运行在 Windows 7 的小软件限制注册使用问题

[QvQloli77]

第一次使用由于是新设备，软件可注册账号 1-2 次。第 3 次以后不允许在这台设备注册账号了。

软件大小只有几兆 MB ，需要联网，它运用了什么原理限制注册的？封的是 CPU 、MAC 、硬盘设备码吗？

在虚拟机 Win7/10 ，运行 2 后次，还原虚拟机也是被限制注册。但有个好消息是，虚拟机中一个操作系统备份了 1 年时间上运行，还原到这个备份了 1 年的系统上，就可以再次注册账号继续使用。

不排除软件生成了某一文件隐藏在深层次文件夹中，未被发现和删除，但清理了注册表还是无法再次注册。
所以，如何使用什么办法找到第一次软件运行，偷偷在系统里生成的这个软件？封设备码，三码合一这个可能性大吗？虚拟机改过 MAC 地址也是无效的。

[ysc3839]

新建虚拟机也不行吗？

[ysc3839]

另外最好能提供软件看看

[VIVIANSNOW]

新建虚拟机看看结果然后继续推理

[liyafe1997]

“还原虚拟机也是被限制注册”，理论上这一条就排除了“文件隐藏在深层次文件夹中”，因为还原虚拟机以后整个硬盘镜像都还原了。有可能是 MAC 地址，试试改下虚拟机网卡的 MAC 地址试试？

[chitaotao]

可以用 process monitor ，看看程序的行为，包括读写注册表和文件这种的

[wjx0912]

火绒剑也可以看到程序启动过程，读写了哪些文件，注册表

[seers]

发出来逆向看看

[iorilu]

能联网那就是将信息, 次数发送到服务器了阿

至于用的啥信息限制, 反正 mac, 硬盘码等不变的信息都是可以的, 即使用虚拟机也可以检测出原系统信息的把, 并不是说
虚拟机就能隐藏一切, 很多软件都可以检测是否虚拟机运行的

[zhq566]

如果没壳，用 OD 、x32dbg 在这几个相关系统函数下断再追出来改掉就好了。

[crisrock]

让我奇怪的是，为什么“还原到这个备份了 1 年的系统上，就可以再次注册账号继续使用”

[JamesR]

@crisrock #10 我猜是硬盘 ID 之类，换硬盘就又可以注册了，Office 激活就是和硬盘有关的。

[leungzw246]

硬件组合生成机器码，服务器验证

[forty]

用 sandboxie 运行, 就知道改写了什么

[liyafe1997]

@iorilu 虚拟机检测不出原系统系统，只能检测是否虚拟机运行，对 QEMU 这种模拟器是一点办法都没有。

[QvQloli77]

@ysc3839 你懂程序或者逆向可以提供。新建虚拟机行，备份虚拟机 1 ，第一次行，没问题，再还原到新建的虚拟机上就不能继续用了

[QvQloli77]

@liyafe1997 提问中说了，改 mac 无效。每次都新建虚拟机可以用，用之前备份虚拟机，在备份 2 上使用，再还原虚拟机，然后就不可使用。.exe 文件，直接复制就可以打开，需要注册

[QvQloli77]

@seers 邮箱

[QvQloli77]

@iorilu 每次新建虚拟机软件还可以用，用之前先备份，但用了后再还原到备份的，则无法继续使用，会弹窗，禁止注册。如果读取设备码，它是怎么能读到 cpu 码的

[QvQloli77]

@crisrock 还原到 1 年前备份的系统，可能就相当于是新建的虚拟机吧，每次新建虚拟机安装系统还是可以用的。但如果现在新建虚拟机，备份，使用，1 小时或者短暂时间，再还原到先前(现在)备份的，也是不能使用

[ysc3839]

@QvQloli77 我懂一点点逆向，没加壳啥的我可以看看

[crisrock]

@QvQloli77 #19 这确实有点意思，蹲个后续

[QvQloli77]

@ysc3839 可以，你留个邮箱私信我或者发给我。我给你发过去，看错文件大小了，是 77M 的 exe 文件。刚才又重复还原了一下虚拟机快照，又可以继续用了。顺便也教教我怎么逆向技术，感谢！

[QvQloli77]

@seers 邮箱

[QvQloli77]

@chitaotao process monitor 怎么看读写文件？下了不会用