网站 › 『脱壳破解区』 › 《某东抢购侠的破解与暗桩查找外篇》以程序猿的角度分析 去除暗藏的返利cookies

iceraina 发表于 2015-1-16 09:54

《某东抢购侠的破解与暗桩查找外篇》以程序猿的角度分析 去除暗藏的返利cookies

本帖最后由 iceraina 于 2015-1-17 12:44 编辑

前几天拜读过坛友的一篇抢购侠破解思路，链接奉上
http://www.52pojie.cn/thread-318789-1-1.html
各种工具都用上了，真是让我大开眼界~也学到了不少。非常感谢~~
今天学习代码发现了作者偷偷加返利，让我很不爽，所以上来写写自己的破解过程。。

进程直接dotnetdump 京东抢购侠.exe出来几个DLL，然后如下图将DLL重命名为原始名称，方便识别。

还有些同学不知道dotnetdumper是什么，下面分享一下，总共两个版本~



放入.NET反编译工具中查看代码，发现Nie.Launcher.dll只是调用了：京东抢购侠.dll中的run方法来启动主程序窗体。所以直接丢弃Nie.Launcher.dll
反编译可以看到，窗体启动之前，先进行了授权等各种检测，之后enable了服务器消息接收线程（接收七侠客发来的各种消息，里面有前面那位坛友说的各种后门和exec执行监控，直接注释此行，即可屏蔽相关代码的执行），最后启动了主窗体。
为了方便，直接把:京东抢购侠.dll导出为源代码项目，
之后载入VS中编译，设置输出类型为：window应用程序（这样即可把京东抢购侠.dll直接变为京东抢购侠.exe执行），当然还要修改一下MAIN方法，任何程序都是从MAIN开始的嘛。。下图是去除授权检测和服务器消息接收后的启动方法。

之后将Nie.Management.dll也导出来，里面有license.cs等相关代码，因为是前几天改的代码，具体改了些什么都忘记了。。好像还有一个程序运行一会就自动关闭的现象，是因为作者在某个静态构造方法那里加了一个检测窗体标题和其他信息的线程，因为静态构造方法会随程序启动而别调用，继而该线程也就起来了，解决方法是在构造函数里注释掉这个线程的启动。
**************今天在学习作者的代码时，无意间发现作者居然偷偷在京东账号访问京东网站时加入了自己的返利！这个让我很气愤。。你居然卖软件收了钱，还要拿我们的返利。。贴个图证明一下

釜底抽薪，直接把cps.cs从项目中排除即可，这样就不会被编译进程序里面。
然后编译，报错两处调用cps的地方，直接删除掉，这样抢购侠就干净多了，`(*∩_∩*)′
发帖不易，写了这么多，同学们来点热心暖暖我吧:loveliness:回复太少啊。。好伤心哦{:1_923:}

gxcz 发表于 2015-1-20 16:36

楼主把你完善后的程序发出来吧，相信大家一定会暖你到心里去的

邪恶博士 发表于 2015-1-16 20:58

有必要你这么麻烦么秒秒钟搞定的事

f378694339 发表于 2015-1-16 09:55

这个要看下 很重要的

3yu3 发表于 2015-1-16 10:10

技术贴，好好学习。。。

gagmeng 发表于 2015-1-16 10:15

进程直接dotnetdump 京东抢购侠.exe出来几个DLL

13417977241 发表于 2015-1-16 10:16

顶你～不错

gagmeng 发表于 2015-1-16 10:16

进程直接dotnetdump 京东抢购侠.exe出来几个DLL，可否详细点，新手不太懂这个过程，谢谢

hegchina2014 发表于 2015-1-16 10:17

虽然 不会 用 ，但是支持楼主的做法学习了

pppsky 发表于 2015-1-16 10:28

无意间发现作者居然偷偷在京东账号访问京东网站时加入了自己的返利！

Black深蓝 发表于 2015-1-16 10:29

前排
顶

dk123456518 发表于 2015-1-16 10:29

表示看不当

查看完整版本: 《某东抢购侠的破解与暗桩查找外篇》以程序猿的角度分析 去除暗藏的返利cookies