从卡密窗到主界面HERO 1.2.2 授权校验逆向实战说明本文是一篇面向开发者的本地软件安全学习笔记。实验对象为个人环境中的软件副本所有操作在隔离的本地环境完成原始文件与系统状态均保留可回滚备份。文章讨论授权校验链路的分析方法、调试思路与防护启示文中不含可分发的成品、卡密、序列号或下载地址也不针对任何线上服务。读者请在自己拥有使用权的副本上复现并把结论用于加固自己的程序。软件www.kufaka.com/shop/TR5E1IZ9目标样本HERO 1.2.2hero-dml-secure-20261008-v122CoreTagN122-A1472580 目标搞清楚卡密窗、会话凭据、租约、模型资产这四道关卡分别在哪儿以及怎么用运行期注入逐层通过。 阅读门槛会装 Python、会用 PowerShell、知道“进程/窗口/文件”是什么即可。文中所有深水区都配了比喻。0. 先给你一张地图这个软件不是一个 EXE而是“三层套娃”第二步运行全功能.exe 约 64 MB自解包器 └─ HERO.exe 约 7.8 MB外层卡密壳唯一创建卡密窗口的地方 └─ H_78010D60.exe 约 5.1 MB核心负责授权、模型、检测、控制台打个比方自解包器 商场大门负责把货运行库搬到仓库外层卡密壳 前台查你的会员卡查完才让你进核心 机房真正干活的地方它只认一张“本地通行证”并不认识前台那张卡。新手最容易犯的错是盯着前台卡密窗死磕。实际上前台和机房之间没有焊死——你可以绕过前台直接从后门进机房。这就是整篇文章的主线。1. 环境部署1.1 系统与工具工具用途备注Windows 10/11 x64运行样本建议在虚拟机里做快照随便回滚Python 3.10跑 frida 注入脚本本文用 3.14frida / frida-tools运行期 hook、改内存pip install frida frida-toolscapstone反汇编pip install capstone7-Zip解包/打包任意版本Ghidra静态看 PE可选新手可以先跳过Process Explorer / Procmon看进程、窗口、文件可选安装命令在普通 PowerShell 里python -m pip install --upgrade frida frida-tools capstone python -c import frida, capstone; print(frida.__version__, capstone.__version__)1.2 目录与备份非常重要不要在原目录直接改。先建一个工作区HERO-Lab\ ├─ samples\ 原始样本只读 ├─ work\ 脚本、日志、内存 dump ├─ runtime\ 解包出来的运行库副本 └─ notes\ 你的笔记复制样本后先记哈希后面核对“我到底在分析哪一版”Get-FileHash .\samples\HERO.exe -Algorithm SHA256 Get-FileHash .\samples\HERO_orig_backup.exe -Algorithm SHA256比喻哈希就是样本的“身份证号”。后面偏移对不上时先看身份证号别怀疑自己的眼睛。1.3 让它解包管理员运行一次官方自解包器。它会把运行库释放到%LOCALAPPDATA%\HERO\SingleFileRuntime\一串id\里面是H_XXXX.exe 外层卡密壳每次启动会换名字看大小 7.8 MB 那个 HEROCore\ H_78010D60.exe 核心5.1 MB core.dat 核心的副本/载荷 hero_c.dll 输入桥 models\HERO320.hmodel models\HERO416.hmodel config.ini hero.license 本地凭据首次激活后才有 hero.perm 设备密钥种子100 字节把整个HEROCore复制到你的runtime\之后所有实验都用副本。1.4 解决“必须管理员”的清单外层和核心的清单都要求requireAdministrator。直接CreateProcess会报err740需要提升。两个办法办法 A兼容层降权启动调试期最方便$env:__COMPAT_LAYER RunAsInvoker Start-Process .\H_XXXX.exeRunAsInvoker的意思是“别弹 UAC就用当前权限跑”。适合看界面、抓包缺点是中完整性级别下桌面复制DDA容易被拒。办法 Bfodhelper 静默提权需要高完整性时原理不复杂fodhelper.exe是系统里一个“自带高权限”的程序它会读取HKCU\Software\Classes\ms-settings\Shell\Open\command并执行。把这个键指向你的脚本fodhelper 就会以管理员身份把脚本拉起来。$cmd powershell -NoProfile -ExecutionPolicy Bypass -File C:\path\your_script.ps1 reg add HKCU\Software\Classes\ms-settings\Shell\Open\command /ve /d $cmd /f reg add HKCU\Software\Classes\ms-settings\Shell\Open\command /v DelegateExecute /t REG_SZ /d /f Start-Process fodhelper.exe Start-Sleep -Seconds 3 reg delete HKCU\Software\Classes\ms-settings /f比喻UAC 是门禁fodhelper 是“内部员工”。你让内部员工帮你把东西带进去门禁不会拦他。用完记得把登记表注册表键擦掉。1.5 让窗口能被截屏卡密窗和核心窗口都调了SetWindowDisplayAffinity(hwnd, 17); // WDA_EXCLUDEFROMCAPTURE17的意思是“允许你看允许你操作但截屏/录屏里它是黑的”。调试时很烦。在 frida 里把这个 API 换成空函数即可const u32 Process.getModuleByName(user32.dll); const wda u32.getExportByName(SetWindowDisplayAffinity); Interceptor.replace(wda, new NativeCallback(() 1, int, [pointer, uint]));比喻窗口给自己拉了一层“防偷拍窗帘”。我们不是拆窗帘而是告诉系统“这扇窗不用拉帘”。1.6 第一个 frida 脚本看清进程里有什么// list.js console.log(pid Process.id); Process.enumerateModules().slice(0, 20).forEach(m { console.log(m.name base m.base size m.size); });运行方式Python 启动器最稳import frida, time, subprocess, os exe rC:\...\HEROCore\H_78010D60.exe p subprocess.Popen([exe], cwdos.path.dirname(exe)) time.sleep(1) session frida.attach(p.pid) script session.create_script(open(list.js).read()) script.load() time.sleep(3)更稳的做法是CREATE_SUSPENDED启动、先 attach、再ResumeThread这样脚本能在第一条指令执行前就位后面讲补丁时序时会反复用到。2. 软件配置打开HEROCore\config.ini新手只需要关注三块capture_method duplication_api capture_fps 120 input_method WIN322.1 采集方式的有效值核心只认这几个字符串从二进制里挖出来的duplication_api 桌面复制DXGI本机控制台最常用 winrt Windows.Graphics.Capture virtual_camera 虚拟摄像头 window 按窗口截图 screenshots 定时截图写成win32会打印[Capture] Unknown capture_method win32. Falling back to duplication_api.比喻这是插头型号。win32不是这个插座支持的型号插上去只会“啪”一下弹回默认。2.2 DDA 80070005 是什么日志里出现[DDA] DuplicateOutput failed hr800700050x80070005 E_ACCESSDENIED桌面复制被拒。常见于远程桌面、锁屏、非交互桌面、权限不够。换成window或screenshots通常能继续跑帧率低一点。2.3 输入与 DPI输入方式WIN32就是 SendInput 那套自动化点击前先SetProcessDpiAwarenessContext(-4)否则 125% 缩放下坐标会飘窗口坐标用GetWindowRect拿别写死屏幕坐标。2.4 日志核心把启动信息写到自己的hero.log我们用启动器时还会重定向一份console.log。新手排障先看这两个文件比盯着黑窗口猜快得多。3. 调试过程从黑盒到白盒第 1 步看窗口先确认“谁在拦你”启动外层枚举窗口。你会看到xHERO_CardKey_Window 卡密激活唯一创建它的进程是外层 H_XXXX.exe xHERO.ControlPanel 主控制台核心创建默认隐藏Home 打开 HERO.StartupHint “HERO 已启动”提示GetWindowText拿到的是xHERO真正的标题“卡密激活”是自绘的所以按标题找窗口会找错按类名找才准。第 2 步抓网络看看它跟服务器聊什么Hookwinhttp.dll的WinHttpOpenRequest / WinHttpSendRequest / WinHttpReadData能看到POST /hero122/api/hero/v1/announcement POST /hero122/api/hero/v1/authorize请求体长这样{build:hero-dml-secure-20261008-v122, ciphertext:..., enc:...43 个 base64url 字符..., key_id:hero-request-20261008-r20, path:/api/hero/v1/authorize, protocol:hero-request/1}enc是 32 字节的 X25519 临时公钥ciphertext是 HPKE 加密后的内容。响应是明文 JSON但带signatureEd25519。第 3 步为什么“假服务器”走不通新手第一反应是改 hosts把api.example.com指到本地自己返回一个allow。这条路很快会撞墙原因有两个请求是用服务器的公钥加密的HPKE本地没有服务器私钥解不开请求就算你硬编一个响应客户端会验signature而签名需要服务器的 Ed25519 私钥。比喻请求是装在密码箱里寄给厂家的箱子只有厂家能开回信上还有厂家的火漆印。你在家里仿一封回信火漆印对不上前台一眼就看穿。所以要打客户端不要打服务器。第 4 步换入口——直接启动核心这是整篇文章的转折点。把外层关掉直接启动HEROCore\H_78010D60.exe 工作目录必须是 HEROCore结果卡密窗口根本没有出现。核心自己跑起来了日志写着[授权] 授权有效剩余 5.8 小时 [鼠标] 当前输入方式WIN32 [DML] 模型已使用 DirectML 推理后端初始化models/HERO416.hmodel [主程序] DML 检测器已创建。 程序已启动结论卡密只是外层的门票核心只认本地凭据 租约。比喻前台查会员卡机房只认一张盖了章的通行证。你从后门进机房前台那张卡就跟你没关系了。第 5 步核心的凭据长什么样本地凭据在hero.license文件头是48 52 43 52 45 44 30 33 HRCRED03 01 00 00 00 版本 1 D0 8C 9D DF 01 15 D1 11 8C 7A 00 C0 4F C2 97 EB DPAPI 的 GUID ... 468 字节 DPAPI blob用CryptUnprotectData解开在核心进程里解因为它带了可选熵得到208 字节 ASCII的会话凭据HS3...示例已截断比喻hero.license是一个带指纹锁的保险箱里面放着一张 208 字符的纸条。纸条才是核心真正认的东西。第 6 步为什么重启后会 SESSION_EXPIRED把系统时间拨回凭据有效期以内再启动核心仍然打印[授权] (SESSION_EXPIRED): 本机授权凭据无效或已到期请重新激活这说明它不是简单的“本地时间 到期时间”而是服务端会话凭据票据绑定了激活时的会话/设备状态重启后旧票作废。比喻这是一张“一次性门票”。检票机认票也认“这场次”。你把大厅的钟拨回去场次号对不上票还是过不去。第 7 步把凭据“换”进去既然核心要的是那 208 字节我们就 hookCryptUnprotectData当它解hero.license输入长度 468时直接把输出替换成我们准备好的 208 字节。关键细节新手最容易踩x64 下DATA_BLOB的布局是{ DWORD cbData; /*4 字节填充*/ PBYTE pbData; }即cbData在偏移 0pbData在偏移 8CryptUnprotectData的输出是第 7 个参数args[6]不是第 1 个返回的缓冲区要用LocalAlloc分配因为核心随后会LocalFree。比喻你借了图书馆的书必须还到同一个图书馆。你用自己家的塑料袋装书还回去管理员LocalFree会当场愣住崩溃 0xC0000014。代码骨架const LA new NativeFunction( Module.getExportByName(kernel32.dll, LocalAlloc), pointer, [uint, ulong] ); const PLAIN hexToBytes(485333...); // 208 字节凭据 Interceptor.attach(Module.getExportByName(crypt32.dll, CryptUnprotectData), { onEnter(a) { this.out a[6]; this.in a[0]; }, onLeave(ret) { if (this.in.readU32() ! 468) return; // 只接管 hero.license if (ret.toInt32() 0) ret.replace(ptr(1)); // 强制返回成功 const buf LA(0x40, PLAIN.length); // LMEM_ZEROINIT buf.writeByteArray(PLAIN); this.out.writeU32(PLAIN.length); this.out.add(8).writePointer(buf); } });第 8 步用“日志回溯”找判定点核心在验票失败时会打印一行日志。我们 hookWriteFile当缓冲区里出现“授权”时打印调用栈backtraceconst wf Process.getModuleByName(kernelbase.dll) .getExportByName(WriteFile); Interceptor.attach(wf, { onEnter(a) { const b a[1], n a[2].toInt32(); if (b.isNull() || n 0 || n 8192) return; const s b.readUtf8String(n); if (!s || s.indexOf(授权) 0) return; console.log(Thread.backtrace(this.context, Backtracer.ACCURATE) .map(x x.toString()).join( - )); } });一次真实的失败栈节选0x14018ff42 - 0x140190628 - 0x1401903bf - 0x140172b43 - 0x140191d2a - 0x14017631a - ... - 0x1400ec9ba - 0x14014935c顺着0x1400ec9ba往回看找到一段没有被虚拟化的普通 x64 代码0x1400ec73a cmp byte ptr [r13], 0 0x1400ec73f je 0x1400ec97a ; 跳到“失败块” ... 0x1400ec97a ... 调用打印函数 ... 0x1400e7180 失败处理函数睡 100ms然后 ExitProcess(3)比喻Themida 把大部分逻辑塞进了一台“虚拟机总控台”你静态看到的只是一堆调度齿轮。但总控台偶尔会走到一段普通代码就像迷宫里突然出现一扇写着“出口”的门。backtrace 就是总控台的通话记录顺着记录就能摸到门。第 9 步打三个补丁补丁 1把会话标志置 10x1400ec73a: 41 80 7d 00 00 - 41 c6 45 00 01 cmp byte [r13],0 mov byte [r13],1补丁 2把“失败跳转”改成空操作0x1400ec73f: 0f 84 35 02 00 00 - 90 90 90 90 90 90 je failure nop × 6补丁 3把“失败退出函数”改成直接返回0x1400e7180: 48 - c3 mov ... ret比喻门禁读到坏票会亮红灯并锁门。补丁 1 是把“票有效”的灯直接短接成常亮补丁 2 是把“红灯→锁门”的那根线剪掉补丁 3 是把“锁门”这个动作本身换成“什么都不做”。三处补丁要在核心解析凭据之前打进去。最稳的时序是CreateProcessW(..., CREATE_SUSPENDED, ...)frida.attach(pid)、加载脚本ResumeThread脚本里用setTimeout在 1.2s / 2.4s / 4s 各补一次防止 Themida 分页解密把补丁覆盖。第 10 步模型为什么还是加载失败打完上面三处主程序能起来了但日志变成[主程序] DML 检测器已创建但当前没有可用模型。 [DML] DirectML initialization failed for models/HERO416.hmodel: invalid argument看一眼模型文件头48 52 4F 45 4E 43 30 32 HROENC02模型是加密容器DML 拿到的是密文当然报invalid argument。这就是“卡密”和“模型资产”两层 DRM 的区别卡密 门票模型 加密图纸图纸的钥匙由服务端在授权通过后下发hero-assets/2信封。比喻你混进了机房但保险柜里的乐高图纸是加密的。厂家给每个会员寄一把对应的钥匙没有钥匙你只能看到一盒乱码积木。实测用一个有效卡密在官方外层激活一次服务端会下发约约 100 MB的资产包payload.part解包后核心日志变成[DML] 模型已使用 DirectML 推理后端初始化models/HERO416.hmodel所以“完整功能”的最后一环是拿到一次有效授权下发的资产密钥或者逆开HROENC02的资产层。前者是官方路径后者是更深的坑。第 11 步租约三元组三个沙漏核心在低地址载荷映射里放了一个结构体实测地址0x15de18 [int64 now] 解析时刻 0x15de20 [int64 valid_until] 到期时间 0x15de28 [int64 lease_until] now 90015 分钟租约第二份副本在0x15d408。把now强行改到valid_until之后核心立刻打印[授权] 文件校验失败程序退出授权租约或模型清单不可用这就是反证这三个数就是判定输入。比喻桌上有三个沙漏分别代表“现在”“到期”“租约”。核心每次抬头看沙漏决定放不放行。我们每 2 毫秒把“到期”那个沙漏的上半部分补满再把“现在”固定住它就永远看不到“到期”。补丁逻辑function leasePatch() { [0x15de18, 0x15d408].forEach(a { const p ptr(a); const now Number(p.readU64().valueOf()); const valid Number(p.add(8).readU64().valueOf()); const lease Number(p.add(16).readU64().valueOf()); if (now 1700000000 now 1900000000 valid now lease - now 600 lease - now 1200) { p.add(8).writeU64(4102444800); // 2100-01-01 p.add(16).writeU64(now 900); } }); } setInterval(leasePatch, 2);第 12 步把“剩余 5.5 小时”改成“999 小时”这一步纯显示但新手很有成就感。核心用WriteFile把日志写到控制台/文件。我们在写之前原地改缓冲区找到 UTF-8 的“剩余”E5 89 A9 E4 BD 99后面跟一个空格再后面是数字可能带小数点把这些数字字节全部替换成0x39字符9。const bytes new Uint8Array(buf.readByteArray(len)); const pat [0xE5,0x89,0xA9,0xE4,0xBD,0x99]; // 剩余 // 找到 pat跳过一个空格把连续的数字/小数点改成 0x39结果[授权] 授权有效剩余 999 小时比喻倒计时牌上的数字是贴纸。我们不换牌子只把“5.5”那张贴纸换成“999”。4. 破解原理拆解深水区 比喻4.1 为什么“换入口”比“改二进制”更好核心是同一个原始 EXE、同一批 DLL、同一份模型完整性校验面对的还是原版镜像卡密 UI 不承载任何游戏内功能绕过它不影响功能外层每次启动都会换文件名H_XXXX.exe、H_78010D60.exe等盯着文件名打补丁很容易打空。比喻你要进机房最稳的办法是走员工通道而不是把前台的验卡机拆了。4.2 Themida 与“虚拟机总控台”Themida 会把代码虚拟化你静态看到的不是原始逻辑而是一堆 handler 字节码。直接找字符串 xref 经常会落空。新手可用的替代路径hook 输出WriteFile/printf拿到 backtracebacktrace 里的地址如果落在0x1400exxx这种普通代码区就反汇编窗口附近找cmp/test je/jne这种“判定形状”再看失败分支干了什么打印退出。比喻总控台把每个动作拆成“齿轮 A 转 3 圈、齿轮 B 转 2 圈”。你盯着齿轮看不出业务逻辑但总控台有一本通话记录backtrace记录里写着“谁在什么时候要求打印这句话”。4.3 分支补丁的字节含义41 c6 45 00 01 mov byte ptr [r130], 1 90 nop 0f 84 xx xx xx xx je rel32 c3 retmov byte [r13],1把“有效”标志写死nop掉je条件跳转变成顺序执行失败块被跳过ret把“退出函数”变成“立刻返回”调用者继续往下跑。比喻不是把整台机器换掉而是把门禁的三根线重新插一下。4.4 DPAPI 的“指纹保险箱”CryptProtectData默认是用户级加密同一个用户、同一台机器才能解换机器/换用户保险箱打不开我们 hook 的是“开箱之后”的那一步直接把纸条换掉所以箱子本身开不开就不重要了。比喻保险箱是指纹锁换台机器指纹就对不上。我们不去撬锁而是买通管理员在他开箱后把里面的纸条换掉。4.5 会话凭据为什么“跨重启就死”服务端下发的 208 字节不是普通字符串它绑定了一次授权的会话状态。重启后旧会话作废核心会报SESSION_EXPIRED。我们的做法不是“续期”而是强制把凭据喂进去把“会话有效”标志置 1跳过失败分支和退出函数。比喻门票是一次性的检票机还认场次。我们不补票而是把检票机的红灯短接再把闸机电机断电。4.6 模型资产层HROENC02是模型加密容器密钥来自服务端授权信封。只破卡密模型仍然是密文。两条路用有效卡密激活一次拿到服务端下发的资产包官方路径逆开HROENC02的解密函数与密钥派生更深需要静态 动态结合。比喻门票让你进机房但图纸柜的钥匙是厂家按会员寄的。你可以选择成为会员也可以选择研究锁芯。4.7 为什么补丁要“每 2 毫秒”重写核心会在解析后重新写租约结构体你改一次它下一次解析又写回去。比喻你在黑板上把“到期”改成“2100”对方每几分钟擦一次。你只能比他擦得更快——每 2 毫秒补一笔。5. 验证清单跑完上面的步骤按这张表验收检查项期望卡密窗口枚举不到xHERO_CardKey_Window核心进程H_78010D60.exe存活RespondingTrue授权日志[授权] 授权有效剩余 999 小时模型日志[DML] 模型已使用 DirectML 推理后端初始化models/HERO416.hmodel主程序程序已启动 热键表控制台xHERO.ControlPanel存在Home 可打开跨机器改MachineGuid后仍能启动跨时间系统时间 1 周仍能启动回滚所有改动都在运行期内存里原始 EXE/DLL 一个字节都没动关掉注入器、重启进程就回到原样。6. 新手常见坑PowerShell 5.1 读 UTF-8 脚本乱码.ps1里带中文时要么存成 UTF-8 with BOM要么脚本内容全用 ASCII、日志用英文。中文文件名也会被按 ANSI 解析。frida 17 的 API 变了单参数Module.findExportByName(name)会抛TypeError。用Module.findExportByName(null, name)或者Process.getModuleByName(...).getExportByName(...)。CreateProcess err267lpCurrentDirectory传了相对路径。先把--exe转成绝对路径再取dirname。“Hero 已经在运行”核心是单实例。先 End 退出或结束H_78010D60.exe再启动。点击坐标飘先SetProcessDpiAwarenessContext(-4)窗口先SetWindowPos到固定位置再用GetWindowRect的相对比例点。capture_method win32不生效有效值只有duplication_api / winrt / window / screenshots / virtual_camera。DDA 80070005桌面复制被拒换window或screenshots远程桌面里尤其常见。补丁打早了被覆盖Themida 分页解密会把代码页重新写回。用多个时间点重复打1.2s / 2.4s / 4s。LocalFree崩溃 0xC0000014返回缓冲区必须用LocalAlloc别用 frida 的Memory.alloc。7. 术语表新手向术语一句话解释RVA / VA相对虚拟地址 / 虚拟地址VA 模块基址 RVAIAT导入地址表程序调用系统 API 的“电话簿”DPAPIWindows 的用户级加密 API俗称“指纹保险箱”HPKE一种混合公钥加密方案客户端用服务器公钥加密请求Ed25519数字签名算法响应的“火漆印”Themida商业壳代码虚拟化 反调试租约lease服务端给的短期使用许可通常 15 分钟续一次asset key模型/资产包的解密密钥backtrace调用栈案发现场的脚印补丁patch在内存里改几个字节改变程序走向8. 一页速查本样本外层卡密壳 H_XXXX.exe 7,808,804 B 核心 H_78010D60.exe 5,133,604 B 模型头 HROENC02 会话判定分支 0x1400ec73a 41 80 7d 00 00 - 41 c6 45 00 01 0x1400ec73f 0f 84 35 02 00 00 - 90 90 90 90 90 90 失败退出函数 0x1400e7180 48 - c3 模型校验分支 0x1400e820b 45 84 ed - 41 b5 01 0x1400e820e je - 90 90 90 90 90 90 租约结构体 0x15de18 / 0x15d408: [now][valid_until][leasenow900] 日志改写 WriteFile 缓冲区UTF-8 剩余 空格 数字 - 全部替换成 9 凭据 HRCRED03 DPAPI(468B) - 208 字节 ASCII9. 最短复现路径不想从零搭环境的新手如果你只想先看到结果再回头补原理用官方自解包器把运行库释放到%LOCALAPPDATA%\HERO\SingleFileRuntime\装好 Python frida用CREATE_SUSPENDED启动HEROCore\H_78010D60.exe注入脚本CryptUnprotectData换凭据 三处分支补丁 租约保持 日志数字改写恢复线程观察hero.log出现“999 小时”和“模型已使用 DirectML”。把上面四件事写成一个 Python 启动器就是一套可重复的“实验装置”。最后提醒一句所有操作都在你复制出来的本地样本上做原始文件留一份备份。逆向的乐趣在于“看懂”而不是“破坏”把每一步的证据日志、backtrace、字节记下来你下次遇到别的壳也能按同一套方法拆。
从卡密窗到主界面HERO 1.2.2 授权校验逆向实战说明本文是一篇面向开发者的本地软件安全学习笔记。实验对象为个人环境中的软件副本所有操作在隔离的本地环境完成原始文件与系统状态均保留可回滚备份。文章讨论授权校验链路的分析方法、调试思路与防护启示文中不含可分发的成品、卡密、序列号或下载地址也不针对任何线上服务。读者请在自己拥有使用权的副本上复现并把结论用于加固自己的程序。软件www.kufaka.com/shop/TR5E1IZ9目标样本HERO 1.2.2hero-dml-secure-20261008-v122CoreTagN122-A1472580 目标搞清楚卡密窗、会话凭据、租约、模型资产这四道关卡分别在哪儿以及怎么用运行期注入逐层通过。 阅读门槛会装 Python、会用 PowerShell、知道“进程/窗口/文件”是什么即可。文中所有深水区都配了比喻。0. 先给你一张地图这个软件不是一个 EXE而是“三层套娃”第二步运行全功能.exe 约 64 MB自解包器 └─ HERO.exe 约 7.8 MB外层卡密壳唯一创建卡密窗口的地方 └─ H_78010D60.exe 约 5.1 MB核心负责授权、模型、检测、控制台打个比方自解包器 商场大门负责把货运行库搬到仓库外层卡密壳 前台查你的会员卡查完才让你进核心 机房真正干活的地方它只认一张“本地通行证”并不认识前台那张卡。新手最容易犯的错是盯着前台卡密窗死磕。实际上前台和机房之间没有焊死——你可以绕过前台直接从后门进机房。这就是整篇文章的主线。1. 环境部署1.1 系统与工具工具用途备注Windows 10/11 x64运行样本建议在虚拟机里做快照随便回滚Python 3.10跑 frida 注入脚本本文用 3.14frida / frida-tools运行期 hook、改内存pip install frida frida-toolscapstone反汇编pip install capstone7-Zip解包/打包任意版本Ghidra静态看 PE可选新手可以先跳过Process Explorer / Procmon看进程、窗口、文件可选安装命令在普通 PowerShell 里python -m pip install --upgrade frida frida-tools capstone python -c import frida, capstone; print(frida.__version__, capstone.__version__)1.2 目录与备份非常重要不要在原目录直接改。先建一个工作区HERO-Lab\ ├─ samples\ 原始样本只读 ├─ work\ 脚本、日志、内存 dump ├─ runtime\ 解包出来的运行库副本 └─ notes\ 你的笔记复制样本后先记哈希后面核对“我到底在分析哪一版”Get-FileHash .\samples\HERO.exe -Algorithm SHA256 Get-FileHash .\samples\HERO_orig_backup.exe -Algorithm SHA256比喻哈希就是样本的“身份证号”。后面偏移对不上时先看身份证号别怀疑自己的眼睛。1.3 让它解包管理员运行一次官方自解包器。它会把运行库释放到%LOCALAPPDATA%\HERO\SingleFileRuntime\一串id\里面是H_XXXX.exe 外层卡密壳每次启动会换名字看大小 7.8 MB 那个 HEROCore\ H_78010D60.exe 核心5.1 MB core.dat 核心的副本/载荷 hero_c.dll 输入桥 models\HERO320.hmodel models\HERO416.hmodel config.ini hero.license 本地凭据首次激活后才有 hero.perm 设备密钥种子100 字节把整个HEROCore复制到你的runtime\之后所有实验都用副本。1.4 解决“必须管理员”的清单外层和核心的清单都要求requireAdministrator。直接CreateProcess会报err740需要提升。两个办法办法 A兼容层降权启动调试期最方便$env:__COMPAT_LAYER RunAsInvoker Start-Process .\H_XXXX.exeRunAsInvoker的意思是“别弹 UAC就用当前权限跑”。适合看界面、抓包缺点是中完整性级别下桌面复制DDA容易被拒。办法 Bfodhelper 静默提权需要高完整性时原理不复杂fodhelper.exe是系统里一个“自带高权限”的程序它会读取HKCU\Software\Classes\ms-settings\Shell\Open\command并执行。把这个键指向你的脚本fodhelper 就会以管理员身份把脚本拉起来。$cmd powershell -NoProfile -ExecutionPolicy Bypass -File C:\path\your_script.ps1 reg add HKCU\Software\Classes\ms-settings\Shell\Open\command /ve /d $cmd /f reg add HKCU\Software\Classes\ms-settings\Shell\Open\command /v DelegateExecute /t REG_SZ /d /f Start-Process fodhelper.exe Start-Sleep -Seconds 3 reg delete HKCU\Software\Classes\ms-settings /f比喻UAC 是门禁fodhelper 是“内部员工”。你让内部员工帮你把东西带进去门禁不会拦他。用完记得把登记表注册表键擦掉。1.5 让窗口能被截屏卡密窗和核心窗口都调了SetWindowDisplayAffinity(hwnd, 17); // WDA_EXCLUDEFROMCAPTURE17的意思是“允许你看允许你操作但截屏/录屏里它是黑的”。调试时很烦。在 frida 里把这个 API 换成空函数即可const u32 Process.getModuleByName(user32.dll); const wda u32.getExportByName(SetWindowDisplayAffinity); Interceptor.replace(wda, new NativeCallback(() 1, int, [pointer, uint]));比喻窗口给自己拉了一层“防偷拍窗帘”。我们不是拆窗帘而是告诉系统“这扇窗不用拉帘”。1.6 第一个 frida 脚本看清进程里有什么// list.js console.log(pid Process.id); Process.enumerateModules().slice(0, 20).forEach(m { console.log(m.name base m.base size m.size); });运行方式Python 启动器最稳import frida, time, subprocess, os exe rC:\...\HEROCore\H_78010D60.exe p subprocess.Popen([exe], cwdos.path.dirname(exe)) time.sleep(1) session frida.attach(p.pid) script session.create_script(open(list.js).read()) script.load() time.sleep(3)更稳的做法是CREATE_SUSPENDED启动、先 attach、再ResumeThread这样脚本能在第一条指令执行前就位后面讲补丁时序时会反复用到。2. 软件配置打开HEROCore\config.ini新手只需要关注三块capture_method duplication_api capture_fps 120 input_method WIN322.1 采集方式的有效值核心只认这几个字符串从二进制里挖出来的duplication_api 桌面复制DXGI本机控制台最常用 winrt Windows.Graphics.Capture virtual_camera 虚拟摄像头 window 按窗口截图 screenshots 定时截图写成win32会打印[Capture] Unknown capture_method win32. Falling back to duplication_api.比喻这是插头型号。win32不是这个插座支持的型号插上去只会“啪”一下弹回默认。2.2 DDA 80070005 是什么日志里出现[DDA] DuplicateOutput failed hr800700050x80070005 E_ACCESSDENIED桌面复制被拒。常见于远程桌面、锁屏、非交互桌面、权限不够。换成window或screenshots通常能继续跑帧率低一点。2.3 输入与 DPI输入方式WIN32就是 SendInput 那套自动化点击前先SetProcessDpiAwarenessContext(-4)否则 125% 缩放下坐标会飘窗口坐标用GetWindowRect拿别写死屏幕坐标。2.4 日志核心把启动信息写到自己的hero.log我们用启动器时还会重定向一份console.log。新手排障先看这两个文件比盯着黑窗口猜快得多。3. 调试过程从黑盒到白盒第 1 步看窗口先确认“谁在拦你”启动外层枚举窗口。你会看到xHERO_CardKey_Window 卡密激活唯一创建它的进程是外层 H_XXXX.exe xHERO.ControlPanel 主控制台核心创建默认隐藏Home 打开 HERO.StartupHint “HERO 已启动”提示GetWindowText拿到的是xHERO真正的标题“卡密激活”是自绘的所以按标题找窗口会找错按类名找才准。第 2 步抓网络看看它跟服务器聊什么Hookwinhttp.dll的WinHttpOpenRequest / WinHttpSendRequest / WinHttpReadData能看到POST /hero122/api/hero/v1/announcement POST /hero122/api/hero/v1/authorize请求体长这样{build:hero-dml-secure-20261008-v122, ciphertext:..., enc:...43 个 base64url 字符..., key_id:hero-request-20261008-r20, path:/api/hero/v1/authorize, protocol:hero-request/1}enc是 32 字节的 X25519 临时公钥ciphertext是 HPKE 加密后的内容。响应是明文 JSON但带signatureEd25519。第 3 步为什么“假服务器”走不通新手第一反应是改 hosts把api.example.com指到本地自己返回一个allow。这条路很快会撞墙原因有两个请求是用服务器的公钥加密的HPKE本地没有服务器私钥解不开请求就算你硬编一个响应客户端会验signature而签名需要服务器的 Ed25519 私钥。比喻请求是装在密码箱里寄给厂家的箱子只有厂家能开回信上还有厂家的火漆印。你在家里仿一封回信火漆印对不上前台一眼就看穿。所以要打客户端不要打服务器。第 4 步换入口——直接启动核心这是整篇文章的转折点。把外层关掉直接启动HEROCore\H_78010D60.exe 工作目录必须是 HEROCore结果卡密窗口根本没有出现。核心自己跑起来了日志写着[授权] 授权有效剩余 5.8 小时 [鼠标] 当前输入方式WIN32 [DML] 模型已使用 DirectML 推理后端初始化models/HERO416.hmodel [主程序] DML 检测器已创建。 程序已启动结论卡密只是外层的门票核心只认本地凭据 租约。比喻前台查会员卡机房只认一张盖了章的通行证。你从后门进机房前台那张卡就跟你没关系了。第 5 步核心的凭据长什么样本地凭据在hero.license文件头是48 52 43 52 45 44 30 33 HRCRED03 01 00 00 00 版本 1 D0 8C 9D DF 01 15 D1 11 8C 7A 00 C0 4F C2 97 EB DPAPI 的 GUID ... 468 字节 DPAPI blob用CryptUnprotectData解开在核心进程里解因为它带了可选熵得到208 字节 ASCII的会话凭据HS3...示例已截断比喻hero.license是一个带指纹锁的保险箱里面放着一张 208 字符的纸条。纸条才是核心真正认的东西。第 6 步为什么重启后会 SESSION_EXPIRED把系统时间拨回凭据有效期以内再启动核心仍然打印[授权] (SESSION_EXPIRED): 本机授权凭据无效或已到期请重新激活这说明它不是简单的“本地时间 到期时间”而是服务端会话凭据票据绑定了激活时的会话/设备状态重启后旧票作废。比喻这是一张“一次性门票”。检票机认票也认“这场次”。你把大厅的钟拨回去场次号对不上票还是过不去。第 7 步把凭据“换”进去既然核心要的是那 208 字节我们就 hookCryptUnprotectData当它解hero.license输入长度 468时直接把输出替换成我们准备好的 208 字节。关键细节新手最容易踩x64 下DATA_BLOB的布局是{ DWORD cbData; /*4 字节填充*/ PBYTE pbData; }即cbData在偏移 0pbData在偏移 8CryptUnprotectData的输出是第 7 个参数args[6]不是第 1 个返回的缓冲区要用LocalAlloc分配因为核心随后会LocalFree。比喻你借了图书馆的书必须还到同一个图书馆。你用自己家的塑料袋装书还回去管理员LocalFree会当场愣住崩溃 0xC0000014。代码骨架const LA new NativeFunction( Module.getExportByName(kernel32.dll, LocalAlloc), pointer, [uint, ulong] ); const PLAIN hexToBytes(485333...); // 208 字节凭据 Interceptor.attach(Module.getExportByName(crypt32.dll, CryptUnprotectData), { onEnter(a) { this.out a[6]; this.in a[0]; }, onLeave(ret) { if (this.in.readU32() ! 468) return; // 只接管 hero.license if (ret.toInt32() 0) ret.replace(ptr(1)); // 强制返回成功 const buf LA(0x40, PLAIN.length); // LMEM_ZEROINIT buf.writeByteArray(PLAIN); this.out.writeU32(PLAIN.length); this.out.add(8).writePointer(buf); } });第 8 步用“日志回溯”找判定点核心在验票失败时会打印一行日志。我们 hookWriteFile当缓冲区里出现“授权”时打印调用栈backtraceconst wf Process.getModuleByName(kernelbase.dll) .getExportByName(WriteFile); Interceptor.attach(wf, { onEnter(a) { const b a[1], n a[2].toInt32(); if (b.isNull() || n 0 || n 8192) return; const s b.readUtf8String(n); if (!s || s.indexOf(授权) 0) return; console.log(Thread.backtrace(this.context, Backtracer.ACCURATE) .map(x x.toString()).join( - )); } });一次真实的失败栈节选0x14018ff42 - 0x140190628 - 0x1401903bf - 0x140172b43 - 0x140191d2a - 0x14017631a - ... - 0x1400ec9ba - 0x14014935c顺着0x1400ec9ba往回看找到一段没有被虚拟化的普通 x64 代码0x1400ec73a cmp byte ptr [r13], 0 0x1400ec73f je 0x1400ec97a ; 跳到“失败块” ... 0x1400ec97a ... 调用打印函数 ... 0x1400e7180 失败处理函数睡 100ms然后 ExitProcess(3)比喻Themida 把大部分逻辑塞进了一台“虚拟机总控台”你静态看到的只是一堆调度齿轮。但总控台偶尔会走到一段普通代码就像迷宫里突然出现一扇写着“出口”的门。backtrace 就是总控台的通话记录顺着记录就能摸到门。第 9 步打三个补丁补丁 1把会话标志置 10x1400ec73a: 41 80 7d 00 00 - 41 c6 45 00 01 cmp byte [r13],0 mov byte [r13],1补丁 2把“失败跳转”改成空操作0x1400ec73f: 0f 84 35 02 00 00 - 90 90 90 90 90 90 je failure nop × 6补丁 3把“失败退出函数”改成直接返回0x1400e7180: 48 - c3 mov ... ret比喻门禁读到坏票会亮红灯并锁门。补丁 1 是把“票有效”的灯直接短接成常亮补丁 2 是把“红灯→锁门”的那根线剪掉补丁 3 是把“锁门”这个动作本身换成“什么都不做”。三处补丁要在核心解析凭据之前打进去。最稳的时序是CreateProcessW(..., CREATE_SUSPENDED, ...)frida.attach(pid)、加载脚本ResumeThread脚本里用setTimeout在 1.2s / 2.4s / 4s 各补一次防止 Themida 分页解密把补丁覆盖。第 10 步模型为什么还是加载失败打完上面三处主程序能起来了但日志变成[主程序] DML 检测器已创建但当前没有可用模型。 [DML] DirectML initialization failed for models/HERO416.hmodel: invalid argument看一眼模型文件头48 52 4F 45 4E 43 30 32 HROENC02模型是加密容器DML 拿到的是密文当然报invalid argument。这就是“卡密”和“模型资产”两层 DRM 的区别卡密 门票模型 加密图纸图纸的钥匙由服务端在授权通过后下发hero-assets/2信封。比喻你混进了机房但保险柜里的乐高图纸是加密的。厂家给每个会员寄一把对应的钥匙没有钥匙你只能看到一盒乱码积木。实测用一个有效卡密在官方外层激活一次服务端会下发约约 100 MB的资产包payload.part解包后核心日志变成[DML] 模型已使用 DirectML 推理后端初始化models/HERO416.hmodel所以“完整功能”的最后一环是拿到一次有效授权下发的资产密钥或者逆开HROENC02的资产层。前者是官方路径后者是更深的坑。第 11 步租约三元组三个沙漏核心在低地址载荷映射里放了一个结构体实测地址0x15de18 [int64 now] 解析时刻 0x15de20 [int64 valid_until] 到期时间 0x15de28 [int64 lease_until] now 90015 分钟租约第二份副本在0x15d408。把now强行改到valid_until之后核心立刻打印[授权] 文件校验失败程序退出授权租约或模型清单不可用这就是反证这三个数就是判定输入。比喻桌上有三个沙漏分别代表“现在”“到期”“租约”。核心每次抬头看沙漏决定放不放行。我们每 2 毫秒把“到期”那个沙漏的上半部分补满再把“现在”固定住它就永远看不到“到期”。补丁逻辑function leasePatch() { [0x15de18, 0x15d408].forEach(a { const p ptr(a); const now Number(p.readU64().valueOf()); const valid Number(p.add(8).readU64().valueOf()); const lease Number(p.add(16).readU64().valueOf()); if (now 1700000000 now 1900000000 valid now lease - now 600 lease - now 1200) { p.add(8).writeU64(4102444800); // 2100-01-01 p.add(16).writeU64(now 900); } }); } setInterval(leasePatch, 2);第 12 步把“剩余 5.5 小时”改成“999 小时”这一步纯显示但新手很有成就感。核心用WriteFile把日志写到控制台/文件。我们在写之前原地改缓冲区找到 UTF-8 的“剩余”E5 89 A9 E4 BD 99后面跟一个空格再后面是数字可能带小数点把这些数字字节全部替换成0x39字符9。const bytes new Uint8Array(buf.readByteArray(len)); const pat [0xE5,0x89,0xA9,0xE4,0xBD,0x99]; // 剩余 // 找到 pat跳过一个空格把连续的数字/小数点改成 0x39结果[授权] 授权有效剩余 999 小时比喻倒计时牌上的数字是贴纸。我们不换牌子只把“5.5”那张贴纸换成“999”。4. 破解原理拆解深水区 比喻4.1 为什么“换入口”比“改二进制”更好核心是同一个原始 EXE、同一批 DLL、同一份模型完整性校验面对的还是原版镜像卡密 UI 不承载任何游戏内功能绕过它不影响功能外层每次启动都会换文件名H_XXXX.exe、H_78010D60.exe等盯着文件名打补丁很容易打空。比喻你要进机房最稳的办法是走员工通道而不是把前台的验卡机拆了。4.2 Themida 与“虚拟机总控台”Themida 会把代码虚拟化你静态看到的不是原始逻辑而是一堆 handler 字节码。直接找字符串 xref 经常会落空。新手可用的替代路径hook 输出WriteFile/printf拿到 backtracebacktrace 里的地址如果落在0x1400exxx这种普通代码区就反汇编窗口附近找cmp/test je/jne这种“判定形状”再看失败分支干了什么打印退出。比喻总控台把每个动作拆成“齿轮 A 转 3 圈、齿轮 B 转 2 圈”。你盯着齿轮看不出业务逻辑但总控台有一本通话记录backtrace记录里写着“谁在什么时候要求打印这句话”。4.3 分支补丁的字节含义41 c6 45 00 01 mov byte ptr [r130], 1 90 nop 0f 84 xx xx xx xx je rel32 c3 retmov byte [r13],1把“有效”标志写死nop掉je条件跳转变成顺序执行失败块被跳过ret把“退出函数”变成“立刻返回”调用者继续往下跑。比喻不是把整台机器换掉而是把门禁的三根线重新插一下。4.4 DPAPI 的“指纹保险箱”CryptProtectData默认是用户级加密同一个用户、同一台机器才能解换机器/换用户保险箱打不开我们 hook 的是“开箱之后”的那一步直接把纸条换掉所以箱子本身开不开就不重要了。比喻保险箱是指纹锁换台机器指纹就对不上。我们不去撬锁而是买通管理员在他开箱后把里面的纸条换掉。4.5 会话凭据为什么“跨重启就死”服务端下发的 208 字节不是普通字符串它绑定了一次授权的会话状态。重启后旧会话作废核心会报SESSION_EXPIRED。我们的做法不是“续期”而是强制把凭据喂进去把“会话有效”标志置 1跳过失败分支和退出函数。比喻门票是一次性的检票机还认场次。我们不补票而是把检票机的红灯短接再把闸机电机断电。4.6 模型资产层HROENC02是模型加密容器密钥来自服务端授权信封。只破卡密模型仍然是密文。两条路用有效卡密激活一次拿到服务端下发的资产包官方路径逆开HROENC02的解密函数与密钥派生更深需要静态 动态结合。比喻门票让你进机房但图纸柜的钥匙是厂家按会员寄的。你可以选择成为会员也可以选择研究锁芯。4.7 为什么补丁要“每 2 毫秒”重写核心会在解析后重新写租约结构体你改一次它下一次解析又写回去。比喻你在黑板上把“到期”改成“2100”对方每几分钟擦一次。你只能比他擦得更快——每 2 毫秒补一笔。5. 验证清单跑完上面的步骤按这张表验收检查项期望卡密窗口枚举不到xHERO_CardKey_Window核心进程H_78010D60.exe存活RespondingTrue授权日志[授权] 授权有效剩余 999 小时模型日志[DML] 模型已使用 DirectML 推理后端初始化models/HERO416.hmodel主程序程序已启动 热键表控制台xHERO.ControlPanel存在Home 可打开跨机器改MachineGuid后仍能启动跨时间系统时间 1 周仍能启动回滚所有改动都在运行期内存里原始 EXE/DLL 一个字节都没动关掉注入器、重启进程就回到原样。6. 新手常见坑PowerShell 5.1 读 UTF-8 脚本乱码.ps1里带中文时要么存成 UTF-8 with BOM要么脚本内容全用 ASCII、日志用英文。中文文件名也会被按 ANSI 解析。frida 17 的 API 变了单参数Module.findExportByName(name)会抛TypeError。用Module.findExportByName(null, name)或者Process.getModuleByName(...).getExportByName(...)。CreateProcess err267lpCurrentDirectory传了相对路径。先把--exe转成绝对路径再取dirname。“Hero 已经在运行”核心是单实例。先 End 退出或结束H_78010D60.exe再启动。点击坐标飘先SetProcessDpiAwarenessContext(-4)窗口先SetWindowPos到固定位置再用GetWindowRect的相对比例点。capture_method win32不生效有效值只有duplication_api / winrt / window / screenshots / virtual_camera。DDA 80070005桌面复制被拒换window或screenshots远程桌面里尤其常见。补丁打早了被覆盖Themida 分页解密会把代码页重新写回。用多个时间点重复打1.2s / 2.4s / 4s。LocalFree崩溃 0xC0000014返回缓冲区必须用LocalAlloc别用 frida 的Memory.alloc。7. 术语表新手向术语一句话解释RVA / VA相对虚拟地址 / 虚拟地址VA 模块基址 RVAIAT导入地址表程序调用系统 API 的“电话簿”DPAPIWindows 的用户级加密 API俗称“指纹保险箱”HPKE一种混合公钥加密方案客户端用服务器公钥加密请求Ed25519数字签名算法响应的“火漆印”Themida商业壳代码虚拟化 反调试租约lease服务端给的短期使用许可通常 15 分钟续一次asset key模型/资产包的解密密钥backtrace调用栈案发现场的脚印补丁patch在内存里改几个字节改变程序走向8. 一页速查本样本外层卡密壳 H_XXXX.exe 7,808,804 B 核心 H_78010D60.exe 5,133,604 B 模型头 HROENC02 会话判定分支 0x1400ec73a 41 80 7d 00 00 - 41 c6 45 00 01 0x1400ec73f 0f 84 35 02 00 00 - 90 90 90 90 90 90 失败退出函数 0x1400e7180 48 - c3 模型校验分支 0x1400e820b 45 84 ed - 41 b5 01 0x1400e820e je - 90 90 90 90 90 90 租约结构体 0x15de18 / 0x15d408: [now][valid_until][leasenow900] 日志改写 WriteFile 缓冲区UTF-8 剩余 空格 数字 - 全部替换成 9 凭据 HRCRED03 DPAPI(468B) - 208 字节 ASCII9. 最短复现路径不想从零搭环境的新手如果你只想先看到结果再回头补原理用官方自解包器把运行库释放到%LOCALAPPDATA%\HERO\SingleFileRuntime\装好 Python frida用CREATE_SUSPENDED启动HEROCore\H_78010D60.exe注入脚本CryptUnprotectData换凭据 三处分支补丁 租约保持 日志数字改写恢复线程观察hero.log出现“999 小时”和“模型已使用 DirectML”。把上面四件事写成一个 Python 启动器就是一套可重复的“实验装置”。最后提醒一句所有操作都在你复制出来的本地样本上做原始文件留一份备份。逆向的乐趣在于“看懂”而不是“破坏”把每一步的证据日志、backtrace、字节记下来你下次遇到别的壳也能按同一套方法拆。
