关于Legacy License移除后的验证逻辑重构

[Soneoylys]

在2022.2以上版本的Editor中, Legacy License认证逻辑似乎被完全移除了, 是否应该考虑通过手动还原被移除的函数的方式来恢复破解的可能性; 而或是寻找其他可行方案?

[tylearymf]

在2022.2以上版本的Editor中, Legacy License认证逻辑似乎被完全移除了, 是否应该考虑通过手动还原被移除的函数的方式来恢复破解的可能性; 而或是寻找其他可行方案?

还原被移除的函数，这个是不可能的了，只能花点时间慢慢找对应的函数了，目前是能破解进去Unity了，但是显示不是Pro版本的，所以后面有空我再看看了

[Soneoylys]

还原被移除的函数，这个是不可能的了，只能花点时间慢慢找对应的函数了，目前是能破解进去Unity了，但是显示不是Pro版本的，所以后面有空我再看看了

感谢回复, 方便提供大致查找思路吗 例如自检的具体函数名, 我有时间也可以顺着尝试找找看

[tylearymf]

@Soneoylys https://wwt.lanzouv.com/iNIWF0e3ymti

[Soneoylys]

@Soneoylys https://wwt.lanzouv.com/iNIWF0e3ymti

谢谢您的资料, 使用x64dbg这种调试工具确实比用Hopper或Ghidra进行静态分析更方便
在尝试修改了2022.2.0b9及2022.2.0b11后, 发现貌似并不能成功启动Patch过的文件, 以下是两个版本的具体表现
b9版本仍尝试唤起Licensing Client, 之后自动结束进程, Editor同时自行退出
b11版本跳出错误窗口后迅速结束进程, 但没有尝试启动Licensing Client
已经确认所修改的Hex正确且没有offset错误 以上两个错误结束速度太快以至于无法抓到断点进行分析

我的时区在-8 可能无法及时回复issue, 如果我有进一步的发现 将在这里追加信息

[tylearymf]

@Soneoylys https://wwt.lanzouv.com/iNIWF0e3ymti

谢谢您的资料, 使用x64dbg这种调试工具确实比用Hopper或Ghidra进行静态分析更方便 在尝试修改了2022.2.0b9及2022.2.0b11后, 发现貌似并不能成功启动Patch过的文件, 以下是两个版本的具体表现 b9版本仍尝试唤起Licensing Client, 之后自动结束进程, Editor同时自行退出 b11版本跳出错误窗口后迅速结束进程, 但没有尝试启动Licensing Client 已经确认所修改的Hex正确且没有offset错误 以上两个错误结束速度太快以至于无法抓到断点进行分析

我的时区在-8 可能无法及时回复issue, 如果我有进一步的发现 将在这里追加信息

忘了跟你说了，要手动将 Editor\Data\Resources\Licensing\Client\Unity.Licensing.Client.exe 改名为 Unity.Licensing.Client.exe.bak 再断点调试。

[Soneoylys]

忘了跟你说了，要手动将 Editor\Data\Resources\Licensing\Client\Unity.Licensing.Client.exe 改名为 Unity.Licensing.Client.exe.bak 再断点调试。

已经修改成功, 静态分析后发现读入Pro的验证逻辑似乎使用了栈里的内容, 正在考虑是否是Licensing Client传入的
此外, 如果栈中有Licensing Client启动后生成的"脏数据", Editor似乎会直接Crash, 可能也是上面提到函数的问题
具体表现为修改后仍无法启动, 直到系统进行完全重启

[tylearymf]

忘了跟你说了，要手动将 Editor\Data\Resources\Licensing\Client\Unity.Licensing.Client.exe 改名为 Unity.Licensing.Client.exe.bak 再断点调试。

已经修改成功, 静态分析后发现读入Pro的验证逻辑似乎使用了栈里的内容, 正在考虑是否是Licensing Client传入的 此外, 如果栈中有Licensing Client启动后生成的"脏数据", Editor似乎会直接Crash, 可能也是上面提到函数的问题 具体表现为修改后仍无法启动, 直到系统进行完全重启

目前我清楚的是：LicensingClient与Unity间的通讯是明文的json数据，可以看看SendRequest这个函数，不过貌似有保护，我想的是直接hook掉这个函数 licensing::Module::HasEntitlements，让其默认返回一个固定结构对象，但是目前还不清楚EntitlementResultMap里面的结构

[Soneoylys]

目前我清楚的是：LicensingClient与Unity间的通讯是明文的json数据，可以看看SendRequest这个函数，不过貌似有保护，我想的是直接hook掉这个函数 licensing::Module::HasEntitlements，让其默认返回一个固定结构对象，但是目前还不清楚EntitlementResultMap里面的结构

是否应该考虑从Licensing Client入手? 导入debug后发现网络上报验证许可证的操作, 或许可以在关闭证书检查后通过网络重放跳过检查下发正确的json, 使用的证书类型是RSA4096, 加密方案是SHA384, 域名硬编码进了Binary, hook这个也许更方便

[tylearymf]

目前我清楚的是：LicensingClient与Unity间的通讯是明文的json数据，可以看看SendRequest这个函数，不过貌似有保护，我想的是直接hook掉这个函数 licensing::Module::HasEntitlements，让其默认返回一个固定结构对象，但是目前还不清楚EntitlementResultMap里面的结构

是否应该考虑从Licensing Client入手? 导入debug后发现网络上报验证许可证的操作, 或许可以在关闭证书检查后通过网络重放跳过检查下发正确的json, 使用的证书类型是RSA4096, 加密方案是SHA384, 域名硬编码进了Binary, hook这个也许更方便

Client好像加了vm保护，你可以试试能不能改

[Soneoylys]

Client好像加了vm保护，你可以试试能不能改

是的 看起来被摆了一道, 我尝试用Debugger找OEP, 但是被Kernal32的一个Detect Debugger方法给弹出去了, 有个百试百灵的方法是用QEMU+GDB, 不过看样子这个Client主程序唤起了其他线程, 如果去追的话还要考虑Dump出的内存里存在太多无用数据查找麻烦的问题, 误判了工作量, 这样看起来还是继续追现成的函数相对没那么复杂

[Soneoylys]

还原被移除的函数，这个是不可能的了，只能花点时间慢慢找对应的函数了，目前是能破解进去Unity了，但是显示不是Pro版本的，所以后面有空我再看看了

找到一个新问题, 在导入Package的时候, Package Manager会提示 "The following packages were not registered because your license doesn't allow it." 目前暂未找到解决方案, 考虑是因为未找到license时无法安装任何Package

[tylearymf]

还原被移除的函数，这个是不可能的了，只能花点时间慢慢找对应的函数了，目前是能破解进去Unity了，但是显示不是Pro版本的，所以后面有空我再看看了

找到一个新问题, 在导入Package的时候, Package Manager会提示 "The following packages were not registered because your license doesn't allow it." 目前暂未找到解决方案, 考虑是因为未找到license时无法安装任何Package

是的，需要在某个地方填充个license数据进去

[kxn]

忘了跟你说了，要手动将 Editor\Data\Resources\Licensing\Client\Unity.Licensing.Client.exe 改名为 Unity.Licensing.Client.exe.bak 再断点调试。

已经修改成功, 静态分析后发现读入Pro的验证逻辑似乎使用了栈里的内容, 正在考虑是否是Licensing Client传入的 此外, 如果栈中有Licensing Client启动后生成的"脏数据", Editor似乎会直接Crash, 可能也是上面提到函数的问题 具体表现为修改后仍无法启动, 直到系统进行完全重启

目前我清楚的是：LicensingClient与Unity间的通讯是明文的json数据，可以看看SendRequest这个函数，不过貌似有保护，我想的是直接hook掉这个函数 licensing::Module::HasEntitlements，让其默认返回一个固定结构对象，但是目前还不清楚EntitlementResultMap里面的结构

一般来说如果遇到有保护，可以去看看mac版本的静态逆向，也许能做个 fake client ？

[Soneoylys]

目前我清楚的是：LicensingClient与Unity间的通讯是明文的json数据，可以看看SendRequest这个函数，不过貌似有保护，我想的是直接hook掉这个函数 licensing::Module::HasEntitlements，让其默认返回一个固定结构对象，但是目前还不清楚EntitlementResultMap里面的结构

一般来说如果遇到有保护，可以去看看mac版本的静态逆向，也许能做个 fake client ？

我对静态分析Client不报乐观态度, 不过如果用QEMU+GDB打断点找OEP之后脱壳出VMP的话, 也许可以试试看
不过如果脱壳了之后我是更倾向于直接改而不是逆向通信协议
在没有脱壳的情况下要去逆向通信协议是比现有思路更困难的

[kxn]

所以说去看 mac 版本的， win 下面保护的手段太多了。 mac 版本因为他自己的一些特性，符号没法 strip 干净，加壳大概率也不会有，当然我确实没有自己去看过。。