-
-
[原创]IDEA 2019.1版本的破解文件JetbrainsCrack.jar分析
-
发表于: 2019-5-28 16:35
-
|
|
|---|---|
|
|
还原的，premain里这样调用就可以了 //第二个参数一定要设置为true
inst.addTransformer(new IdeaTransformer(),true);
try {//addTransformer第二个参数设置为true时生效
inst.retransformClasses(new Class[]{Class.forName("java.lang.String")});
inst.retransformClasses(new Class[]{Class.forName("java.util.Timer")});
inst.retransformClasses(new Class[]{Class.forName("java.util.Base64")});
inst.retransformClasses(new Class[]{Class.forName("java.io.ByteArrayInputStream")});
inst.retransformClasses(new Class[]{Class.forName("java.util.Arrays")});
inst.retransformClasses(new Class[]{Class.forName("java.net.URL")});
} catch (ClassNotFoundException e) {
e.printStackTrace();
} |
|
|
还原的，premain里这样调用就可以了 //第二个参数一定要设置为true
inst.addTransformer(new IdeaTransformer(),true);
try {//addTransformer第二个参数设置为true时生效
inst.retransformClasses(new Class[]{Class.forName("java.lang.String")});
inst.retransformClasses(new Class[]{Class.forName("java.util.Timer")});
inst.retransformClasses(new Class[]{Class.forName("java.util.Base64")});
inst.retransformClasses(new Class[]{Class.forName("java.io.ByteArrayInputStream")});
inst.retransformClasses(new Class[]{Class.forName("java.util.Arrays")});
inst.retransformClasses(new Class[]{Class.forName("java.net.URL")});
} catch (ClassNotFoundException e) {
e.printStackTrace();
} |
|
|
|
|
|
怎么还原？我是通过DUMP出来的补丁，自己写出来的。内容和还原的一样。 |
|
|
ZKM的INVOKEDYNAMIC指令都是一样，比如下面这条 如果有人能解出这些long数值的计算方法，估计就不用输出，直接还原正常代码了。
最后于 2021-4-26 17:36
被guduzhe编辑
，原因：
|
|
|
对这两句没有太理解，有没有啥具体的内容。 ··· 只需要关注这个dynamic指令解析类，这里是fuck_you/b1，找类的(JJ)Ljava/lang/reflect/Field;和(JJ)Ljava/lang/reflect/Method;这两个方法就行，注入输出就可以，根据long数值搜索实际做了什么操作。 ··· |
|
|
拦截结果 -3802705931672136433:95462646008613:public abstract void java.lang.instrument.Instrumentation.addTransformer(java.lang.instrument.ClassFileTransformer,boolean) 8923367779079012573:73296439639028:public static boolean fuck_you.ao.b 8925782691333146343:73296439639028:public boolean java.lang.String.equals(java.lang.Object) 8925782691333146343:73296439639028:public boolean java.lang.String.equals(java.lang.Object) 8925782691333146343:73296439639028:public boolean java.lang.String.equals(java.lang.Object) 用recaf看字节码就行了，比如这两个long，实际只能看到第一个long，第二个是xor得到的，这个无关紧要，因为一个方法内第二个long都是一致的 8923367779079012573:73296439639028:public static boolean fuck_you.ao.b 这样的局限就是只能显示这个方法内运行流程中调用的方法，没有用到的可以自己修改，比如zkm 15.0，自己改的 public static String a(String mark, long var4, long var6) {
int type = mark.charAt(0) ^ ((int) var6) & 7;
String rtn;
if (type == 106 || type == 107 || type == 105 || type == 109) {//105:i 106:j 107:k 109:m
Field field = aae.c(var4, var6);
if (type == 106) {
rtn = "findGetter";
} else if (type == 107) {
rtn = "findSetter";
} else if (type == 105) {
rtn = "findStaticGetter";
} else {
rtn = "findStaticSetter";
}
rtn = rtn + ":" + field.toString();
} else {
Method method = aae.d(var4, var6);
if (type == 110) {
rtn = "findVirtual";
} else if (type == 113) {
rtn = "findStatic";
} else {
rtn = "findSpecial";
}
rtn = rtn + ":" + method.toString();
}
return rtn;
}mark就是INVOKEDYNAMIC后面跟的字符，后面两个long就是拦截到的，因为第二个long通用，所以方法内的所有都能解析出来。我一般在arthas里用 ognl '@com.zelix.tool.Tool@a("l",-4720786595021763945L,140189597281954L)' |
|
|
我使用的工具的还原结果如下图，我试着理解一下你的过程，就是通过上面插入指令的输出内容，再通过agent向bv.a()中插入代码，在调用的时候输出具体的调用函数信息对吧 ？ 另外，从你的还原结果和源码结构比较接近，对流程和这些打印信息怎么生成那个反混淆结果 ？根据内容整理的还是说能还原出来指令再反编译的 ？
最后于 2021-4-28 16:08
被nevinhappy编辑
，原因：
|
|
|
根据这个值
查拦截的结果 -3802705931672136433:95462646008613:public abstract void java.lang.instrument.Instrumentation.addTransformer(java.lang.instrument.ClassFileTransformer,boolean) 8923367779079012573:73296439639028:public static boolean fuck_you.ao.b 8925782691333146343:73296439639028:public boolean java.lang.String.equals(java.lang.Object) 8925782691333146343:73296439639028:public boolean java.lang.String.equals(java.lang.Object) 8925782691333146343:73296439639028:public boolean java.lang.String.equals(java.lang.Object) 这不就直接知道运行什么方法，做了什么操作了么。这是最简单最笨，同样很繁琐的，每行代码都要去看。 既然知道方法了，这样可以通过recaf来还原指令，用recaf修改都是手工的。 现在尝试用asm去修改java字节码，用程序修改会快很多，现在大体有构想了，还只是能打印单个方法中的字符串，以后慢慢去完善。
下一步就可以修改指令，将这几行字节码用LDC指令替换就可以了。 这个是修改invokedynamic的方法获取字符串，然后再考虑去修invokedynamic调用的方法。 一步步来，现在只能单个方法，但是能省去许多手工执行命令的步骤。 静态分析太难，一些动态的可以交给arthas去做，动静结合，效果会好点。 |
|
|
谢谢分享。 |
|
|
|
|
|
|
|
|
卧槽，各位神仙打架
|
|
|
|
|
|
是的，在idea.jar中，用于验证key中证书是不是伪造的。 |
|
|
哦，那他既然写死了，肯定是有一定的计算规则生成的这个字符串，我们利用自己生成的证书去比对，能成功吗？特定的算法是什么算法，这块儿能再解惑一下吗，我感觉是不是进入思维误区了 
|
|
|
https://github.com/alphazero/Blake2b |
|
|
感谢 |
|
|
我怎么感觉像是在看天书呀
|
|
|
刚开始都这样，可以看看《加密与解密》 |
|
|
|
|
|
|
|
|
嗯，datagrip有3.2的，不行了，idea还没出新版的 |
|
|
试着分析了下原因是licenseData里的metadata参数计算不符合原jar中的判断导致的 用网站的key计算出的结果是J，直接修改字节码
成功，但是却依赖于网站的key，自定义的key，验证license的cert方法还有点摸不到头 版本对应的是LATEST-EAP-SNAPSHOT和datagrip2021.3.2应该是一致的
最后于 2021-12-20 19:18
被wcttt编辑
，原因：
|
|
|
确实，首先证书替换没有限制，和以前一样，只是修改了对证书的验证方式，不用java.util.Arrays.equals()方法了，再就是你的说的metadata验证。
最后于 2021-12-20 20:41
被guduzhe编辑
，原因：
|
