MybatisCodeHelperPro 3.3.5 注册流程逆向分析

lvbuqing · 发表于 2024-9-24 17:59

本帖最后由 lvbuqing 于 2024-9-26 20:21 编辑

[md][md][md]首先感谢大佬提供的图床工具，好用的一批，原帖地址：
https://www.52pojie.cn/thread-1965983-1-1.html

正文开始

插件介绍：

阅读完之后你会得到什么：

步骤1：
尝试假激活码，查看报错堆栈：

可疑的地方：

注意看有个doOKAction方法，从字面意思都可以猜出是执行验证OK的动作。

jdax 启动！！

相关代码：

if (this.f1772a.getSelectedComponent() == this.f1776d) {
            if (StringUtils.isNotBlank(this.f1769a.getText())) {
                C0392c c0392c = new C0392c();
                String trim = this.f1769a.getText().trim();
                c0392c.m2039a(trim);
                c0392c.m2042c(C0385a.f1268a);
                String m1880a = C0375s.m1880a();
                c0392c.m2041b(m1880a);
                if (C0626a.m2753a().getInvalidOffLineKey().contains(trim)) {
                    Messages.showErrorDialog(this.f1789a, "激活码不正经", "失败");
                    return;
                }
                try {
                    boolean m2020a = C0389c.m2020a(c0392c);
                    c0392c.m2041b(C0375s.m1881b());
                    boolean m2020a2 = C0389c.m2020a(c0392c);
                    c0392c.m2041b(this.f1767b.getText());
                    boolean m2020a3 = C0389c.m2020a(c0392c);
                    if (m2020a || m2020a2 || m2020a3) {
                        C0626a.m2753a().setValid(true);
                        C0626a.m2753a().setUseFreeVersion(false);
                        Messages.showInfoMessage(this.f1789a, "激活成功", "成功");
                        C0337Q.m1558a();
                        m2641a();
                    } else {
                        Messages.showErrorDialog(this.f1789a, "激活码错误, 激活码为" + trim + "\n 唯一码为:" + m1880a + " 请将信息复制发送给作者", "失败");
                    }
                    return;
                } catch (Exception e) {
                    Messages.showErrorDialog(this.f1789a, "激活码不正常" + ExceptionUtils.getStackTrace(e), "失败");
                    return;
                }
            }
            return;
        }

需要到达 “激活成功” 需要经过的步骤：

1.如图 206 行，得填写激活码

214行激活码不正经，激活码格式要正确
需要满足其中任意条件，m2020a ，m2020a2，m2020a3

boolean m2020a = C0389c.m2020a(c0392c);
c0392c.m2041b(C0375s.m1881b());
boolean m2020a2 = C0389c.m2020a(c0392c);
c0392c.m2041b(this.f1767b.getText());
boolean m2020a3 = C0389c.m2020a(c0392c);
// if (m2020a || m2020a2 || m2020a3)

这里校验都是走的 m2020a ，所以重点分析这个函数。

m2020a 方法函数：

没啥好看的，重点分析mo1993a
mo1993a 方法函数：


public static C0400f m2156a(String str) {
        byte[] m2154b;
        try {
            m2154b = C0411d.m2154b(C0411d.m2148a(new String(Base64.getDecoder().decode("aaaaaaaaaaaa"), Charsets.UTF_8)), Base64.getDecoder().decode(str));
        } catch (C0409b e) {
            m2154b = C0411d.m2154b(new C0410c(), Base64.getDecoder().decode(str));
        }
        try {
            String str2 = new String(m2154b, "UTF-8");
            try {
                return (C0400f) f1356a.fromJson(str2, C0400f.class);
            } catch (Exception e2) {
                throw new RuntimeException("gson catch exception, the json string is" + str2, e2);
            }
        } catch (UnsupportedEncodingException e3) {
            throw new RuntimeException(e3);
        }
    }

可以看到，取 c0392c 的值都是通过 m2156a 去校验。而 m2156a
来自： C0412e.m2156a(m2035a);
这里需要分析 m2156a 这个方法

m2156a 方法函数：

看返回出： return (C0400f) f1356a.fromJson(str2, C0400f.class);
这里返回的是一个json序列化转为 C0400f 对象，而C0400f如图：

大概这个就是离线验证后的要校验的数据类了。

回到m2156a 一看能够看出这是一个数据解密字符串的操作，而返回的数据是 m2154b ，

好巧不巧，m2154b 都是通过 C0411d.m2154b 函数返回的

正好第 17 行可以看出他加载的一个很长的字符串，盲猜就是解密数据相关的东西了。

m2154b 方法函数：

可知，采用 RSA 的加密方式，图中所示为公钥解密操作。
由步骤五可以逆推出加密过程。

还原加密代码流程：

构建自己的RSA 公私钥
由步骤五可知，传入的公钥需要经过base64 编码。
构建需要加密的json串，大致结构为：{"paidKey":"","valid":true,"userMac":"","validTo":}
其中，根据字面意思可知，paidKey为购买的激活码，valid验证的结果，userMac机器码，validTo到期时间
私钥加密json串

完整代码：

package org.example;

import cn.hutool.core.codec.Base64;
import cn.hutool.crypto.SecureUtil;
import cn.hutool.crypto.asymmetric.KeyType;
import cn.hutool.crypto.asymmetric.RSA;
public class Main2 {
    public static void main(String[] args) {
        String json = "{\"paidKey\":\"lvbuqing@52pojie.cn\",\"valid\":true,\"userMac\":\"实际的机器码\",\"validTo\":4092566400000}";

        RSA rsa = SecureUtil.rsa( "私钥", "公钥");
        String privateKeyBase64 = rsa.getPrivateKeyBase64();
        String publicKeyBase64 = rsa.getPublicKeyBase64();
        System.out.println("privateKeyBase64: " + privateKeyBase64);
        System.out.println("publicKeyBase64: " + publicKeyBase64);

        String encode1 = Base64.encode(publicKeyBase64);
        System.out.println("公钥的base64编码: " + encode1);
                        /**
                         * 私钥加密
                         */
        String encryptBase64 = rsa.encryptBase64(json, KeyType.PrivateKey);
        System.out.println("私钥加密: " + encryptBase64);
        /**
         * 公钥解密
         */
        String decryptStr = rsa.decryptStr(encryptBase64, KeyType.PublicKey);
        System.out.println("公钥解密: " + decryptStr);
    }
}

运行结果：

将公钥的base64编码放到程序包里面，将私钥加密的数据在程序内激活

最重要：

当然是替换插件包里面的被加密的公钥啦，换成我们自己的。

jclasslib bytecode viewer 启动！！

了解classfile 文件结构的同学都知道，像这种写死的字符串，一般都在常量池初始化，如图

这里是引用类型，需要跳转到索引第78号的位置，
然后，就可以了执行如图所示操作：

当然，我这边已经修改好了，
下载:[backcolor=rgb(238">https://lvbuqing.lanzouw.com/iBe3X2ar9k3c[backcolor=rgb(238, 238, 238)] 密码:hgnb
至于激活，我得需要知道你的机器码才能帮你激活
ps:
我用的公私钥：
privateKeyBase64: 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
publicKeyBase64: MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCe18JZCdaJu+QG8OeTYhX6sAPjEfVAYXygK/xBf43XottfTzFnNAEA2H4gq47pyDnUV5E11228DHx96Q+IL9/J5gxa0PPazg/WlveuL819OczBG4t+T0RUPk0ucCr13jhs59QhLzsG4qlb87ctcEX8nX179V8qlTFqAHV8ki/jBQIDAQAB

完结，撒花！！{:301_987:}

==================================

2024年9月26日19:50:50

接着分析：

有人反馈，生成代码后闪退，

具体问题原因为：

这里判断成功后会直接弹窗后关闭 IDEA ,
其实不难发现是在取值 getIfUseNewMapping 后判断是否大于100。然后后面的代码才会执行。
我们只需要把修改getIfUseNewMapping 函数，让他的值返回小于100以内就可以。

怎么做呢？

使用工具：javassist

具体代码：

    public static void main(String[] args) throws NotFoundException, CannotCompileException, IOException {
        ClassPool pool = ClassPool.getDefault();
        pool.insertClassPath("instrumented-MyBatisCodeHelper-Pro241-3.3.5+2321.jar");

        CtClass driverclass = pool.get("com.ccnode.codegenerator.myconfigurable.Profile");

        driverclass.getDeclaredMethod("getIfUseNewMapping").setBody("{return 1;}");
        driverclass.writeFile("javassistout");
    }

然后替换 Profile.class 文件就可以啦！！

效果图：

这样就OK啦！！

https://lvbuqing.lanzouw.com/iizzI2ax8pmb

密码:52pj

lvbuqing · 发表于 2024-9-26 14:27

本帖最后由 lvbuqing 于 2024-9-26 20:24 编辑

目前有这个问题，晚点修复，

# 已修复，请下载最新的

wyakuan · 发表于 2024-9-28 03:21

本帖最后由 wyakuan 于 2024-9-28 03:45 编辑

lvbuqing 发表于 2024-9-27 23:28
你说的没问题，我这帖子是教你怎么分析，以后遇到其他的软件也可以

离线激活的话还有个方案，就是改解码的方法

然后再修改Profile.java的getIfUseNewMapping方法

激活的时候，按以下格式输入激活
{
"paidKey": "8888-8888-8888-8888",
"valid": true,
"userMac": "唯一码",
"validTo": 4102415999000
}

这样会好些，想激活自己填写"唯一码"就行，附件有改好的

lvbuqing · 发表于 2024-9-26 10:14

wangzhe123456 发表于 2024-9-26 09:51
楼主你好，本人比较小白，是否可以补充一下使用jadx的具体操作过程，比如分析的哪个jar？如何搜索的等等。 ...

1.分析的是instrumented-MyBatisCodeHelper-Pro241-3.3.5+2321.jar
至于为什么是这个，需要去看jetbrains plugin 的开发文档去了解，你才能知道是哪个包。
2.jadx 如何分析，帖子说了，根据堆栈去找类和方法；同理，jclasslib 也是如此

孤狼微博 · 发表于 2024-9-24 18:41

文件是俩apk正确吗

water201 · 发表于 2024-9-24 18:43

文件是2个apk包，时间还是2019，是不是上传错误了？

孤狼微博 · 发表于 2024-9-24 18:49

uniqueCode:74-4C-A1-DF-C8-57,email:i@batcd.com 求大佬

lhfcsm · 发表于 2024-9-24 20:19

呵呵，正在使用中

XD001 · 发表于 2024-9-24 20:42

试试看也可以

lvbuqing · 发表于 2024-9-24 20:45

孤狼微博发表于 2024-9-24 18:41
文件是俩apk正确吗

不好意思填错了链接，已经修改了

lvbuqing · 发表于 2024-9-24 20:45

孤狼微博发表于 2024-9-24 18:41
文件是俩apk正确吗

对不起，大佬，已经改了，链接已修正

lvbuqing · 发表于 2024-9-24 20:47

孤狼微博发表于 2024-9-24 18:49
uniqueCode:74-4C-A1-DF-C8-57,email:i@batcd.com 求大佬

明天给您弄，今天下班了

lyzh · 发表于 2024-9-24 21:29

感谢大佬分享

帐号		自动登录	找回密码
密码			注册[Register]

[原创] MybatisCodeHelperPro 3.3.5 注册流程逆向分析

正文开始

可知，采用 RSA 的加密方式，图中所示为公钥解密操作。
由步骤五可以逆推出加密过程。

还原加密代码流程：

完整代码：

最重要：

==================================

怎么做呢？

https://lvbuqing.lanzouw.com/iizzI2ax8pmb

免费评分

浏览过的版块

个人中心

[原创] MybatisCodeHelperPro 3.3.5 注册流程逆向分析

正文开始

可知，采用 RSA 的加密方式，图中所示为 公钥解密操作。 由步骤五 可以逆推出 加密过程。

还原加密代码流程：

完整代码：

最重要：

==================================

怎么做呢？

https://lvbuqing.lanzouw.com/iizzI2ax8pmb

免费评分

浏览过的版块

个人中心

可知，采用 RSA 的加密方式，图中所示为公钥解密操作。
由步骤五可以逆推出加密过程。