破解工具:hopper
破解目标:mac 微软word文档
搜索isactiv
通过交叉引用查找,找到了sub_1002a6121,在这个方法里调用了 isActive, 反编译的结果:
重反编译的结果可知,关键点在 NSApp 类的 isActive这个方法。
oc里面 它实际上是通过 objc_msgsend("NSapp","isActive") 这样的方式调用的,
那么如何静态分析找到这个isActive方法呢?
冷静分析:
既然是通过字符串调用,必然有通过这个字符串注册回调的地方,顺着这个思路去找,肯定能找到isActive方法。
可以看到有2个方法使用了这个字符串:
sub_1002a6121 【这个方法是刚才使用的地方,排除】
sub_10043c7e6 【这个方法是刚才使用的地方,排除】
通过交叉引用查找的两处都是仅仅对他读取并调用, 并没有看到注册方法的地方。
没有直接找到注册的地方,猜测他可能是通过指针偏移注册的,于是重新查找:
可以看到有一个 method_list. 这个列表里 有isactive. 在这个列表中的第三个位置。 索引的第2个位置。 程序中索引是从0开始的
那么就查找这个 __objc_proto_OUIOfficeSpaceControl_opt_inst_methods:
交叉引用查找,只有一个地方使用到它了,位置如下:
这个list被一个结构体引用, 那么继续查找这个结构体:__objc_proto_OUIOfficeSpaceControl_protocol。
在当前可执行文件中未到找到相应的函数,可能有2种可能:
1,要找的函数加壳了
2,或者不在当前的二进制文件了,可能在 动态加载库里。
============
下面重新审视这个问题:
使用xcode,新建cocoa工程,附加当前word进程,查看当前激活按钮信息:
可以查看到:激活按钮的事件回调: [FileUIViewController activateClicked]
然后重新加载mso99 二进制文件,查找这个函数可以得到:
从这里可以看到:回调里调用了 [[DocsUIBridge licensing] showActivationUI],双击showActivationUI,得到两个相关方法:
列表中2两个,到底用的哪个呢?
调用的哪个方法取决于:[DocsUIBridge licensing] 这个是什么类型。这里猜测是第二个方法吧。
因为如果是第一个,只有DocsUIBridge licensing是一个单利引用自身类型,但是按照程序猿的正常做法,一般单利用getInstance或者Instance来表示。
所以暂且排除,刚好licensing字眼和列表中的第二个比较符合。
结论:点击列表中的第二个函数:DocsUILicensing showActivationUI
从途中显示激活面板核心函数就是:_SetupUI_IsActivityAllowed,继续跟踪一次得到以下方法:
图中大量调用了:CFUUIDGetConstantUUIDWithBytes
关于这个方法的说明:https://developer.apple.com/documentation/corefoundation/1542189-cfuuidgetconstantuuidwithbytes
该方法跟据raw bytes 返回一个CFUUID对象。先忽略这个方法。
我注意到有一个方法吸引了我:setShouldQuitAppIfNotActivated
这个方法的意思是:设置要不要退出app,如果没有激活。 很显然如果参数传入true,则app可能会推出。
这里的参数的值是arg3. 反向跟踪,得知:
有一点小小的失望,arg3传入的固定值0,也就是word本身设置了永远不会退出app。
从实际效果看,也可以知道即使没有激活它不会退出app,仅仅限制里面的很多功能,比如不能编辑和保存。
这里就要猜测了,setShouldQuitAppIfNotActivated 方法的arg3参数存的是否激活的信息。
很可惜arg3传入的也是一个固定值0x46. 通过方法参数值,追踪激活信息的关键函数的希望再次破裂。
========================
接下来继续分析激活信息,猜测如果激活了, 激活按钮应该不会再显示,这个从用户信息入手,profile字段入手,跟踪激活关键点。
通过查找找到了,设置左边面板的关键函数。 果然有设置激活按钮的是否可见信息,离成功又近了一步。
关键变量 canActivate。 用户激活信息类:DocsUILicensing
rax+0x8 对应的函数是:sub_fe20
找到了破解方法:只要 MbuInAutomatedQTestMode()这个方法的返回值不为0,那么就可以破解这个软件了。
因为rbx=1, goto之后直接返回这个 rax=rbx=1, 也就是1. 通过跟踪找到Mbuinstrument库 的MbuInAutomatedQTestMode()
修改MbuInAutomatedQTestMode函数里面的某个指令就OK了。【具体的哪个指令我就不说了】
附一张破解图,可以编辑和保存:
申明:本人研究这个,纯属个人兴趣爱好,不会提供任何破解软件。 建议使用正版office, 或者使用WPS