内容摘要：凌晨两点，我盯着IDA里那个反汇编窗口，光标停在一条`jz`指令上。条件跳转，如果ZF标志位为1，就跳到0x4012A0。逻辑上这里不该跳，但程序偏偏跳了。我改了一个字节，把`74`改成`75`，再运

凌晨两点，逆向破解我盯着IDA里那个反汇编窗口，逆向破解光标停在一条`jz`指令上。逆向破解条件跳转，逆向破解如果ZF标志位为1，逆向破解就跳到0x4012A0。逆向破解逻辑上这里不该跳，逆向破解但程序偏偏跳了。逆向破解我改了一个字节，逆向破解把`74`改成`75`，逆向破解再运行，逆向破解注册窗口弹出了“Welcome”。逆向破解这就是逆向破解逆向破解，最原始的逆向破解快感——不是写代码，是逆向破解改写别人的命运。

很多人以为破解需要高深的内核知识，其实大部分时候，你只需要理解三个东西：程序怎么读输入，怎么比较，怎么决定下一步。拿一个共享软件举例，它让你输入注册码，然后算个哈希，和你输入的字符串比对。比对的结果存在某个寄存器里，最后根据这个寄存器决定是跳转到成功分支还是失败分支。你不需要看懂整个算法，只要找到那个关键跳转，改掉它，程序就认输了。

但真正的破解不是这么粗暴的。早些年我试过破解一个老外的CAD插件，它用RSA签名验证授权文件。改跳转没用，因为程序启动时会先验证签名，验证失败直接退出，连界面都不给你。那时候我翻了两天资料，最后发现它在验证完签名后，会把一个布尔值存到全局变量里，后面所有功能都检查这个变量。我没去碰签名验证，直接在内存里搜索那个全局变量的地址，每次启动后手动把它改成1。程序照常运行，只是每次开机都要用调试器挂一下。后来我写了个小工具，注入进程，自动patch。那感觉比改跳转爽多了——你不是在骗程序，是在跟它玩心理战。

逆向教会我最重要的一件事：所有软件都是人写的，人就会犯错。不是算法上的漏洞，而是信任上的漏洞。程序员信任了某个函数不会返回异常值，信任了某个全局变量不会被外部修改，信任了用户不会去翻你的汇编代码。破解者恰恰利用这种信任。我见过一个加密狗程序，它把验证结果写在注册表里，每次启动读取，如果值是0就拒绝运行。我直接把那个键值改成1，它信了。它甚至没检查注册表项是否存在——因为正常情况下加密狗驱动会创建这个项。我连驱动都没碰，就赢了。

也有翻车的时候。有次破解一个游戏外挂，它用了VMProtect虚拟化保护，所有关键代码都变成了虚拟机指令，IDA里看到的全是乱流。我折腾了一周，最后在它加载驱动的入口处下断点，发现它把真正的逻辑放在一个内核线程里，用户态只留了个通信管道。我没法patch内核代码，只能模拟它的通信协议。那周我抽了两包烟，最后写了个假客户端，骗过外挂的握手验证。但外挂本身还是没破解成功——它每次启动都会从服务器拉取最新的配置，我截获了数据包，发现里面用了动态密钥，每次会话都不同。我放弃了。承认失败也是一种逆向，逆向的是自己的耐心。

现在回头看，破解这个行为本身，其实是在拆解一种信任结构。你信任软件开发者会保护他的代码，开发者信任运行环境不会篡改它。但代码一旦落到你的硬盘上，它就裸奔了。没有绝对的安全，只有相对的成本。我后来转做安全研究，给厂商报漏洞，有些人感谢我，有些人骂我。骂我的人说我在教人作弊。我说，我只是把事实摆出来，你自己决定信不信。程序也一样，它信了那个`jz`，所以它输了。