AES Killer (Plugin Burpsuite)

Plugin Burpsuite para descriptografar tráfego criptografado com AES em tempo real

Requisitos

• Burpsuite

Testado em

• Burpsuite 2021.4
• Windows 10
• Ubuntu & PopOS

O que faz

• O IProxyListener descriptografa solicitações e criptografa respostas, e um IHttpListener criptografa solicitações e descriptografa respostas.
• O Burp vê o tráfego descriptografado, incluindo Repeater, Intruder e Scanner, mas o cliente/aplicativo móvel e o servidor veem a versão criptografada.

NOTA: Atualmente suporta criptografia/descriptografia AES/CBC/PKCS5Padding && AES/ECB/PKCS5Padding.

Como funciona

• Requer Chave Secreta e Vetor de Inicialização que podem ser obtidos usando aes-hook.js e frida-hook.py ou fazendo engenharia reversa da aplicação (Para iOS, use Frida iOS Hook para obter a Chave Secreta AES e o IV)
• Um guia de uso detalhado pode ser encontrado em AES Killer - Guia de Uso
• Este artigo irá ajudá-lo a Descriptografar Tráfego de Aplicativo Móvel usando AES Killer e Frida

Como Construir

$ git clone https://github.com/Ebryx/AES-Killer/
$ cd AES-Killer
$ ./gradlew clean build

Variantes

• AES_Killer para solicitação JSON AES_Killer-JSON.java
• AES_Killer para Parâmetros aleatórios/alternativos em diferentes endpoints AES_Killer-Parameters.java

AES_Killer-Parameters.java: Digamos que a aplicação esteja impondo criptografia em alguns parâmetros da solicitação e esses parâmetros mudarão a cada vez em relação ao endpoint/solicitação, então tudo que você precisa fazer é o seguinte

- Adicione endpoints adicionando this.endpoints.add("abc"); na função registerExtenderCallbacks
- Adicione parâmetros que serão criptografados em `String[][] parameters`
- Adicione o restante do parâmetro em grant_type ou faça uma entrada em branco

e deixe o código fazer a mágica para você.

• AES_Killer_v3.0 uma variante genérica para parâmetros alternativos em diferentes endpoints com suporte a GET, POST (JSON, Form) AES_Killer_v3.0.java

AES_Killer_v3.0.java: Esta variante é genérica e pode lidar com qualquer tipo de formato de solicitação, i.e., GET, POST(Form, JSON) com parâmetros alternativos em diferentes endpoints

- Clone o projeto e substitua o BurpExtender.java pelo código AES_Killer_v3.0.java
- Modifique os endpoints e parâmetros de cada tipo de solicitação na ordem mostrada abaixo
- Atualize os parâmetros SecretKey e IV e outros métodos necessários
- Construa o projeto e está pronto para usar

• AES_Killer_v4.0.java para criptografia de múltiplos níveis na solicitação (Suporta formatos Form, JSON e XML)

AES_Killer_v4.0.java: Esta variante é para criptografia de múltiplos níveis onde a aplicação está criptografando alguns parâmetros da solicitação com uma chave e posteriormente criptografando todo o corpo da solicitação com outra chave

- Clone o projeto e substitua o BurpExtender.java pelo código AES_Killer_v4.0.java
- Modifique os endpoints e parâmetros conforme mostrado abaixo
- Atualize as Chaves Secretas e outros métodos necessários
- Construa o projeto e adicione o arquivo jar ao seu extensor

NOTA: Estas variantes não funcionarão diretamente para você devido à natureza da sua solicitação, então pode ser necessário um pequeno ajuste.

Como Instalar

Baixe o arquivo jar de Release e adicione no burpsuite

Solicitação/Resposta Original

Obtendo Chave de Criptografia AES e IV

• Primeiro configure o servidor frida em dispositivo IOS e Android.
• Inicie o aplicativo no dispositivo móvel.
• Execute aes-hook.js e frida-hook.py em sua máquina host para obter a Chave de Criptografia AES e o IV conforme mostrado em este post.

Descriptografar Solicitação e Resposta

• Forneça a SecretSpecKey no campo Secret Key
• Forneça o IV no campo Initialize Vector
• Forneça Host/URL para filtrar solicitação e resposta para criptografia e descriptografia
• Selecione as opções apropriadas de Solicitação e Resposta
• Pressione Start AES Killer

AES Killer com Repeater, Intruder e Scanner

Uma vez que iniciamos o AES Killer, ele assume o controle do IHttpListener.processHttpMessage do Burp, que é responsável por lidar com todo o tráfego de saída e entrada, e o AES Killer faz o seguinte

• Antes de enviar a solicitação final para um servidor, ProcessHttpMessage criptografa a solicitação
• Ao receber uma resposta, ProcessHttpMessage descriptografa a resposta primeiro antes de mostrá-la para nós

Então, estaremos recebendo apenas a Resposta de Texto Simples e podemos brincar com a solicitação de Texto Simples.

Criptografia e Descriptografia Manuais

Também podemos criptografar e descriptografar strings manualmente usando o AES Killer. Vamos pegar uma string criptografada da solicitação TYROd49FWJjYBfv02oiUzwRQgxWMWiw4W3oCqvNf8h3bnb7X0bobypFzMt797CYU e descriptografá-la usando o AES Killer. Da mesma forma, podemos realizar a criptografia também.

Baixe o App Demo de aqui