本帖最后由 蛀牙の小蓝 于 2026-5-21 09:57 编辑
又鸽了一段时间，刚好最近捣鼓了星云这个梯子，用着速度还行，就分享出来。
看论坛有其他人说是自慰破解，让我们一起康康。
去官网下载原包，没有加固是很好的开始
安装启动后会发现，现在已经没有游客体验模式了，以前老版本不登陆时是可以免费体验一天的，现在是强绑用户，新用户注册会送三天游客体验。
所以现在解题思路只能放在登陆后解锁游客体验(不登陆已经尝试过，启动会提示启动失败1001，应该是有登录态的校验)
那我们就先抓登录接口：/session/loginWithSessionIdAnd
发现返参被加密了，那我们就只能祭出军哥神器算法助手了，将加密算法打开重新启动app后，观察日志
我们获取到了关键的
密钥：MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAxCQdgKjghHbkro+gWNe98q61zCSzppOGrJsje5vH5Q4yjJgiNU9hrAj6Rr3oAfe+lZyR5y8bxKcVj/Ca7LM5bwlRD5IotKo1c5zNQ/Iuqoym7x5t5B/ZBOpSRw/W+u4p0GEZ+1ZIUhewO/BM2EsuiD9AKaMr1H4nBBMsNCEU2Sc+p8sn3ettVSTX6QgxB7qsyyOMggL4nKa2vaohk3fyeIVVllKteGlacK7xhlzFDO3340Z5Ep80CidXAr1a5ColjdMMP/oszq4/iGxY/ZxOq7d6NTmJSu3DuuSdpwha+Mu7A1wcQiyC8oxwSBySTY6QQpsftnasLWP9Y2cXRg8PpwIDAQAB
签名值：lifeisfantastic
将数据丢该ai让其帮忙生成一个解密脚本解密后发现：只能解密code无法解密msg，难道用的不是同个密钥么？（重新将算法助手抓到的其他疑似的密钥都试过都不对
既然接口返参的解密可能用到两个密钥，那code解密的地方指不定可以找到msg密钥的蛛丝马迹，我们将code的解密密钥进行查询可发现只有一个地方匹配
转化成java可发现疑似msg的解密密钥
重新将新获取的密钥丢给ai重新生成解密脚本，不错不错，这会总算能正常解密出明文了。（有ai写脚本真的节省了很多时间
不过ai提供的脚本不方便调试，重新调整了下脚本，直接复制整个返参就可以解密出具体响应明文。
既然已经有解密脚本了，我们就可以观察登录接口返参了，如下是之前花了三天时间(中间等游客体验3天过期)观察的所有返参如下
新注册未激活游客体验：
- {"code":200,"email":"xxxxxxxx@qq.com","userId":"xxxxx-xxxx-xxxx-xxxx-xxxxxxxxxx","sessionExpireTime":2093570686,"userStateCode":3,"website":"https://h.dlaohifkiexpywzvnaa.store","defaultApi":"https://rev1.nebulabinaryproxy.win"}
- {"code":200,"email":"xxxxxxxx@qq.com","userId":"xxxxx-xxxx-xxxx-xxxx-xxxxxxxxxx","sessionExpireTime":2093571845,"freeTrialStartedAt":1778211820,"freeTrailDuration":259200,"userStateCode":4,"website":"https://h.pldyozixrziwehpaadrz.site","defaultApi":"https://rev1.nebulabinaryproxy.win"}
- {"code":200,"email":"xxxxxxxx@qq.com","userId":"xxxxx-xxxx-xxxx-xxxx-xxxxxxxxxx","sessionExpireTime":2093822183,"freeTrialStartedAt":1778211820,"freeTrailDuration</font>":259200,"userStateCode":5,"website":"https://h.dlaohifkiexpywzvnaa.store","defaultApi":"https://rev1.nebulabinaryproxy.win"}
- {"code":200,"email":"xxxxxxxx@qq.com","userId":"xxxxx-xxxx-xxxx-xxxx-xxxxxxxxxx","sessionExpireTime":2093843069,"userStateCode":6,"website":"https://h.dlaohifkiexpywzvnaa.store","defaultApi":"https://rev1.nebulabinaryproxy.win"}
从上述的日志不难发现，userStateCode是判断客户状态的，freeTrailDuration则是判断过期时间，在客户的userStateCode为3或者6的时候是没有返回的。
这样就能解释为何有人破解的时候改了过期时间但还是显示的游客体验过期，因为服务端并没有返回freeTrailDuration修改的话得再往上一层修改或强行写入
备注：代理服务列表也有拉出来对比了下，它也是有返回userStateCode字段的，不过这个改不改好像不影响使用就是了。
现在确定目标就是修改：/session/loginWithSessionIdAnd接口的返参userStateCode和freeTrailDuration
开始定位修改：
全局搜索接口【/session/loginWithSessionIdAnd】，非常好只定位到一个地方
发现接口回调类，定位过去
可以发现关键字段，往下定位该方法中哪里对其引用，修改其数值即可
可以发现，userStateCode的判断这里会调用h方法进行全局用户状态更新，freeTrailDuration的判断这里会对freeTrialStartedAt和freeTrailDuration进行赋值
具体如何修改就各位各显神通了。
修改userStateCode：类名完全匹配搜索方法 com.locklayertech.astral.qs.h()
这里为何要加上eqz判断呢？因为如果强行赋值4的话，会导致首次启动的时候被识别为4登录态，就导致没有登录入口，服务启动又启动失败1001，进入死循环了！
修改freeTrialStartedAt和freeTrailDuration：类名完全匹配搜索 com.locklayertech.astral.Ur.j()
将判断删除对f和g进行固定赋值
在修改freeTrialStartedAt和freeTrailDuration的时候发现，com.locklayertech.astral.KK下有两个校验方法
一个是免费试用过期判断r()，一个是游客体验过期判断t() ，这两个方法不修改其实不影响app使用
不过在交互上会导致首次启动登陆后，需要杀掉两次进程，主页面的登录态和试用剩余时间才能正常刷新出来，如果修改后只需要杀掉一次进程页面数据就能正常加载了。
修改过期判断，类名完全匹配搜索方法com.locklayertech.astral.KK，找到r()方法和t()方法，清空代码即可
至此完工，首次登录剩余时间可能无法正常加载，杀掉进程(强行停止)重新进入即可正常刷新剩余时间，如下是效果图
经测试，发现一个小BUG，在一台手机上启动代理后杀死进程后重新启动，虽然代理保持连接但无法进行关闭代理操作，切换代理服务功能则是正常的，只能通过杀掉进程进行关闭。不过这个问题在另一台设备上没有发现，杀进程启动也能正常进行启动和关闭的。不清楚是不是包的问题还是设备兼容问题，不过无伤大雅就是了
解密py脚本和修改后的dex放这里了，有需自取，原包就不发了，自个动手丰衣足食（我才不会说是因为直接发原包会被网盘河蟹呢
https://share.feijipan.com/s/awawfGdx
直接替换dex文件即可，版本一定得是最新的v1.9.2，其他版本自行修改哈不保真(谷歌搜索星云，别直接去谷歌Play下载，好像不是同个版本
叠个甲甲甲甲甲甲甲
免责声明：本教程也仅供技术交流，无不良影响，无引流推广，仅提供逆向思路。如若违规，还请管理大大手下留情！
|
苏公网安备 32010602011309号
|
苏ICP备19064627号
变色卡
