PixPin 会员门禁逆向记录#

正常状态下，PixPin 的部分功能入口会带一个 👑 图标，点击后会弹出升级 VIP 的提示；右键托盘图标里也能看到“升级为 PixPin”的入口。

表面上看，这是界面层的提示，但真正决定功能是否可用的，是后面的会员状态判断。

PixPin 主界面与会员提示

我这里分析的是 PixPin 3.1.4.0，顺着 IDA 里的链路往下看：fetchUserInfo 先发请求，回包进入 replyFinished，再往下是 loadFromJson，最后落到 isProUser / isVip。

顺序	关注点	目的
0	`fetchUserInfo`	找到请求入口
1	`replyFinished`	看回包如何写回状态
2	`loadFromJson`	追对象字段如何落地
3	`isProUser` / `isVip`	定位最终门禁

`fetchUserInfo`#

1
// 这个函数只负责把请求发出去：
2
// 1. 先检查当前用户状态是否有效
3
// 2. 通知上层开始拉取用户信息
4
// 3. 组装请求参数并调用 PixNetwork::get
5
// 4. 把 replyError / replyFinished 绑定回调接上
6
void __fastcall PixAuth::Application::fetchUserInfo(PixAuth::Application *this, char a2)
7
{
8
  __int64 v4; // rsi
9
  const struct QUrlQuery *v5; // rax
10
  int v6; // ebx
11
  __int64 v7; // rsi
12
  __int64 v8; // rax
13
  __int64 v9; // rax
14
  _BYTE *v10; // [rsp+50h] [rbp-49h] BYREF
15
  __int64 v11; // [rsp+58h] [rbp-41h] BYREF
16
  _BYTE v12[8]; // [rsp+60h] [rbp-39h] BYREF
17
  int v13; // [rsp+68h] [rbp-31h]
18
  __int64 v14; // [rsp+70h] [rbp-29h] BYREF
19
  _QWORD v15[2]; // [rsp+80h] [rbp-19h] BYREF
20
  _BYTE v16[8]; // [rsp+90h] [rbp-9h] BYREF
21
  _BYTE v17[8]; // [rsp+98h] [rbp-1h] BYREF
22
  _BYTE v18[8]; // [rsp+A0h] [rbp+7h] BYREF
23
  _BYTE v19[8]; // [rsp+A8h] [rbp+Fh] BYREF
24
  _BYTE v20[8]; // [rsp+B0h] [rbp+17h] BYREF
25
  _BYTE v21[8]; // [rsp+B8h] [rbp+1Fh] BYREF
26
  int v22; // [rsp+C0h] [rbp+27h]
27
  __int64 v23; // [rsp+C8h] [rbp+2Fh]
28
  void (*v24)(PixNetworkReply *__hidden, const struct QByteArray *); // [rsp+100h] [rbp+67h] BYREF
29
  __int64 v25; // [rsp+110h] [rbp+77h] BYREF
30
  __int64 v26; // [rsp+118h] [rbp+7Fh] BYREF
31

32
  LODWORD(v24) = 0;
33
  if ( PixAuth::UserInfo::isValid((PixAuth::Application *)((char *)this + 16)) )
34
  {
35
    // 先通知上层开始拉取
36
    PixAuth::Application::sigStartFetchUserInfo(this);
37
    if ( !byte_1803A20B4 )
38
    {
39
      // 同一轮请求只发一次
40
      byte_1803A20B4 = 1;
41
      v4 = PixNetwork::instance();
42
      v10 = v20;
43
      // 请求名固定就是 FetchUserInfo
44
      v11 = QString::fromAscii_helper("FetchUserInfo", 13);
45
      if ( a2 )
46
      {
47
        // a2 为真时附带 active=true
48
        v26 = QString::fromAscii_helper("active", 6);
49
        LODWORD(v24) = 1;
50
        v25 = QString::fromAscii_helper("true", 4);
51
        QString::QString((QString *)v16, (const struct QString *)&v26);
52
        QString::QString((QString *)v17, (const struct QString *)&v25);
53
        LODWORD(v24) = 15;
54
        v15[0] = v16;
55
        v15[1] = v18;
56
        v5 = (const struct QUrlQuery *)QUrlQuery::QUrlQuery(v19, v15);
57
        v6 = 31;
58
      }
59
      else
60
      {
61
        v5 = QUrlQuery::QUrlQuery((QUrlQuery *)v18);
62
        v6 = 32;
63
      }
64
      // 这里开始把临时参数整理成最终 query
65
      LODWORD(v24) = v6;
66
      QUrlQuery::QUrlQuery((QUrlQuery *)v12, v5);
67
      v13 = 30000;
68
      v14 = QMapDataBase::shared_null;
69
      QString::QString(v20, &v11);
70
      QUrlQuery::QUrlQuery((QUrlQuery *)v21, (const struct QUrlQuery *)v12);
71
      v22 = v13;
72
      v23 = v14;
73
      v14 = QMapDataBase::shared_null;
74
      // 真正发起请求
75
      v7 = PixNetwork::get(v4, v20, this);
76
      sub_1800737D0(&v14);
77
      QUrlQuery::~QUrlQuery((QUrlQuery *)v12);
78
      QString::~QString((QString *)&v11);
79
      if ( (v6 & 0x20) != 0 )
80
      {
81
        v6 &= ~0x20u;
82
        QUrlQuery::~QUrlQuery((QUrlQuery *)v18);
83
      }
84
      if ( (v6 & 0x10) != 0 )
85
      {
86
        v6 &= ~0x10u;
87
        QUrlQuery::~QUrlQuery((QUrlQuery *)v19);
88
      }
89
      if ( (v6 & 8) != 0 )
90
      {
91
        v6 &= ~8u;
92
        LODWORD(v24) = v6;
93
        sub_1801C18BC(v16, 16, 1, sub_1800751F0);
94
      }
95
      if ( (v6 & 2) != 0 )
96
      {
97
        LOBYTE(v6) = v6 & 0xFD;
98
        QString::~QString((QString *)&v25);
99
      }
100
      if ( (v6 & 1) != 0 )
101
        QString::~QString((QString *)&v26);
102
      // 错误回调
103
      v24 = PixNetworkReply::replyError;
104
      v8 = sub_1801C1984(0x18u);
105
      v15[0] = v8;
106
      if ( v8 )
107
      {
108
        *(_DWORD *)v8 = 1;
109
        *(_QWORD *)(v8 + 8) = &sub_180099BA0;
110
        *(_QWORD *)(v8 + 16) = this;
111
      }
112
      else
113
      {
114
        v8 = 0;
115
      }
116
      QObject::connectImpl(&v10, v7, &v24, this, 0, v8, 0, 0, PixNetworkReply::staticMetaObject);
117
      QMetaObject::Connection::~Connection((QMetaObject::Connection *)&v10);
118
      // 完成回调
119
      v24 = PixNetworkReply::replyFinished;
120
      v9 = sub_1801C1984(0x18u);
121
      v15[0] = v9;
122
      if ( v9 )
123
      {
124
        *(_DWORD *)v9 = 1;
125
        *(_QWORD *)(v9 + 8) = &sub_180099FB0;
126
        *(_QWORD *)(v9 + 16) = this;
127
      }
128
      else
129
      {
130
        v9 = 0;
131
      }
132
      QObject::connectImpl(&v10, v7, &v24, this, 0, v9, 0, 0, PixNetworkReply::staticMetaObject);
133
      QMetaObject::Connection::~Connection((QMetaObject::Connection *)&v10);
134
    }
135
  }
136
}

1. 回包更新：`replyFinished`#

通过分析 replyFinished 这个回调，我们可以先知道它负责的是解析回包并更新状态，而不是做最终判断。

上游的 fetchUserInfo 只是发起请求，真正的状态写回发生在这里；后面还要继续追对象字段怎么落地。

1
// replyFinished 做的事情很明确：
2
// 1. 解析回包 JSON
3
// 2. 检查有没有 userId
4
// 3. 更新用户状态
5
// 4. 如果 Pro 状态变了，再通知上层
6
void __fastcall sub_180099FB0(int a1, PixAuth::Application **a2, __int64 a3, __int64 a4)
7
{
8
  __int64 v5; // rax
9
  bool v6; // bl
10
  bool isProUser; // bl
11
  __int64 v8; // rax
12
  QMessageLogger *v9; // rax
13
  __int64 v10; // rax
14
  PixAuth::Application *v11; // rbx
15
  bool v12; // al
16
  __int64 v13; // [rsp+20h] [rbp-48h] BYREF
17
  _BYTE v14[8]; // [rsp+28h] [rbp-40h] BYREF
18
  _BYTE v15[16]; // [rsp+30h] [rbp-38h] BYREF
19
  _BYTE v16[40]; // [rsp+40h] [rbp-28h] BYREF
20

21
  if ( a1 )
22
  {
23
    if ( a1 == 1 )
24
    {
25
      // 先把回包转成 JSON
26
      v5 = QJsonDocument::fromJson(v14, *(_QWORD *)(a4 + 8), 0);
27
      QJsonDocument::object(v5, v15);
28
      QJsonDocument::~QJsonDocument((QJsonDocument *)v14);
29

30
      // 只有包含 userId，才继续更新内部用户信息
31
      v13 = QString::fromAscii_helper("userId", 6);
32
      v6 = QJsonObject::contains((QJsonObject *)v15, (const struct QString *)&v13);
33
      QString::~QString((QString *)&v13);
34

35
      if ( v6 )
36
      {
37
        // 更新前先记一次旧状态，方便对比 Pro 是否变化
38
        isProUser = PixAuth::UserInfo::isProUser((PixAuth::Application *)((char *)a2[2] + 16));
39
        // 把回包字段写回用户对象
40
        PixAuth::UserInfo::loadFromJson((PixAuth::Application *)((char *)a2[2] + 16), (const struct QJsonObject *)v15);
41
        v8 = sub_18009D4A0();
42
        sub_18009DA30(v8, v15);
43

44
        // 状态变化就通知上层刷新 token / UI
45
        if ( isProUser != PixAuth::UserInfo::isProUser((PixAuth::Application *)((char *)a2[2] + 16)) )
46
        {
47
          v9 = QMessageLogger::QMessageLogger((QMessageLogger *)v16, 0, 0, 0);
48
          v10 = QMessageLogger::warning(v9, &v13);
49
          QDebug::operator<<(v10, "User VIP status changed, refresh access token");
50
          QDebug::~QDebug((QDebug *)&v13);
51
          sub_180074600(&qword_1803A1F40);
52
          v11 = a2[2];
53
          v12 = PixAuth::UserInfo::isProUser((PixAuth::Application *)((char *)v11 + 16));
54
          PixAuth::Application::sigProStatusChanged(v11, v12);
55
        }
56

57
        PixAuth::Application::sigUserInfoRefreshed(a2[2]);
58
      }
59

60
      // 请求结束，重置标志位
61
      byte_1803A20B4 = 0;
62
      QJsonObject::~QJsonObject((QJsonObject *)v15);
63
    }
64
  }
65
  else if ( a2 )
66
  {
67
    j_j_free(a2);
68
  }
69
}

从这段代码可以得到第一层结论：

结论	说明
`replyFinished`	负责解析回包并更新状态
`fetchUserInfo`	只负责发起请求
真正门禁	在后续对象状态判断里

顺着它继续追，才能定位到会员信息写回的入口。

2. 会员信息如何写回对象#

继续看 UserInfo::loadFromJson，这里的任务是把 JSON 里的字段逐项写回对象。

userId、avatar、nickName、phone、email 这些都是基础资料，真正需要关注的是 vipInfo。

通过 vipInfo 这个分支，程序会把会员相关的数据继续交给 VipInfo::loadFromJson。

换句话说，会员状态并不单独存放，而是随着用户资料一起写入对象结构里。

关注点	作用
`userId`	先确认这是一个完整用户对象
`vipInfo`	继续进入会员信息分支

2.1 `UserInfo::loadFromJson`#

1
// 普通资料先一项项写进去
2
// 真正和会员相关的是 vipInfo
3
void __fastcall PixAuth::UserInfo::loadFromJson(PixAuth::UserInfo *this, const struct QJsonObject *a2)
4
{
5
  bool v4; // bl
6
  __int64 v5; // rax
7
  __int64 v6; // rax
8
  bool v7; // bl
9
  __int64 v8; // rax
10
  __int64 v9; // rax
11
  bool v10; // bl
12
  __int64 v11; // rax
13
  __int64 v12; // rax
14
  bool v13; // bl
15
  __int64 v14; // rax
16
  __int64 v15; // rax
17
  bool v16; // bl
18
  __int64 v17; // rax
19
  __int64 v18; // rax
20
  bool v19; // bl
21
  __int64 v20; // rax
22
  __int64 v21; // rax
23
  char v22; // bl
24
  __int64 v23; // rax
25
  bool v24; // r14
26
  __int64 v25; // rax
27
  const struct QJsonObject *v26; // rax
28
  bool v27; // bl
29
  __int64 v28; // rax
30
  __int64 v29; // rax
31
  bool v30; // bl
32
  QJsonValue *v31; // rax
33
  _QWORD v32[3]; // [rsp+20h] [rbp-30h] BYREF
34
  _BYTE v33[24]; // [rsp+38h] [rbp-18h] BYREF
35
  __int64 v34; // [rsp+80h] [rbp+30h] BYREF
36
  __int64 v35; // [rsp+88h] [rbp+38h] BYREF
37

38
  LODWORD(v34) = 0;
39
  // 清空旧状态后重新写入
40
  PixAuth::UserInfo::clear(this);
41

42
  // userId
43
  v34 = QString::fromAscii_helper("userId", 6);
44
  v4 = QJsonObject::contains(a2, (const struct QString *)&v34);
45
  QString::~QString((QString *)&v34);
46
  if ( v4 )
47
  {
48
    // userId 作为基础字段先写回
49
    v34 = QString::fromAscii_helper("userId", 6);
50
    v5 = QJsonObject::operator[](a2, v32, &v34);
51
    v6 = QJsonValue::toString(v5, &v35);
52
    QString::operator=((char *)this + 40, v6);
53
    QString::~QString((QString *)&v35);
54
    QJsonValue::~QJsonValue((QJsonValue *)v32);
55
    QString::~QString((QString *)&v34);
56
  }
57

58
  // avatar
59
  v34 = QString::fromAscii_helper("avatar", 6);
60
  v7 = QJsonObject::contains(a2, (const struct QString *)&v34);
61
  QString::~QString((QString *)&v34);
62
  if ( v7 )
63
  {
64
    // avatar 直接写回对象
65
    v34 = QString::fromAscii_helper("avatar", 6);
66
    v8 = QJsonObject::operator[](a2, v32, &v34);
67
    v9 = QJsonValue::toString(v8, &v35);
68
    QString::operator=(this, v9);
69
    QString::~QString((QString *)&v35);
70
    QJsonValue::~QJsonValue((QJsonValue *)v32);
71
    QString::~QString((QString *)&v34);
72
  }
73

74
  // nickName
75
  v34 = QString::fromAscii_helper("nickName", 8);
76
  v10 = QJsonObject::contains(a2, (const struct QString *)&v34);
77
  QString::~QString((QString *)&v34);
78
  if ( v10 )
79
  {
80
    // nickName 同样是普通资料
81
    v34 = QString::fromAscii_helper("nickName", 8);
82
    v11 = QJsonObject::operator[](a2, v32, &v34);
83
    v12 = QJsonValue::toString(v11, &v35);
84
    QString::operator=((char *)this + 8, v12);
85
    QString::~QString((QString *)&v35);
86
    QJsonValue::~QJsonValue((QJsonValue *)v32);
87
    QString::~QString((QString *)&v34);
88
  }
89

90
  v34 = QString::fromAscii_helper("phone", 5);
91
  v13 = QJsonObject::contains(a2, (const struct QString *)&v34);
92
  QString::~QString((QString *)&v34);
93
  if ( v13 )
94
  {
95
    // phone 也是普通资料字段，存在就直接写回
96
    v34 = QString::fromAscii_helper("phone", 5);
97
    v14 = QJsonObject::operator[](a2, v32, &v34);
98
    v15 = QJsonValue::toString(v14, &v35);
99
    QString::operator=((char *)this + 16, v15);
100
    QString::~QString((QString *)&v35);
101
    QJsonValue::~QJsonValue((QJsonValue *)v32);
102
    QString::~QString((QString *)&v34);
103
  }
104

105
  v34 = QString::fromAscii_helper("email", 5);
106
  v16 = QJsonObject::contains(a2, (const struct QString *)&v34);
107
  QString::~QString((QString *)&v34);
108
  if ( v16 )
109
  {
110
    // email 的处理方式和 phone 一样
111
    v34 = QString::fromAscii_helper("email", 5);
112
    v17 = QJsonObject::operator[](a2, v32, &v34);
113
    v18 = QJsonValue::toString(v17, &v35);
114
    QString::operator=((char *)this + 24, v18);
115
    QString::~QString((QString *)&v35);
116
    QJsonValue::~QJsonValue((QJsonValue *)v32);
117
    QString::~QString((QString *)&v34);
118
  }
119

120
  v34 = QString::fromAscii_helper("wechat", 6);
121
  v19 = QJsonObject::contains(a2, (const struct QString *)&v34);
122
  QString::~QString((QString *)&v34);
123
  if ( v19 )
124
  {
125
    // wechat 同样只是基础资料，不参与最终会员判断
126
    v34 = QString::fromAscii_helper("wechat", 6);
127
    v20 = QJsonObject::operator[](a2, v32, &v34);
128
    v21 = QJsonValue::toString(v20, &v35);
129
    QString::operator=((char *)this + 32, v21);
130
    QString::~QString((QString *)&v35);
131
    QJsonValue::~QJsonValue((QJsonValue *)v32);
132
    QString::~QString((QString *)&v34);
133
  }
134

135
  v32[0] = QString::fromAscii_helper("vipInfo", 7);
136
  v22 = 1;
137
  LODWORD(v34) = 1;
138
  v24 = 0;
139
  if ( QJsonObject::contains(a2, (const struct QString *)v32) )
140
  {
141
    // vipInfo 存在且类型正确，才继续往下
142
    v35 = QString::fromAscii_helper("vipInfo", 7);
143
    LODWORD(v34) = 3;
144
    v23 = QJsonObject::operator[](a2, v33, &v35);
145
    v22 = 7;
146
    LODWORD(v34) = 7;
147
    if ( (unsigned int)QJsonValue::type(v23) == 5 )
148
      v24 = 1;
149
  }
150

151
  if ( v24 )
152
  {
153
    v34 = QString::fromAscii_helper("vipInfo", 7);
154
    v25 = QJsonObject::operator[](a2, v33, &v34);
155
    v26 = (const struct QJsonObject *)QJsonValue::toObject(v25, v32);
156
    PixAuth::VipInfo::loadFromJson((PixAuth::UserInfo *)((char *)this + 64), v26);
157
    QJsonObject::~QJsonObject((QJsonObject *)v32);
158
    QJsonValue::~QJsonValue((QJsonValue *)v33);
159
    QString::~QString((QString *)&v34);
160
  }
161

162
  v34 = QString::fromAscii_helper("config_hash", 11);
163
  v27 = QJsonObject::contains(a2, (const struct QString *)&v34);
164
  QString::~QString((QString *)&v34);
165
  if ( v27 )
166
  {
167
    // config_hash 存在就刷新，不存在就回退到默认值
168
    v34 = QString::fromAscii_helper("config_hash", 11);
169
    v28 = QJsonObject::operator[](a2, v33, &v34);
170
    v29 = QJsonValue::toString(v28, &v35);
171
    QString::operator=((char *)this + 56, v29);
172
    QString::~QString((QString *)&v35);
173
    QJsonValue::~QJsonValue((QJsonValue *)v33);
174
    QString::~QString((QString *)&v34);
175
  }
176
  else
177
  {
178
    QString::operator=((char *)this + 56, byte_1801CD04D);
179
  }
180

181
  v34 = QString::fromAscii_helper("allowTrialDays", 14);
182
  v30 = QJsonObject::contains(a2, (const struct QString *)&v34);
183
  QString::~QString((QString *)&v34);
184
  if ( v30 )
185
  {
186
    // allowTrialDays 是一个额外的数值配置，没有就置 0
187
    v34 = QString::fromAscii_helper("allowTrialDays", 14);
188
    v31 = (QJsonValue *)QJsonObject::operator[](a2, v33, &v34);
189
    *((_DWORD *)this + 12) = QJsonValue::toInt(v31, 0);
190
    QJsonValue::~QJsonValue((QJsonValue *)v33);
191
    QString::~QString((QString *)&v34);
192
  }
193
  else
194
  {
195
    *((_DWORD *)this + 12) = 0;
196
  }
197
}

从这里可以看出，VipInfo::loadFromJson 先处理 prepaid，再处理 subscription。

2.2 `VipInfo::loadFromJson`#

字段	含义	作用
`prepaid.endAtMs`	预付费到期时间	提供第一层有效期判断
`subscription`	订阅信息	提供状态和到期时间

这两组数据就是会员有效期和订阅状态的来源，后面的判断都会围绕这些字段展开。

1
void __fastcall PixAuth::VipInfo::loadFromJson(PixAuth::VipInfo *this, const struct QJsonObject *a2)
2
{
3
  char *v4; // rbx
4
  __int64 v5; // rax
5
  QJsonValue *v6; // rax
6
  __int64 v7; // rax
7
  __int128 v8; // [rsp+20h] [rbp-50h] BYREF
8
  __int128 v9; // [rsp+30h] [rbp-40h] BYREF
9
  _BYTE v10[24]; // [rsp+40h] [rbp-30h] BYREF
10
  _BYTE v11[24]; // [rsp+58h] [rbp-18h] BYREF
11

12
  *(_QWORD *)this = 0;
13
  v4 = (char *)this + 8;
14
  *((_DWORD *)this + 2) = 4;
15
  // 先把 VipInfo 清空
16
  QString::clear((PixAuth::VipInfo *)((char *)this + 16));
17
  *((_QWORD *)v4 + 2) = 0;
18
  *((_DWORD *)v4 + 6) = 8;
19
  *((_QWORD *)v4 + 4) = 0;
20
  *((_QWORD *)v4 + 5) = 0;
21
  *((_QWORD *)v4 + 6) = 0;
22
  QString::clear((QString *)(v4 + 56));
23
  QString::clear((QString *)(v4 + 64));
24

25
  // prepaid.endAtMs：预付费到期时间
26
  LODWORD(v8) = 7;
27
  *((_QWORD *)&v8 + 1) = "prepaid";
28
  v9 = v8;
29
  if ( (unsigned __int8)QJsonObject::contains(a2, &v9) )
30
  {
31
    // 先处理 prepaid.endAtMs
32
    LODWORD(v8) = 7;
33
    *((_QWORD *)&v8 + 1) = "prepaid";
34
    v9 = v8;
35
    v5 = QJsonObject::value(a2, v10, &v9);
36
    QJsonValue::toObject(v5, &v8);
37
    QJsonValue::~QJsonValue((QJsonValue *)v10);
38
    if ( !QJsonObject::isEmpty((QJsonObject *)&v8) )
39
    {
40
      *(_QWORD *)this = 0;
41
      LODWORD(v9) = 7;
42
      *((_QWORD *)&v9 + 1) = "endAtMs";
43
      v6 = (QJsonValue *)QJsonObject::value(&v8, v11, &v9);
44
      *(_QWORD *)this = (unsigned int)(int)QJsonValue::toDouble(v6, 0.0);
45
      QJsonValue::~QJsonValue((QJsonValue *)v11);
46
    }
47
    QJsonObject::~QJsonObject((QJsonObject *)&v8);
48
  }
49

50
  // subscription：交给下一层
51
  LODWORD(v9) = 12;
52
  *((_QWORD *)&v9 + 1) = "subscription";
53
  if ( (unsigned __int8)QJsonObject::contains(a2, &v9) )
54
  {
55
    // 再处理 subscription
56
    LODWORD(v9) = 12;
57
    *((_QWORD *)&v9 + 1) = "subscription";
58
    v7 = QJsonObject::value(a2, v11, &v9);
59
    QJsonValue::toObject(v7, &v8);
60
    QJsonValue::~QJsonValue((QJsonValue *)v11);
61
    if ( !QJsonObject::isEmpty((QJsonObject *)&v8) )
62
      PixAuth::Subscription::loadFromJson((PixAuth::Subscription *)v4, (const struct QJsonObject *)&v8);
63
    QJsonObject::~QJsonObject((QJsonObject *)&v8);
64
  }
65
}

Subscription::loadFromJson 负责把订阅类型、状态、到期时间这些字段装进去。

可以把它理解成“把订阅侧的元数据完整装箱”。

2.3 `Subscription::loadFromJson`#

1
void __fastcall PixAuth::Subscription::loadFromJson(PixAuth::Subscription *this, const struct QJsonObject *a2)
2
{
3
  __int64 v4; // rax
4
  __int64 v5; // rax
5
  __int64 v6; // rax
6
  __int64 v7; // rax
7
  QJsonValue *v8; // rax
8
  __int64 v9; // rax
9
  __int64 v10; // rax
10
  QJsonValue *v11; // rax
11
  QJsonValue *v12; // rax
12
  QJsonValue *v13; // rax
13
  __int64 v14; // rax
14
  __int64 v15; // rax
15
  __int64 v16; // rax
16
  __int64 v17; // rax
17
  int v18; // [rsp+20h] [rbp-30h] BYREF
18
  const char *v19; // [rsp+28h] [rbp-28h]
19
  _BYTE v20[32]; // [rsp+30h] [rbp-20h] BYREF
20
  char v21; // [rsp+70h] [rbp+20h] BYREF
21

22
  *(_DWORD *)this = 4;
23
  // Subscription 先清空再写
24
  QString::clear((PixAuth::Subscription *)((char *)this + 8));
25
  *((_QWORD *)this + 2) = 0;
26
  *((_DWORD *)this + 6) = 8;
27
  *((_QWORD *)this + 4) = 0;
28
  *((_QWORD *)this + 5) = 0;
29
  *((_QWORD *)this + 6) = 0;
30
  QString::clear((PixAuth::Subscription *)((char *)this + 56));
31
  QString::clear((PixAuth::Subscription *)((char *)this + 64));
32

33
  // type 和 status 决定订阅种类和状态
34
  v18 = 4;
35
  // type 决定订阅类型
36
  v19 = "type";
37
  v4 = QJsonObject::value(a2, v20, &v18);
38
  v5 = QJsonValue::toString(v4, &v21);
39
  *(_DWORD *)this = PixAuth::subscriptionTypeFromString(v5);
40
  QString::~QString((QString *)&v21);
41
  QJsonValue::~QJsonValue((QJsonValue *)v20);
42

43
  v18 = 14;
44
  v19 = "subscriptionID";
45
  v6 = QJsonObject::value(a2, v20, &v18);
46
  v7 = QJsonValue::toString(v6, &v21);
47
  QString::operator=((char *)this + 8, v7);
48
  QString::~QString((QString *)&v21);
49
  QJsonValue::~QJsonValue((QJsonValue *)v20);
50

51
  v18 = 25;
52
  v19 = "subscriptionTrialEndsAtMs";
53
  v8 = (QJsonValue *)QJsonObject::value(a2, v20, &v18);
54
  *((_QWORD *)this + 2) = (unsigned int)(int)QJsonValue::toDouble(v8, 0.0);
55
  QJsonValue::~QJsonValue((QJsonValue *)v20);
56

57
  v18 = 6;
58
  // status 决定订阅状态
59
  v19 = "status";
60
  v9 = QJsonObject::value(a2, v20, &v18);
61
  v10 = QJsonValue::toString(v9, &v21);
62
  *((_DWORD *)this + 6) = PixAuth::subscriptionStatusFromString(v10);
63
  QString::~QString((QString *)&v21);
64
  QJsonValue::~QJsonValue((QJsonValue *)v20);
65

66
  v18 = 10;
67
  v19 = "cancelAtMs";
68
  v11 = (QJsonValue *)QJsonObject::value(a2, v20, &v18);
69
  *((_QWORD *)this + 4) = (unsigned int)(int)QJsonValue::toDouble(v11, 0.0);
70
  QJsonValue::~QJsonValue((QJsonValue *)v20);
71

72
  v18 = 13;
73
  v19 = "periodEndAtMs";
74
  v12 = (QJsonValue *)QJsonObject::value(a2, v20, &v18);
75
  *((_QWORD *)this + 5) = (unsigned int)(int)QJsonValue::toDouble(v12, 0.0);
76
  QJsonValue::~QJsonValue((QJsonValue *)v20);
77

78
  v18 = 12;
79
  // validUntilMs 作为最终到期时间
80
  v19 = "validUntilMs";
81
  v13 = (QJsonValue *)QJsonObject::value(a2, v20, &v18);
82
  *((_QWORD *)this + 6) = (unsigned int)(int)QJsonValue::toDouble(v13, 0.0);
83
  QJsonValue::~QJsonValue((QJsonValue *)v20);
84

85
  v18 = 16;
86
  v19 = "subscriptionName";
87
  v14 = QJsonObject::value(a2, v20, &v18);
88
  v15 = QJsonValue::toString(v14, &v21);
89
  QString::operator=((char *)this + 56, v15);
90
  QString::~QString((QString *)&v21);
91
  QJsonValue::~QJsonValue((QJsonValue *)v20);
92

93
  v18 = 21;
94
  v19 = "subscriptionPriceText";
95
  v16 = QJsonObject::value(a2, v20, &v18);
96
  v17 = QJsonValue::toString(v16, &v21);
97
  QString::operator=((char *)this + 64, v17);
98
  QString::~QString((QString *)&v21);
99
  QJsonValue::~QJsonValue((QJsonValue *)v20);
100
}

3. 最终判断链#

这一节才是核心。

`UserInfo::isProUser`#

通过 UserInfo::isProUser 的交叉引用，我们就能把最外层的判断点定位出来。

这个函数很短，核心逻辑只有两条：

外层用户对象状态要有效
VipInfo::isVip(...) 必须为真

1
bool __fastcall PixAuth::UserInfo::isProUser(PixAuth::UserInfo *this)
2
{
3
  return *(_DWORD *)(*((_QWORD *)this + 5) + 4LL) &&
4
         PixAuth::VipInfo::isVip((PixAuth::UserInfo *)((char *)this + 64));
5
}

这里可以把它理解成外层总开关。

第一项只是基础状态检查，真正决定是不是 Pro 的，还是 VipInfo::isVip(...)。

`VipInfo::isVip`#

继续往下追，真正决定会员状态的就是这里。

它不是只看一个布尔值，而是把时间字段、状态号和 validUntilMs 一起纳入判断。

1
bool __fastcall PixAuth::VipInfo::isVip(PixAuth::VipInfo *this)
2
{
3
  if ( *(_QWORD *)this > QDateTime::currentMSecsSinceEpoch() )
4
    return 1;
5
  if ( *((_DWORD *)this + 8) && *((_DWORD *)this + 8) != 6 )
6
    return 0;
7
  return *((_QWORD *)this + 7) > QDateTime::currentMSecsSinceEpoch();
8
}

到这一步，门槛就已经说清楚了。

参与项	作用
`prepaid`	提供预付费到期时间
`status`	影响订阅是否被认为有效
`validUntilMs`	最终到期时间

前面的有效期、状态号和最终到期时间共同决定它会不会直接返回真。

`Subscription::isVip`#

Subscription::isVip 也是一层状态判断，不过它更偏订阅态的辅助逻辑。

1
bool __fastcall PixAuth::Subscription::isVip(PixAuth::Subscription *this)
2
{
3
  int v1; // eax
4

5
  v1 = *((_DWORD *)this + 6);
6
  if ( v1 && v1 != 6 )
7
  {
8
    QDateTime::currentMSecsSinceEpoch();
9
    return 0;
10
  }
11
  return *((_QWORD *)this + 6) > QDateTime::currentMSecsSinceEpoch();
12
}

它只看 status 和 validUntilMs，可以帮助我们理解订阅信息的结构，但不是最终落点。

函数	角色
`UserInfo::isProUser`	最外层开关
`VipInfo::isVip`	直接会员判断
`Subscription::isVip`	订阅态辅助判断

4. 结论#

把前面的链路串起来后，补丁思路就很清晰了。

最后需要对照的只有这两个判断：

PixAuth::UserInfo::isProUser
PixAuth::VipInfo::isVip

样本说明
下面这两个地址是这版样本中的落点；不同版本或不同编译结果，地址会变化。

判断	地址
`PixAuth::UserInfo::isProUser`	`0x1800ADB00`
`PixAuth::VipInfo::isVip`	`0x1800DEFF0`

思路也简单，直接让这两个判断稳定返回 true，后面的状态和界面就会统一起来。

免责声明#

仅用于记录逆向分析过程和学习思路，不构成任何授权、补丁建议或使用许可。请勿将文中的内容用于未获授权的软件修改、规避会员限制或任何违反软件许可与法律法规的用途。

我的小屋

PixPin 会员门禁逆向记录#

`fetchUserInfo`#

1. 回包更新：`replyFinished`#

2. 会员信息如何写回对象#

2.1 `UserInfo::loadFromJson`#

2.2 `VipInfo::loadFromJson`#

2.3 `Subscription::loadFromJson`#

3. 最终判断链#

`UserInfo::isProUser`#

`VipInfo::isVip`#

`Subscription::isVip`#

4. 结论#

免责声明#

目录

我的小屋

PixPin 会员门禁逆向记录#

fetchUserInfo#

1. 回包更新：replyFinished#

2. 会员信息如何写回对象#

2.1 UserInfo::loadFromJson#

2.2 VipInfo::loadFromJson#

2.3 Subscription::loadFromJson#

3. 最终判断链#

UserInfo::isProUser#

VipInfo::isVip#

Subscription::isVip#

4. 结论#

免责声明#

目录

`fetchUserInfo`#

1. 回包更新：`replyFinished`#

2.1 `UserInfo::loadFromJson`#

2.2 `VipInfo::loadFromJson`#

2.3 `Subscription::loadFromJson`#

`UserInfo::isProUser`#

`VipInfo::isVip`#

`Subscription::isVip`#