[分享] Typora 授权解密与剖析

11月23日，Typora 正式发布 1.0 版本，进入了收费时代。

1.0 版本是一次性付费而非订阅的，只要支付人民币 89 元，可以在 3 台设备里使用。

Typora之于我

如你所见，这一篇文章就是使用Typora所写。自搭建个人博客起，Typora就成为了我主要的写作平台。

用惯了Markdown，WordPress的古腾堡编辑器没法满足我的需求，于是开始寻找替代品，最终的结果便是typora。

当然，多数人使用的原因不外乎以下

• 轻盈、干净
• 所见即所得
• 图床
• 主题、生态
• (beta)免费
• ……

如今，typora进入收费阶段，不乏使用者被迫迁移至其他写作工具上。

（不扯了官方话了）下面，我们来一探究竟。

敬告

请勿使用盗版，支持正版授权。

文中内容仅作学习和讨论，请不要从事任何非法行为。

由此产生的任何问题都将读者/用户（您）承担。

寻踪觅源

通过火绒剑监测行为日志

程序加载的一些模块

在Windows下，typora会记录日志至{UsersRoot}\AppData\Roaming\Typora\typora.log

能看到可疑的注册表操作记录

正版激活的注册项内容

尝试修改SLicense

重新运行软件后，从错误日志中发现调用栈暴露。

渐入佳境

这里关注到了app.asar

通过搜索引擎，尝试解包

npm install -g asar
asar extract {installRoot}/Typora/resources/app.asar workstation/outs

发现文件被加密

JavaScript不管是字节码还是明文脚本都会在运行时加载，结合模块列表寻找加载