From: sjm0415@ms4.hinet.net Oct 28 1997
Newsgroups: tw.bbs.comp.hacker
Subject: 透視 Win95 的密碼檔 *.PWL
=========================================================
作者:蘇俊銘, 歡迎散播.......................
SJMisBestHacker.............................
=========================================================
基本上若您的電腦曾經讓別人使用過的話，那很可能的，您的密碼已經被他人
所獲知了 (包括您上Internet 用的 Username & Password)，只要Copy您在Win95
目錄下的.PWL檔即可著手進行解碼，然後您的網路費可能就莫名其妙的增加了。
有人就問了：可是我的Win95在登入時需鍵入密碼啊，別入又不知道我的密碼！
需知道要獲得 .PWL 檔並不一定非得進入Win95，只要用一片DOS磁片開機 or 按F4
、F8 ...
在網路上有一支程式叫 Glide.EXE，此程式宣稱能解 .PWL 檔，的確是如此，
不過此程式有某些先天上的限制，以至於所解出來的東東可能只有一小部份。相信
有些人已試過這支程式了，稍後我會說明這支程式的原理以及為什麼在大多數的情
況之下只能解出一小部份的原因。幸運的話這「一小部份」已含有第一組完整的
Username & Password 了。
Win95 是採用 RC4 的編碼方法，此演算法是不可逆的，也就是說您無法將.PWL
檔解回原來的樣子，除非您有 Key(或用暴力法)。小弟先說一下 RC4 大概的流程：
你擁有一個 32 Bit 的Key & 待解碼的資料(就稱為 SData 吧)
以下為解碼程式所做的事情:
1.初始化一個Table, 此Table的資料結構為
{
unsigned char Table[256];
unsigned char char x,y;
}
它會將Table依序填入0,1,2,.....FFh, 最後將 x,y 設為 00.
2.將此256 Bytes 的 Table 根據 Key 做一些Swap的動作, 完成
之後, 此Table看似不規則排列了.
到目前為止算是[初始化]的動作吧.
再來是解碼的動作:
3.
for(counter=0; counter 2 -> 3
再來我會判斷此20個Byte是否為正確的資料,if 正確的話我再
解開剩下的 90個Byte 流程為 2 -> 3 ,若分成多的片斷的話,則
統程應還是這樣的:
1 -> 2 -> 3 解最前面的 20 Byte
2 -> 3 再解 20 Byte
2 -> 3 再解 20 Byte
2 -> 3 再解 20 Byte
2 -> 3 再解 20 Byte
反正第一次就是從 1 開始啦!!! :)
====================================================
PWL的格式是(從0208h開始看):
20 byte (Username)
2 byte (第一組在檔案的 Offset)----------------+
2 byte (第二組在檔案的 Offset)--------------+ |
....... | |
Tag1:長度(2 byte),"連線到"的名稱,Password <-+-+
長度(2 byte),"連線到"的名稱,Password <-+
====================================================
Win95 大概的流程是:
1 -> 2 -> 3 解碼到Tag1減1的地方(此時Username現形了)
if(Username<>登入95時的Username)
{
撥號網路的密碼欄將是空的(即使儲存密碼有打勾)
(跳到Step1也沒用,因為Key不對嘛,再解下去也是不對的.)
}
else{
Step1: 1 -> 2 -> 3 從Tag1的地方開始解碼.
While(NotEND)
{
2 -> 3 解2個byte(得到長度,假設解出後,得到 YY)
2 -> 3 解YY個Byte(得到"連線到"的名稱&Password)
if(和"連線到"的名稱符合的話)
{
將Password填入密碼欄;
Break;
}
}
}
Win95的問題就出在 Username 一定是大寫, 而且不足20個Byte的地方以空白填入,
更糟糕的是PWL的檔名就是Username, 基於此原理我們已得知前面20Byte每個Byte
各是XOR什麼東東了, 我們假設為:
12 4F 33 20 7F F6 D9 3C 63 AA 11 40 32 DE 46 55 77 2C 3A AD
其實從PWL可分析到共有幾組帳號,至於怎麼分析的呢? 我也忘了.反正可以就是啦!
So, 0108h+幾組*2= Tag1 .
哈,我已經知道第一組帳號存在那裡了.(0108h是固定的)
即然知道第一組的位置,當然也就得到了緊接在Username 的那 2 個Byte,
現在我們已擁有了 22 個byte了喔!
怎麼解第一組呢?
因為95在Step1的地方又重覆了一次 1 -> 2 -> 3
所以我們可直接使用我們辛苦得
到的 22 Byte 從Tag1的地方將它給XOR下去.
如果"連線到"的名稱+Password的長度
不會很長的話----> 完全顯露無遺(可能還秀出了第二組的一點點喔!)
以上就是 Glide.EXE 所利用的原理(根本不需要Key就解出一組出來了)
如果你要將所有的帳號(Hinet'Seednet'成大'廣通...不會吧!帳號那麼多,借一組
來用用可以嗎?)全部抓出來, 那很抱歉,妳必需知道 Key.
\__ 在成大BBS和女生Talk多了,打錯了.
至於 Key 是怎麼來的呢?
我們在進入Win95時,不是會出現一個輸入密碼的Dialog嗎?
對啦,就是利用這密碼換算來的啦!
(沒有的話,表示你沒設定密碼, 你的Key=00000000h)
以下是Win95將登入密碼轉為Key的程式(最後的eax就是你的Key喔):
push esi
xor eax,eax
mov si,密碼長度+1
cmp si,ax
jz 7fcb19e7
mov edx,offset 密碼
movzx ecx,byte ptr [edx]
7fcb19d1:
add eax,ecx
inc edx
mov ecx,eax
shl ecx,7
shr eax,19h
or ecx,eax
dec si
mov eax,ecx
jnz 7fcb19d1
7fcb19e7:
pop esi
ret 8
嗯,組合語言比較亂, 用 C 來看(結果一樣):
unsigned long result = 0L;
for( i = 0; i < passwordLen + 1; i++ )
{
int tmp = ( int ) ( result >> 25 );
result += toupper( password[ i ] );
result = ( result << 7 ) | tmp;
}
就是一直轉來轉去再加來加去的啦!
所以若你知道某人進入Win95的密碼,那你就可以算出 Key, 也就可取得某人
所使用的所有帳號了.怎麼做呢? 喔, 這不必寫任何程式, 只要用SoftICE就
可以了, 所有的動作都在 Mspwl32.dll中, 設個斷點, 一次一組,方便又好用.
如果妳連此人進入Win95的密碼都不知道的話, 那只好用暴力法了.
1.編個密碼-->轉成Key-->經RC4-->什麼!前20Byte的username不對--再來--+
^\-----------------------------------------------------------+
2.指定一個Key-->經RC4-->什麼!前20Byte的username不對--再來--+
^\----------------------------------------------------+
那個好用,就得看運氣了. :)
Glide.EXE 好像在yhq可取得, 不知道.....忘了????????
註:
這些Bug後來Microsoft出了一支 Mspwl32.dll 的更新程式, 聽說可解決此
問題.我沒試過,所以我也不知道. 你可看看你的 .PWL 檔的最前面4個Byte
是否為 b0h,"MFN", 若是的話, 表示你有危險啦!!!
時間沖忙有機會的話再寫祥細一點 ^_^
(
geocities.com/tokyo/bay) (
geocities.com/tokyo)