春节期间，看到某视频平台上直播间在售卖一个量化指标系统，看着很是神奇，可以使用体验3天，看着很是高大上，看着主播滔滔不绝的讲解，很是诱人。（本人是从不相信天上掉馅饼的事情的，特别是股市期货市场，如果你有一个绝招可以挣钱，闷声发财就行了，为什么会拿出来分享呢），在网络上搜索相关的内容也很少，有人1W米出售源码，证明加密确实做的不错。一时技痒，忍不住拿来研究一番。

总体的逻辑是，将指标公式二次加密，客户端身份验证通过后，启动WH行情软件，通过进程注入，将公式解密，同时屏蔽行情软件的指标管理器功能。

正常的加密指标

加密的量化指标

既然是定制化的加密，直接破解难度很大，客户端的身份验证也是通过验证，反调试也是一套一套的，很是麻烦。

作为外挂系统，数据总要解密，行情交易软件才能正常读取试用，找到该系统的核心DLL whnloader.dll，也就是注入到WH行情软件中。
经过分析在DLLMAIN函数中发现了端倪，该DLL是对CreateFileA、ReadFile、WriteFile三个API函数下了钩子

一切的数据处理都是在HOOK后的函数中处理，如最关键READFile，sub_1800058E0

该函数接管ReadFile后先判断，文件的头部是否有加密的特征数据，符合要求，同时又进行了一番时间校验和反调试判断，才进行解密。
数据处理的逻辑清楚了，想拿到源码就简单了。

解决思路

写一个DLL，也注入到行情软件中，依次执行读取二次加密文件的动作，自然就触发了ReadFile,因为这一切都是在系统中运行，也就理所当然的拿到解密后代码了，因为系统对WriteFile也下了钩子，可以将数据发送到进程外面保存即可。

获取到数据

看到了标准的系统加密数据
想看源码，没有查看密码，这也容易
在公式管理器中输入错误密码，在主程序模块中，查找字符串"密码输入错误,可能有多个地方，断点跟踪一下，就找到了

剩下就一切水到渠成了。

示例中二次加密的指标公式就一行代码。
DRAWBKBMP(1,'说明书');

看到代码，你还觉得神奇吗？