逆向高难度飞鸟加速 电脑版

前言

本次分析对象是一款基于 Tauri + WebView2 构建的 Windows 客户端。程序界面资源并不位于普通目录中，而是以 Brotli 压缩形式嵌入 EXE，同时还存在现代版、Legacy 版两套前端资源。

目标包括：

• 修改程序名称、公司信息和版权信息
• 将官网固定为 https://www.jta.mobi
• 修改首页、关于页面和窗口标题
• 替换程序图标
• 避免原始更新公告重新显示旧品牌信息
• 保留原始文件并生成独立副本

样本信息

文件：飞鸟加速.exe
版本：2.3.5
大小：19,452,416 bytes
SHA-256：
B953D6DB47CF389DB57044A5B78458E69F84AC71C6A9DD9D6613ACAF34280E54

目录中还存在独立的 core.exe、Clash 数据文件、Web UI 和 wintun.dll。这说明主程序主要负责界面、配置和进程管理，实际网络核心由 core.exe 承担。

嵌入资源结构

搜索 /assets/ 标记后，可以在 EXE 中找到完整的 Vite 资源名称。关键资源如下：

资源标记后紧跟 Brotli 数据，实际压缩长度保存在另一处 QWORD 字段中。修改流程为：

compressed_size = struct.unpack_from("

新压缩数据必须小于预留槽位，剩余空间使用零字节填充。

官网修改

首页原逻辑从服务器配置读取官网：

CommonRepository.getInstance()
  .getServerConfigFromLocal()
  .data.officialWebsite

显示网址和点击网址使用了两个不同表达式，其中一个还经过 unref() 包装。因此必须同步修改，否则会出现“显示新网站，点击仍打开旧网站”的情况。

最终两处均固定为：

"https://www.jta.mobi"

首页文案修改为：

剑庭安破解维护：www.jta.mobi

现代版和 Legacy 版资源均完成相同处理。

关于页面

AboutView 同样从远程配置读取官网，并通过 appService.getName() 和 getVersion() 获取名称及版本。

修改后信息为：

品牌：剑庭安编程技术
版本：v2.3.5 破解维护版
官网：https://www.jta.mobi
Copyright © 2026 剑庭安编程技术

关于页面的 Logo 点击行为也从原始控制台地址调整为新官网。

原生窗口标题

只修改 PE 的 ProductName 并不会改变 Tauri 原生窗口标题。进一步检查发现，原始名称以 Rust 内联字符串形式分成两段写入：

飞鸟加速：12 字节 UTF-8

为了保持机器指令长度不变，使用同为 12 字节的名称替换：

飞鸟加速 -> 剑庭破解

样本中共有三个原生名称片段，全部替换后，任务栏和窗口标题均显示“剑庭破解”。

PE 资源修改

通过 Windows BeginUpdateResourceW、UpdateResourceW 和 EndUpdateResourceW 重建版本资源，并写入：

ProductName：剑庭安网络加速破解免登录版
FileDescription：剑庭安网络加速破解免登录版
CompanyName：剑庭安编程技术
OriginalFilename：剑庭安网络加速破解免登录版.exe
Comments：官方网站：https://www.jta.mobi

图标部分同时更新 RT_ICON 和 RT_GROUP_ICON。只替换单个图标资源会导致资源管理器、任务栏或小尺寸列表继续显示旧图标。

更新与公告处理

启动测试时发现远程更新弹窗和公告页面仍会显示原始网站。处理方式包括：

•  
• 内部更新比较版本调整为 9.9.9
•  
• 关于页面继续显示基础版本 2.3.5 破解维护版
•  
• 公告缓存读取返回空数组
•  
• 公告在线加载入口提前返回
•  

这样既保留了实际基础版本信息，也避免旧公告重新覆盖当前品牌界面。

最终结果

输出：剑庭安网络加速破解免登录版.exe
窗口标题：剑庭破解
最终 SHA-256：
495DCC06C64A13AA82E193430F6F8066B66114F13B8A3B68D1380389D9E449C5