ANTICHAT — форум по информационной безопасности, OSINT и технологиям

Хороший прогресс, годный. Осталось на базе hashcat сделать, и тогда можно будет на GPU молотить.

Как насчет экспериментов непосредственно с роутером? Заработает ли WPS, если в в вебморде сгенерировать новый pin, или включить настройку по нажатию кнопки? Если ломает wps именно та конфигурация, которая якобы читается из настроек роутера.

Вряд ли баг интересуется такими формальностями Он просто берёт то, что есть и пытается обработать так, как умеет.

А если исходить из того, что ПИН хранится в виде строки, то случайная запись бреда на его место может ОЧЕНЬ сильно изменить длину этой строки!..

Впрочем, столь пессимистичный случай нам всё равно не осилить. Так что я бы ограничился следующим: сперва попробовал бы строки 00 и FF разумной длины (какую сможет проглотить алго), а затем бы прогнал все варианты для 4-х цифр.

При наличии физического доступа к железке (или к рубильнику ), надо бы её поперезагружать и сперва удостовериться, действительно ли N1=F(time), а затем собрать все возможные варианты E-Hash1 и E-Hash2 для некого N1 (к примеру, на 30-й секунде после старта) и убедившись, что их не слишком много, побрутить их все.

UP

@4Fun, поглядел я свои логи, где pixi отработал в mode3, и у меня ВСЕГДА ES1=ES2, а N1 младше как минимум на секунду. Но если без бага эта точка уязвима, тогда ведь можно юзать mode3 по полной, не полагаясь на то, что N1=ES* (или Вы так и делаете?)

Так и делал. Написал программку для генерации E-S1,2 на основе генератора случайных чисел из Realtek, нашёл seed N1, прибавлял к нему несколько секунд (от 1 до 5), поучал E-S1,2 и проверял их с помощью самописного брутфорсера. Кстати, по вашему совету расширил набор проверяемых символов до

Но пока что никакого результата.

Можно поправить это место в бинарнике wsc

https://github.com/drygdryg/Tenda-A...Space/cbb/src/wps/rtk/src/txpkt.c#L2856-L2857

на

Там два байта всего. И вместо manufacturer будет виден pin.

Но я Вам советовал не совсем это, точнее даже совсем не это:

или

Также обратите внимание, что в моей последней цитате, вариант "затем" не перекрывает "сперва" (при желании, их можно поменять местами, но не исключить первый).

UP

На перебор всех вариантов из 4 символов, с вашей реализацией потребуется ~21 час.

Но, повторюсь, СНАЧАЛА желательно проверить строки "\x00\x00\x00\x00" и "\xFF\xFF\xFF\xFF", затем эти же строки, но длиной от 1 до, скажем, 256 символов (бОльшая длина менее вероятна и не факт, что корректно пройдёт через HMAC), и только потом приступать к полному перебору (что, скорее всего, не понадобится).

А DeltaSeed я бы пробовал в такой последовательности: 1,2,3,0,4,5...

Походу, вопрос: а как собрать pixi под Винду?

И что есть mode 2,4,5 (eCos*) и где они подробно описаны?

MinGW.