我造了个带四层加密的假软件，半小时把它拆

昨晚我拿最近爆火的二进制分析工具 rea，测了测商业软件那套“核心加密、编译成 exe”的防护到底结不结实。

我先自己写了个靶子。核心代码 AES 加密，密钥拆成三份做字节变换，还加了 MAC 校验和哈希。最后塞进原生二进制和 asar 容器里，loader 重写了 require，磁盘上根本不留明文。

结果刚跑起来就露馅了。工具直接报出资源坐标，我按坐标一扒，源码以明文 UTF-8 完整躺在 PE 资源段里。编译成 exe 对保密性的贡献是零，它只是把源码搬了个家。拿到源码，按它的算法把密钥算回来，四层防护瞬间破防。

更离谱的是，manifest 和密文住在同一个容器里。我能改密文就能改 manifest，校验永远自洽。一行代码把 false 改成 true，重打包，付费功能直接解锁。

但这么改出来的破解版状态互相矛盾，反而成了厂商一抓一个准的指纹。凡是把信任的根交给攻击者保管的设计，强度上限在设计时就定死了。