某思路等考通一级MSOffice的分析
首先声明本人逆向小白，只是参考论坛大佬的帖子，完成了这次逆向分析，坛友如有技术问题，可能不能解答，请见谅。昨天看到有坛友寻求2021版的等级考试一级软件，秉承授人以鱼不如授人以渔的理念，特写这个帖子。
某思路等考通一级MSOffice，版本6.5。下载地址：http://www.ncre8.net/FindResDownInfo?resdownid=64
用到的软件，ScanId，de4dot,dnSpy。论坛爱盘里有：https://down.52pojie.cn/Tools/NET/
参考云在天的帖子https://www.52pojie.cn/thread-682169-1-1.html，在此表示感谢{:1_893:} {:1_893:} {:1_893:}
第一步：分析
软件启动后有在线激活提示，模拟考场激活后使用。
第二步：查壳
软件安装后主程序NCREOneProject.exe，把它拖到ScanId里
扫描结果是Unknown>>>>>Unknown Obfuscator，没有壳？！，上一次逆向的6.0还是有壳的。
第三步：逆向
打开dnSpy，将主程序拖入
点击入口点
找到函数isActived()点击进入，这是程序启动检测软件是否激活
具体判断就不分析了，参照云在天大佬的方法，函数内右键选择编辑方法，直接将函数内的代码替换为 return true就可以了，注意{}对应别多删了
然后编译，回到dnSpy主界面，选择文件---保存模块。
模拟考场可以进入了。
最后，软件功能未进行详细测试，模拟考场简单测试了一下，功能正常。
本帖最后由 pjy612 于 2023-8-22 01:34 编辑
{:301_1009:}
看了下新版是换了网络验证吗？
直接 hosts admin.ncre88.net 断网然后手动写注册码就行了。
注册码也简单
"TRUE&注册码&MAC&"
的大写MD5 放 user.dat （引号不要）
注册码 放 ActivationCode.dat
MAC地址 运行一次程序从 MAC.dat 里面读就行
通用密码懂得都懂
补充说明，最好先用原程序读两次MAC看看是否一致。
两次一致的就只能自己算码了（因为读的网卡，家用是这样）
不一致的可以直接覆盖（因为读不到会以文件内容为准，办公电脑是这样，附件是在办公电脑上生成的）
$mac = Get-Content "MAC.dat"
$code = "52pojie"
Set-Content "ActivationCode.dat" $code -NoNewline
$user = "TRUE&${code}&${mac}&"
$hash = ::Create().ComputeHash(::UTF8.GetBytes($user))
$hashString = ::ToString($hash) -replace '-', ''
Set-Content "user.dat" $hashString -NoNewline
本帖最后由 ccwoaijingjing 于 2023-9-11 17:41 编辑
研究了两天，总结一下思路：
mac值不同是由于上网方式不同导致的，网线是以太网卡的mac，wifi是无线网卡的mac，哪个无所谓，关键是运行主程序它会在文件夹中生成的mac文件里面的值是多少，这个值是生成注册码的关键。
使用python语言可以完成自动化脚本的制作，
第一步：修改hosts：直接open方法打开，添加0.0.0.0 admin.ncre88.net，
第二步：创建ActivationCode.dat文件，也是用open方法，里面的内容随便填写几个英文字符就可以，这是你的用户名
第三步：创建user.dat文件，这里面放的是注册码，格式楼主已经告诉大家了就是 "TRUE&${code}&${mac}&"，翻译一下就是 TRUE&用户名也就是第二步文件里的内容&mac地址& ，然后这一堆转换为二进制字符串格式，然后使用hashlib模块计算这个字符串哈希值，再把这个值写入user.dat文件中（mac以及最后的哈希值，所有英文都是大写的）。
第四步：使用pyinstaller模块封装程序， 如果只注册一台电脑，完成前3步就可以了。
大功告成。感谢楼主提供的注册码格式！！ https://www.52pojie.cn/misc.php?mod=faq&action=faq&id=29&messageid=36 来看下这个学习下如何插入图片。 Hmily 发表于 2021-6-18 10:46
https://www.52pojie.cn/misc.php?mod=faq&action=faq&id=29&messageid=36 来看下这个学习下如何插入图片。
感谢大佬指导，{:1_893:}{:1_893:}{:1_893:} lxwaft 发表于 2021-6-18 11:10
感谢大佬指导，
我说你还是看下吧，你现在的方式还是错的，看下上面链接的演示，根本不用贴图片地址的。 Hmily 发表于 2021-6-18 10:46
https://www.52pojie.cn/misc.php?mod=faq&action=faq&id=29&messageid=36 来看下这个学习下如何插入图片。
捕捉H大佬 @lxwaft 发现你又重新上传了一遍，其实不用，之前的直接贴入就行了，现在反而多了，你直接把之前传的删除吧。 Hmily 发表于 2021-6-18 12:03
@lxwaft 发现你又重新上传了一遍，其实不用，之前的直接贴入就行了，现在反而多了，你直接把之前传的删除吧 ...
再次感谢H的帮助。 lxwaft 发表于 2021-6-18 14:31
再次感谢H的帮助。
还有一个图多传了一张。。。 手把手指导 哈哈哈 可以可以