[原创]对PCHunterV 1.57授权的逆向分析-逆向工程-看雪安全社区

# 前言
众所周知，PCHunter是一款前沿的AntiRootkit软件，是我们查看系统信息的好伙伴。然而在不久前，我发现之前申请试用的授权已经到期了，我发现这一点也不cool。这才有了这篇文章.
 ![](upload/attach/202203/768770_KGV5WTXUBNTMZG6.png)
 ![](upload/attach/202203/768770_YT6MKQ8FRPGXMHU.png)
* * *
# 初探
###### 程序名:pchunter64.exe
###### 版本:V1.57 64位程序 固定基址:0x000140000000
###### MD5:5E8E043EE6AD5D62DCDA7445367672C7
###### SHA1:EB0F8979FBFB0EB803ABC5BECD3B0B3286FE131D
###### Exeinfo:Microsoft Visual C++ v12 - 2013 - ( x64 ) <mark class="encrypted">343K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3#2A6j5%4u0G2M7$3!0X3N6q4)9J5k6h3y4G2L8b7`.`.</mark> (exe 4883ec28/48) - no sec. CAB/7z [ *Win Vista ] , Overlay : 384400... Nothing discovered
软件64为程序，能够正常被x64dbg加载或附加，无反调试功能
* * *
# 分析
软件采用的是license文件注册的方式，license的文件名是pchunter.ek,尝试用notepad++打开，发现一串长度为256的注册码

```
B63E065F31A65170C7DD99538A7AB937CC9742B392A81E49327C26E74FB6F10FCCFF22E0278F11685E7B04010B3BAB00CCFF22E0278F11685E7B04010B3BAB00400AAB14BCF37048C028C5F498E990F44DF556BC4F347975F048AFCBBB87942A1722F48B7784D578693ED0C055B3EC878A096DEADC93133D26CE32DBAC9B9487
```
可以合理猜测注册方式是读license文件里的注册码，然后进行一系列的解密运算得到授权时间等相关信息，以供程序进行授权检测。那我们的方向就很简单了，对程序下CreateFile 断点，使程序断在参数是license路径的地方，通过栈回溯，发现在0x000000014007282C处调用，之后接着调用GetFileSize、ReadFile等API。很明显，我们找到关键位置了。
 ![](upload/attach/202203/768770_8F36U7ZQE3M8CGN.png)
那我不装了，直接上IDA吧！
通过动静结合的分析，我锁定了验证license的函数在 **sub_14007C570 **里。
 ![](upload/attach/202203/768770_EK2DXSTWNCXE3Q7.png)
        其中**sub_140072720**从授权文件读取0x200个字节并做了相关的运算,v21从0x200变成0x100，但是**sub_1400435F0** 进行解密操作的时候buffer还是原来的，并没有截断的操作。因此我没有具体分析**sub_140072720**函数，有兴趣的同学可以试着分析一下，看看里面做了什么运算。我重点分析的是**sub_1400435F0**函数。分析情况如下：

```
__int64 __fastcall sub_1400435F0(__int64 pInputbuffer, int a2, FILETIME *a3, _DWORD *a4, FILETIME *a5, _DWORD *a6)
{
  __int64 nKeyLen; // rbx
  char *v10; // rax
  __int64 v11; // rcx
  int nIndex; // er10
  char *pOut; // r8
  unsigned int i; // er9
  BYTE v15; // dl
  unsigned __int8 v16; // cl
  __int64 result; // rax
  int pOutBuffer[124]; // [rsp+20h] [rbp-358h] BYREF
  DWORD aKey[8]; // [rsp+210h] [rbp-168h] BYREF
  char v20[80]; // [rsp+230h] [rbp-148h] BYREF
  DWORD v21; // [rsp+280h] [rbp-F8h]
  int v22; // [rsp+284h] [rbp-F4h]
  DWORD v23; // [rsp+288h] [rbp-F0h]
  int v24; // [rsp+28Ch] [rbp-ECh]

nKeyLen = -1i64;
  if ( a2 != 0x100 || !pInputbuffer ) //对输入的参数进行验证
    return 0xFFFFFFFFi64;

//接下来这一段 Memset 0 一块0x80的空间
  v10 = v20;
  v11 = 2i64;
  do
  {
    *(_QWORD *)v10 = 0i64;
    *((_QWORD *)v10 + 1) = 0i64;
    *((_QWORD *)v10 + 2) = 0i64;
    v10 += 0x40;
    *((_QWORD *)v10 - 5) = 0i64;
    *((_QWORD *)v10 - 4) = 0i64;
    *((_QWORD *)v10 - 3) = 0i64;
    *((_QWORD *)v10 - 2) = 0i64;
    *((_QWORD *)v10 - 1) = 0i64;
    --v11;
  }
  while ( v11 );

// 1)第一次解密
  //对读进来的0x200大小的buffer进行第一次解密运算 得到0x80大小的buffer1，并且放到上面的初始化的空间中

*(_DWORD *)v10 = 0;
  nIndex = 0;
  pOut = v20;
  for ( i = 1; i < 0x101; i += 2 )
  {
    v15 = *(_BYTE *)((unsigned int)(2 * nIndex) + pInputbuffer);
    if ( (unsigned __int8)(v15 - '0') > 9u )
    {
      if ( (unsigned __int8)(v15 - 'A') <= 5u )
        v15 -= 0x37;
    }
    else
    {
      v15 -= '0';
    }
    if ( v15 > 0xFu )
      break;
    v16 = *(_BYTE *)(i + pInputbuffer);
    *pOut = 16 * v15;
    if ( (unsigned __int8)(v16 - '0') > 9u )
    {
      if ( (unsigned __int8)(v16 - 'A') <= 5u )
        v16 -= 55;
    }
    else
    {
      v16 -= '0';
    }
    if ( v16 > 0xFu )
      break;
    *pOut |= v16;
    ++nIndex;
    ++pOut;
  }
  if ( nIndex != 128 )
    return 0xFFFFFFFFi64;

// 2)AES解密
  //初始化AES解密的KEY
  strcpy((char *)aKey, "ShouJiErShiSiShi");
  BYTE1(aKey[4]) = 0;
  HIWORD(aKey[4]) = 0;
  sub_140043040();
  
  //计算Key的长度
  do
    ++nKeyLen;   
  while ( *((_BYTE *)aKey + nKeyLen) );
  
  //AES ECB 模式解密
  sub_140042B70((DWORD *)pOutBuffer, aKey, nKeyLen);
  sub_1400411E0((unsigned int *)pOutBuffer, (__int64)v20, (__int64)v20, 0x80u);
  result = 0i64;

//获取授权时间
  a3->dwLowDateTime = v21;
  *a4 = v22;       
  a5->dwLowDateTime = v23;
  *a6 = v24;
  return result;
}
```
   上面就是解密的相关流程，至于你问我为什么知道第二部分是AES解密，我只能说我在**sub_140042B70**里面发现了下面这一段特征
据说是一种AES 128 非标准实现的特征。
```
if ( (unsigned int)(nKeyLen + 24) > 4 )
  {
    v31 = pOutBuffer + 5;
    v32 = (unsigned int)(nKeyLen + 20);
    do
    {
      v33 = (2 * (*v31 & 0xFF7F7F7F)) ^ (27 * ((*v31 >> 7) & 0x1010101));
      v34 = (2 * (v33 & 0xFF7F7F7F)) ^ (27 * ((v33 >> 7) & 0x1010101));
      v35 = (2 * (v34 & 0xFF7F7F7F)) ^ (27 * ((v34 >> 7) & 0x1010101));
      v36 = v35 ^ *v31;
      v37 = sub_140043340(v36 ^ v34, 16);
      v38 = sub_140043340(v36 ^ v33, 8) ^ v37;
      ++v31;
      v31[59] = v33 ^ v34 ^ v35 ^ sub_140043340(v36, 24) ^ v38;
      --v32;
    }
    while ( v32 );
  }
```
   并且分析的过程中也没有发现iv的相关参数。那抱着试一试的心态，我就尝试用AES_ECB模式进行解密，还真让我解出来了。
程序buffer解密前后对比如下: 
解密前：
![](upload/attach/202203/768770_GX5T26PK6E2NC8W.png) 
解密后：
![](upload/attach/202203/768770_J2XKSVYY4SYRRP4.png)
通过分析，buffer[0x50]开始的16个字节的数据就是授权时间的信息。这个是UTC格式的时间，可以从验证授权时间的逻辑里面调用的API得到这个结论。
* * *
# KeyGen
讲讲思路吧。那就是对原授权解密的buffer中的buffer[50]做修改大小0x10的数据，然后用原密钥"ShouJiErShiSiShi"以 AES ECB模式进行加密。最后逆向第一轮解密的算法，生成符合要求的序列号就可以了。
这里就不放代码了，有兴趣的就自己分析写注册机，没有兴趣的就用我生成的授权文件吧。 ![](upload/attach/202203/768770_Q9USKGFG236XZ9B.png)
PS:AES加密可以用openssl，之前面试的时候面试官问我有了解或者用过这个库吗，我说没有，然而现在我可以说我用过了Zzz。
***
# 参考
没有参考，全靠自己分析。

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#调试逆向

上传的附件：

pchunter.ek （0.25kb，1071次下载）

最新回复 (20)
lionnnn 雪币： 5180 活跃值： (3055) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 251 粉丝 2 关注私信	lionnnn 2 楼现在有更新的pc hunter free吗？win10很多后续版本加载不了驱动了。 2022-3-11 12:22 0
yaoguen 雪币： 490 活跃值： (6814) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 153 粉丝 1 关注私信	yaoguen 3 楼这个软件支持win11吗 2022-3-11 12:38 0
flyingx 雪币： 10578 活跃值： (6861) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 145 粉丝 2 关注私信	flyingx 4 楼 win10很多后续版本加载不了驱动，能下载的V 1.57，也是不行 2022-3-11 14:35 0
lionnnn 雪币： 5180 活跃值： (3055) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 251 粉丝 2 关注私信	lionnnn 5 楼 flyingx win10很多后续版本加载不了驱动，能下载的V 1.57，也是不行官网有申请试用，你可以去试试能不能申请的到，估计更新的版本不对外开放了吧。 2022-3-11 15:09 0
咖啡_741298 雪币： 4 活跃值： (7880) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 162 粉丝 4 关注私信	咖啡_741298 6 楼 6666666 很实用 2022-3-11 15:18 0
0xC5 雪币： 3669 活跃值： (6185) 能力值： ( LV6，RANK：92 ) 在线值：发帖 7 回帖 71 粉丝 47 关注私信	0xC5 1 7 楼 lionnnn 现在有更新的pc hunter free吗？win10很多后续版本加载不了驱动了。目前好像支持1809以下的版本，我的系统一直停在1809没更新，所以这个软件对我来说还是很有用的 2022-3-12 16:25 0
hhkqqs 雪币： 15947 活跃值： (9192) 能力值： ( LV5，RANK：60 ) 在线值：发帖 13 回帖 174 粉丝 45 关注私信	hhkqqs 1 8 楼 0xC5 目前好像支持1809以下的版本，我的系统一直停在1809没更新，所以这个软件对我来说还是很有用的最多支持到1909，但更新补丁在20年之后的很可能会拉闸，不管版本号多旧都可能，包括win7 2022-3-12 23:49 0
luskyc 雪币： 248 活跃值： (3789) 能力值： ( LV2，RANK：10 ) 在线值：发帖 25 回帖 938 粉丝 11 关注私信	luskyc 9 楼 hhkqqs 最多支持到1909，但更新补丁在20年之后的很可能会拉闸，不管版本号多旧都可能，包括win7 不更新win11的路过 2022-3-12 23:58 0
pxhb 雪币： 8223 活跃值： (7431) 能力值： ( LV7，RANK：110 ) 在线值：发帖 11 回帖 432 粉丝 24 关注私信	pxhb 2 10 楼如果能支持后续的win10，其实付费也没问题的 2022-3-13 08:53 0
破解pj 雪币： 79 活跃值： (373) 能力值： ( LV11，RANK：195 ) 在线值：发帖 3 回帖 55 粉丝 4 关注私信	破解pj 1 11 楼 pyark不香吗 2022-3-13 11:43 0
xggd 雪币： 3335 活跃值： (4481) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 40 粉丝 1 关注私信	xggd 12 楼学到知识了 2022-3-18 10:33 0
daohaodaye 雪币： 6077 活跃值： (2191) 能力值： ( LV3，RANK：20 ) 在线值：发帖 16 回帖 113 粉丝 21 关注私信	daohaodaye 13 楼终于被破解了 2022-3-25 20:22 0
Lixinist 雪币： 9934 活跃值： (2554) 能力值： ( LV6，RANK：87 ) 在线值：发帖 13 回帖 350 粉丝 20 关注私信	Lixinist 1 14 楼 win10高版本用ydark 2022-3-25 21:40 0
快乐的小跳蛙雪币： 927 活跃值： (5387) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 87 粉丝 3 关注私信	快乐的小跳蛙 15 楼留名 2022-5-10 10:15 0
myymyy 雪币： 122 活跃值： (1992) 能力值： ( LV2，RANK：10 ) 在线值：发帖 45 回帖 125 粉丝 1 关注私信	myymyy 16 楼 lionnnn 现在有更新的pc hunter free吗？win10很多后续版本加载不了驱动了。作者为何放弃win10了？更新到win10 工作量很大么？ 2024-3-28 21:42 0
wowocock 雪币： 395 活跃值： (4025) 能力值： ( LV4，RANK：50 ) 在线值：发帖 4 回帖 301 粉丝 23 关注私信	wowocock 1 17 楼自己改改WIN11下直接用即可。 2024-4-11 13:42 0
sonyps 雪币： 6749 活跃值： (8758) 能力值： ( LV4，RANK：40 ) 在线值：发帖 33 回帖 393 粉丝 30 关注私信	sonyps 18 楼 wowocock 自己改改WIN11下直接用即可。怎么改的？ 2024-4-11 14:00 0
tianwenle 雪币： 34 活跃值： (2498) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 106 粉丝 0 关注私信	tianwenle 19 楼早都支持了 2024-5-5 09:00 0
mb_lemttiwh 雪币： 5 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_lemttiwh 20 楼我的显示驱动签名被吊销了，你的还能用吗哥们 2025-12-12 23:01 0
eovlve 雪币： 3 活跃值： (35) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	eovlve 21 楼现在官网打开都不是这个了 2026-7-8 13:37 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复