首先，需要根據(jù)吾愛大神提供的方法，去掉uTools對(duì)app.asar的驗(yàn)證https://www.52pojie.cn/forum.php?mod=viewthread&tid=1910115，這是一切的根本

剪貼板分析

這個(gè)插件是uTools官方提供的剪貼板增強(qiáng)插件，能夠自動(dòng)保存剪貼板數(shù)據(jù)，不過數(shù)據(jù)的存儲(chǔ)是加密的，數(shù)據(jù)目錄在C:\Users\Administrator\AppData\Roaming\uTools\clipboard-data

可以輕松看到，儲(chǔ)存的是密文

通常在仿真后，通過uTools就可以讀取到剪貼板的歷史數(shù)據(jù)，但是對(duì)于非會(huì)員來說，有100的條數(shù)限制，無法再往前更多。

在數(shù)據(jù)量較少的情況下，可以直接查看，超過100條時(shí)，可以在data文件中刪除部分記錄，以達(dá)到查看的目的。

又或者是按照上面吾愛的文章，進(jìn)行破解，直接解鎖會(huì)員功能，慢慢翻。

但是上面的方式無法有效地對(duì)數(shù)據(jù)進(jìn)行提取，所以我們最終還是需要解密數(shù)據(jù)。

加密分析

雖說剪貼板是一個(gè)需要額外下載的插件，但是核心代碼是存儲(chǔ)在app.asar中的，而插件只是用于進(jìn)行數(shù)據(jù)交互和界面展示。

因此需要對(duì)app.asar進(jìn)行解包asar extract app.asar .\app

解包后將js代碼交給瀏覽器格式化，查找剪貼板相關(guān)的代碼，可以定位到讀取函數(shù)

跟一下T，得知這是一個(gè)aes解密函數(shù)，模式是AES-252-CBC，IV是UTOOLS0123456789，密鑰由S().getLocalSecretKey()生成

而S又是通過引入addon來創(chuàng)建的

這里的addon其實(shí)就是引入了一個(gè)二進(jìn)制的依賴

但是我對(duì)二進(jìn)制逆向并不是很熟，同時(shí)這又不是常見的編譯方式，所以就留個(gè)坑吧，說不定就有再戰(zhàn)剪貼板了！

由于之前已經(jīng)根據(jù)吾愛上的文章去除了app.asar的校驗(yàn)，所以我這里直接將密鑰輸出到文件

重新打包asar pack app app.asar并重新運(yùn)行uTools，即可找到密鑰（由于權(quán)限問題，文件的生成位置還可能在C:\Users\Administrator\AppData\Local\Programs\utools下）當(dāng)然你用everything插件直接搜索就可以了

這時(shí)我們可以對(duì)加密的數(shù)據(jù)進(jìn)行解密了

工程化

我把解密部分集成到了GitHub - WXjzcccc/ForensicsTool: 簡(jiǎn)單的取證工具中，可以直接使用，也提供了獲取密鑰所需的補(bǔ)?。▽?duì)應(yīng)的文件替換即可，僅用于獲取密鑰，沒有破解會(huì)員，僅限在檢材仿真環(huán)境中操作！）

這樣你就可以找到密鑰了

找到密鑰之后使用ForensicsTool進(jìn)行分析

剪貼板中記錄的圖片與data文件同目錄，以hash值為對(duì)照，添加后綴即可打開