【技术分享】工学云定位打卡工具 ( 去版本失效 )

简介

蘑菇钉打卡工具，它是个32位程序是用易语言写的，主要针对学工云实习打卡，之前实习的时候打比赛去了所以免实习了，但这个软件我也用过一下，主要填写账号和密码能够自定义打卡位置定时打卡之类的，看了下原理是利用Web官网的API进行提交自定义位置来欺骗服务器实现的。

今天看到群里说失效了，但我觉得是没钱赚关掉了而已，只会弹出个失效窗口然后关闭程序，对普通人来说就是用不了，反正没事给群友做点好事吧。

程序分析

通过IDA分析发现，有部分是学工云web上的API接口，直接进去看代码的实现逻辑。

这里用了官方的登录接口，来获用户取关键返回信息进行下一个打卡API的参数提交。

这里是定义的参数，可以发现 lastAddress 这个参数如果猜的不错的话，就是最后位置如果错了就当我没说，主要目的是来去弹出的，说点废话凑点页数而已（哈哈哈）。

弹窗去除

正常运行的情况下，是进不去的这个软件是完全关闭了，直接用x64dbg去下弹窗吧。。。

最简单的办法就是，字符串搜索了在主模块中进行搜索，可以右键选择也可以 shift + d，看到什么字符串就搜什么吧，这里我搜的是 版本失效。

0040D36C | 0F84 3E000000| je 0x40D3B0    |
0040D372 | BB 06000000  | mov ebx,6      |
0040D377 | E8 883CFFFF  | call 0x401004  |
0040D37C | 68 01030080  | push 80000301  |
0040D381 | 6A 00        | push 0         |
0040D383 | 68 00000000  | push 0         |
0040D388 | 68 04000080  | push 80000004  |
0040D38D | 6A 00        | push 0         |
0040D38F | 68 9D044D00  | push 0x4D049D  | 4D049D:"版本已失效，请进通知群687082138更新"
0040D394 | 68 04000000  | push 4         |
0040D399 | BB 40934100  | mov ebx, 0x419340 |
0040D39E | E8 859E0000  | call 0x417228  |
0040D3A3 | 83C4 34      | add esp,34     |
0040D3A6 | 6A 00        | push 0         |
0040D3A8 | E8 9F9E0000  | call 0x41724C  |
0040D3AD | 83C4 04      | add esp,4      |

找到 je 改成 jne 就不跳转到弹窗代码上了，也就正常运行软件了。

好啦然后打个补丁，软件就可以出院啦，经过测试是可以正常打卡的，我的猜测是正确的。。。