécutez aes-hook.js et frida-hook.py sur votre machine hôte pour obtenir la clé de chiffrement AES et l'IV comme indiqué dans cet article.

Déchiffrer la requête et la réponse

• Fournissez SecretSpecKey dans le champ Secret Key
• Fournissez l'IV dans le champ Initialize Vector
• Fournissez l'hôte/URL pour filtrer la requête et la réponse pour le chiffrement et déchiffrement
• Sélectionnez les options appropriées de Requête et Réponse
• Appuyez sur Start AES Killer

AES Killer avec Repeater, Intruder et Scanner

Une fois que nous démarrons AES Killer, il prend le contrôle de IHttpListener.processHttpMessage de Burp, qui est responsable du traitement de tout le trafic sortant et entrant, et AES Killer effectue les opérations suivantes :

• Avant d'envoyer la requête finale au serveur, ProcessHttpMessage chiffre la requête
• Lors de la réception d'une réponse, ProcessHttpMessage déchiffre d'abord la réponse avant de nous la montrer

Ainsi, nous n'obtiendrons que la réponse en texte clair et pourrons manipuler la requête en texte clair.

Chiffrement et déchiffrement manuels

Nous pouvons également chiffrer et déchiffrer manuellement des chaînes avec AES Killer. Prenons une chaîne chiffrée de la requête TYROd49FWJjYBfv02oiUzwRQgxWMWiw4W3oCqvNf8h3bnb7X0bobypFzMt797CYU et déchiffrons-la avec AES Killer. De même, nous pouvons aussi effectuer le chiffrement.

Téléchargez l'application de démonstration depuis ici