Herken de packet header en het doel ervan

Pagina: 1
Acties:

Vraag


Acties:
  • 0 Henk 'm!

  • geerttttt
  • Registratie: Oktober 2006
  • Laatst online: 10-10 17:48

geerttttt

Manisch positief

Topicstarter
Hallo allemaal,

Ik heb een deurbel waarvan ik tussen de versleutelde communicatie ben gaan zitten om de video's die de deurbel maakt zelf op te kunnen slaan. Dat is gelukt, zie hiervoor: Herken de encryptie (en hoe te decoden)...

Nu, momenteel gooi ik alle inkomende data door naar de echte server en wat terugkomt stuur ik door naar de deurbel. Wat ik graag wil is de originele server eruit halen, want bij elke request die de deurbel doet duurt ongeveer een halve seconde voordat er een reactie komt. (China he.), soms is de server bovendien niet bereikbaar en voor elke keer dat hij beweging opmerkt gaan er een stuk of 8 berichten heen en weer, dus 4 seconden wachttijd. Kost batterijtijd en natuurlijk wil je zo snel mogelijk weten wie er voor je deur staat ;)

Dus, ik heb een paar voorbeeldberichten in hex en tekst. Nu zit er een header aan van 8 bytes. Wie herkent wat het doel is en bijv. wat het protocol is wat gebruikt wordt? Dan kan ik het nabouwen :)

code:
1
2
3
01 00 0D 00 00 07 00 1A 7B 22 69 64 22 3A 33 30 30 32 2C 22 72 65 73 75 6C 74 22 3A 22 6F 6B 22 7D 00
�
���{"id":3002,"result":"ok"}�

code:
1
2
01 00 04 00 00 07 01 74 7B 22 69 64 22 3A 34 38 37 33 35 37 39 32 2C 22 72 65 73 75 6C 74 22 3A 7B 22 6F 74 63 5F 6C 69 73 74 22 3A 5B 7B 22 69 70 22 3A 22 35 38 2E 38 33 2E 31 37 37 2E 31 34 33 22 2C 22 70 6F 72 74 22 3A 34 34 33 7D 2C 7B 22 69 70 22 3A 22 31 32 30 2E 39 32 2E 39 36 2E 31 35 35 22 2C 22 70 6F 72 74 22 3A 34 34 33 7D 2C 7B 22 69 70 22 3A 22 31 32 30 2E 39 32 2E 36 35 2E 32 34 30 22 2C 22 70 6F 72 74 22 3A 34 34 33 7D 2C 7B 22 69 70 22 3A 22 31 32 30 2E 39 32 2E 36 35 2E 32 34 31 22 2C 22 70 6F 72 74 22 3A 34 34 33 7D 5D 2C 22 6F 74 63 5F 74 65 73 74 22 3A 7B 22 6C 69 73 74 22 3A 5B 7B 22 69 70 22 3A 22 31 32 30 2E 39 32 2E 31 35 38 2E 31 32 39 22 2C 22 70 6F 72 74 22 3A 38 30 35 33 7D 2C 7B 22 69 70 22 3A 22 31 31 37 2E 31 33 31 2E 31 39 2E 31 39 30 22 2C 22 70 6F 72 74 22 3A 38 30 35 33 7D 2C 7B 22 69 70 22 3A 22 31 38 33 2E 38 34 2E 36 2E 32 34 31 22 2C 22 70 6F 72 74 22 3A 38 30 35 33 7D 2C 7B 22 69 70 22 3A 22 35 38 2E 32 35 34 2E 31 35 34 2E 36 22 2C 22 70 6F 72 74 22 3A 38 30 35 33 7D 5D 2C 22 69 6E 74 65 72 76 61 6C 22 3A 31 38 30 30 2C 20 22 66 69 72 73 74 74 65 73 74 22 3A 31 35 30 36 7D 7D 7D 00
���t{"id":48735792,"result":{"otc_list":[{"ip":"58.83.177.143","port":443},{"ip":"120.92.96.155","port":443},{"ip":"120.92.65.240","port":443},{"ip":"120.92.65.241","port":443}],"otc_test":{"list":[{"ip":"120.92.158.129","port":8053},{"ip":"117.131.19.190","port":8053},{"ip":"183.84.6.241","port":8053},{"ip":"58.254.154.6","port":8053}],"interval":1800, "firsttest":1506}}}�


Goed, wat ik dus zelf zie, eerste byte is altijd hex 01, daarna lijken het 2 bytes voor... iets met de lengte van het bericht? daarna 3 bytes die altijd 00 00 07 zijn bij een bericht, en ik heb een keer gezien dat het 00 00 03 was bij een leeg bericht. Daarna nog 2 bytes met onbekend doel.

Edit: De laatste 2 bytes lijken de lengte van het bericht te zijn juist, inclusief de gekke 1 a 2 bytes die op het eind komen.

Oost west, 127.0.0.1 best!

Alle reacties


Acties:
  • 0 Henk 'm!

  • CurlyMo
  • Registratie: Februari 2011
  • Laatst online: 08:56
Al gekeken of Wireshark de berichten herkent? Dat is wel een beetje de bijbel als het gaat om netwerk protocollen?

Sinds de 2 dagen regel reageer ik hier niet meer


Acties:
  • 0 Henk 'm!

  • geerttttt
  • Registratie: Oktober 2006
  • Laatst online: 10-10 17:48

geerttttt

Manisch positief

Topicstarter
CurlyMo schreef op dinsdag 3 maart 2020 @ 09:35:
Al gekeken of Wireshark de berichten herkent? Dat is wel een beetje de bijbel als het gaat om netwerk protocollen?
Hm, goede. hoe laad ik zoiets makkelijk in in wireshark?

Oost west, 127.0.0.1 best!


Acties:
  • 0 Henk 'm!

  • CurlyMo
  • Registratie: Februari 2011
  • Laatst online: 08:56
geerttttt schreef op dinsdag 3 maart 2020 @ 09:36:
[...]

Hm, goede. hoe laad ik zoiets makkelijk in in wireshark?
Ik zou het niet in wireshark laden, maar wireshark je netwerk verkeer laten afluisteren. Als dat niet werkt, de output van tcpdump aan wireshark voeden.

Op DuckDuckGo vind je wel handleidingen hoe dat moet.

[ Voor 3% gewijzigd door CurlyMo op 03-03-2020 09:50 ]

Sinds de 2 dagen regel reageer ik hier niet meer


Acties:
  • 0 Henk 'm!

  • geerttttt
  • Registratie: Oktober 2006
  • Laatst online: 10-10 17:48

geerttttt

Manisch positief

Topicstarter
CurlyMo schreef op dinsdag 3 maart 2020 @ 09:49:
[...]

Ik zou het niet in wireshark laden, maar wireshark je netwerk verkeer laten afluisteren. Andere optie is de output van tcpdump aan wireshark voeden.

Op DuckDuckGo vind je wel handleidingen hoe dat moet.
Dat is lastig, het is namelijk SSL verkeer met PSK, het is me tot op heden niet gelukt dit te ontsleutelen via wireshark, wel via een eigen python script die de proxy uithangt.

Oost west, 127.0.0.1 best!


Acties:
  • 0 Henk 'm!

  • CurlyMo
  • Registratie: Februari 2011
  • Laatst online: 08:56
Hier heb je die uitleg hoe je pakketten moet formatteren voor import in wireshark:
https://osqa-ask.wireshar...and-import-into-wireshark

Sinds de 2 dagen regel reageer ik hier niet meer


Acties:
  • +1 Henk 'm!

  • geerttttt
  • Registratie: Oktober 2006
  • Laatst online: 10-10 17:48

geerttttt

Manisch positief

Topicstarter
CurlyMo schreef op dinsdag 3 maart 2020 @ 09:59:
Hier heb je die uitleg hoe je pakketten moet formatteren voor import in wireshark:
https://osqa-ask.wireshar...and-import-into-wireshark
Ok, het is gelukt om een packet te importeren in wireshark. Helaas maakt die er een "raw packet data" van...

Oost west, 127.0.0.1 best!


Acties:
  • 0 Henk 'm!

  • CurlyMo
  • Registratie: Februari 2011
  • Laatst online: 08:56
Is het een raw socket packet inclusief ethernet frame e.d.?

https://osqa-ask.wireshar...ions/7621/identify-packet

Sinds de 2 dagen regel reageer ik hier niet meer


Acties:
  • 0 Henk 'm!

  • BernardV
  • Registratie: December 2003
  • Laatst online: 01:33
Positie 6 en 7 samen is de lengte van je payload, eerste is 0x001A = 26 en tweede is 0x0174 = 372

//EDIT: Laat maar, had je edit niet gezien.

[ Voor 19% gewijzigd door BernardV op 03-03-2020 10:51 ]


Acties:
  • 0 Henk 'm!

  • geerttttt
  • Registratie: Oktober 2006
  • Laatst online: 10-10 17:48

geerttttt

Manisch positief

Topicstarter
BernardV schreef op dinsdag 3 maart 2020 @ 10:51:
Positie 6 en 7 samen is de lengte van je payload, eerste is 0x001A = 26 en tweede is 0x0174 = 372

//EDIT: Laat maar, had je edit niet gezien.
Klopt, nu nog de vraag wat de rest is. Elk bericht begint met 0x01, daarna 2 bytes met iets wisselends als data, daarna (lijkt) 3 bytes waar meestal 0x000007, 0x000003, 0x000005 of 0x000001 staat.

Oost west, 127.0.0.1 best!


Acties:
  • 0 Henk 'm!

  • BCC
  • Registratie: Juli 2000
  • Nu online

BCC

De checksum?

Na betaling van een licentievergoeding van €1.000 verkrijgen bedrijven het recht om deze post te gebruiken voor het trainen van artificiële intelligentiesystemen.


Acties:
  • 0 Henk 'm!

  • geerttttt
  • Registratie: Oktober 2006
  • Laatst online: 10-10 17:48

geerttttt

Manisch positief

Topicstarter
Ja wellicht. Maar hoe bereken ik dat?

Oost west, 127.0.0.1 best!


Acties:
  • 0 Henk 'm!

  • BCC
  • Registratie: Juli 2000
  • Nu online

BCC

Ik zou iets van crc32 verwachten over de payload, maar dat lijkt niet het geval.

Na betaling van een licentievergoeding van €1.000 verkrijgen bedrijven het recht om deze post te gebruiken voor het trainen van artificiële intelligentiesystemen.


Acties:
  • 0 Henk 'm!

  • Mijzelf
  • Registratie: September 2004
  • Niet online
geerttttt schreef op dinsdag 3 maart 2020 @ 11:30:
[...]

Klopt, nu nog de vraag wat de rest is. Elk bericht begint met 0x01, daarna 2 bytes met iets wisselends als data, daarna (lijkt) 3 bytes waar meestal 0x000007, 0x000003, 0x000005 of 0x000001 staat.
Ja? Is byte 2 en 3 variabel? In jouw twee voorbeelden is byte 2 altijd 0.

Ik zit me af te vragen of het niet 4 16 bits getallen zijn: 2 bytes header 01 00, 2 bytes onbekend (tot dusver 04 00 en 0D 00 gezien), 2 bytes vlaggen (waarbij de vlaggen blijkbaar tot dusver 1,2 en 4 zijn) en 2 bytes lengte.
Pagina: 1