Ручное извлечение паролей Trillian

Trillian хранит пароли от всех соединений прямо в своём INI файле. Конечно, они зашифрованы, но алгоритм дешифрации настолько прост, что можно его расшифровать даже вручную. Как это сделать - немного дальше. Сейчас же я попытаюсь описать структуру INI файла, дабы можно было понять, как же достать пароли. Для начала, взгляните в директорию Trillian’а. Там находятся как минимум две директории (users и skins) и несколько файлов. Нас интересует директория users. Заходим. Что мы видим? Правильно - профили пользователей в разных директориях. Если пользователь один - то и директория должна быть одна - default. Открываем и смотрим. Должны показаться несколько INI файлов, а именно: AIM.INI, MSN.INI, YAHOO.INI. Именно эти файлы содержат пароли от ICQ, AIM, MSN и YAHOO! соответственно. Почему нет файла ICQ.INI? Всё просто. В связи со схожестью AIM и ICQ - пароли от ICQ хранятся в файле AIM.INI. Если вы сейчас смотрите на эти файлы, находясь на чужом «винте» - копируйте их быстрее к себе.

Для примера - достанем пароли для ICQ. Заманчиво? Открываем файл AIM.INI, скажем, в блокноте. Нас интересую только разделы под названием «[Profile n]», где n-номер профиля. И, соответственно, в этом разделе мы ищем ключи «password=» и «name=». Нашли. Скажем, это выглядит так:

…
[Profile 1]
…
name = 123456
password = 9B47E2AF14EFB5F41E
…

Что это такое? Да всё просто. Name - это UIN для ICQ, или Screen Name для AIM, а password - пароль для соединения. Но пароль, как говорилось ранее - зашифрован.

Расшифруем? Без проблем! Для этого нам потребуются только notepad и калькулятор. Как мы видим - пароль преобразован в HEX-формат. Соответственно первым зашифрованным символом пароля будет «9B». Я не буду вдаваться в подробности того, как я обнаружил алгоритм дешифрации. Просто открываем калькулятор и блокнот.

Чтобы получить первый символ, переключаем калькулятор в инженерный вид, и включаем режим HEX (F5).

Вводим: 9B. Переключаемся в режим DEC (F6) - и видим число 155. Нажимаем клавишу XOR и вводим число 243. Жмём «=». Должно получиться число 104. Переключаемся на блокнот и производим такие действия: Зажимаем Alt, и на дополнительной клавиатуре вводим 0, 1, 0, и 4 (т.е. "Alt", ноль и потом число).

В блокноте должна появиться буква «h». Отлично! Мы расшифровали первый символ пароля! Дальше повторяем все действия с калькулятором и блокнотом для всего пароля. Т.е. далее расшифруем 47, потом E2 и так до 1E. Но! Действие XOR нужно производить с другими числами. Поясняю. Первый символ мы XOR’или с числом 243, второй надо XOR’ить с числом 38, третий с 129. Воспользуйтесь приведённой ниже таблицей для этого.

Номер символа Число для XOR:

1 - 243
2 - 38
3 - 129
4 - 196
5 - 57
6 - 134
7 - 219
8 - 146
9 - 113
10 - 163
11 - 185
12 - 230
13 - 83
14 - 122
15 - 149
16 - 124

Почему символов только 16? Да потому, что максимальная длина пароля для MSN, AIM и YAHOO не превышает 16, а у ICQ - 8 уже максимум. В итоге, расшифровав все символы - должно получиться слово «hack-info». Получилось? Поздравляю! Теперь можете смело одолжить у друга его INI файлы и потренироваться на них.

Подводим итог. Простота расшифровки пароля в Trillian’е, небольшой размер его INI файлов, некоторые ошибки в Microsoft IE6, позволяющие читать файлы вашего компьютера скриптами - рисуют очень печальную картину. Можно лишиться своих паролей, даже ничего не делая. Совет: устанавливайте Trillian в другие, недоступные для скриптов директории (скажем, C:\Windows\Fonts).